今天是几号的博客

微软为了防止明文密码泄露发布了补丁KB2871997，关闭了Wdigest功能。当系统为win10或2012R2以上时，默认在内存缓存中禁止保存明文密码，此时可以通过修改注册表的方式抓取明文，但需要用户重新登录后才能成功抓取。2008 R2版本可以抓取明文密码2012 R2 Datacenter 版本抓不到密钥mimikatz被拦截(杀毒等)：进行离线读取操作系统过高 => 2012：离线读取、修改注册表、对hash值进行破解利用RDP凭据mimipenguin 读取。

Exchange，LLMNR投毒，NTLM-Relay,Kerberos_TGS，GPO&DACL，域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。strict_chain：如果下方设置了多个节点，必须都测试正确才可以使用。dynamic_chain：下方代理节点有一条测试正确也可以使用。172.16.250.30 8080开放 jenkins服务。成功解密后密码为：)uDvra{4UL^;172.16.250.30 8080开放。172.16.250.10 80开放。

基于资源的约束委派(RBCD)是在Windows Server 2012中新加入的功能，与传统的约束委派相比，它不再需要域管理员权限去设置相关属性。RBCD把设置委派的权限赋予了机器自身，既机器自己可以决定谁可以被委派来控制我。也就是说机器自身可以直接在自己账户上配置msDS-AllowedToActOnBehalfOfOtherIdentity属性来设置RBCD。计算机加⼊域时，加⼊域的域⽤户被控后也将导致使用当前域用户加入的计算机受控。

由于非约束委派的不安全性，微软在windows server 2003中引入了约束委派，对Kerberos协议进行了拓展，总的来说，如果需要在Windows环境中使用委派功能，建议使用约束委派而不是非约束委派，以提高系统和数据的安全性。攻击者拿到了一台配置非约束委派的机器权限，可以诱导域管来访问该机器，然后得到管理员的TGT，从而模拟域管用户。机器A（域控）访问具有非约束委派权限的机器B的服务，会把当前认证用户（域管用户）的的TGT放在ST票据中，

当Windows系统的Active Directory证书服务（CS）在域上运行时，由于机器账号中的dNSHostName属性不具有唯一性，域中普通用户可以将其更改为高权限的域控机器账号属性，然后从Active Directory证书服务中获取域控机器账户的证书，导致域中普通用户权限提升为域管理员权限。

攻击者伪造一个恶意的SMB服务器，当内网中有机器Client1(webserver)访问这个攻击者精心构造好的SMB服务器时， smbrelayx.py 脚本将抓到 Client1 的 Net-NTLM Hash ，然后 smbrelayx.py 用抓取到的 Client1 的 Net-NTLM Hash 重放给 Client2(sqlserver)。Exchange，LLMNR投毒，

Exchange Server 是微软公司的一套电子邮件服务组件，是个消息与协作系统。简单而言，Exchange server可以被用来构架应用于企业、学校的邮件系统。Exchange是收费邮箱，但是国内微软并不直接出售Exchange邮箱，而是将Exchange、Lync、Sharepoint三款产品包装成Office365出售。实验靶场环境：0day.org单域环境Win7 x64 0day.org PC-Jack 访问域主机地址。

请求的Kerberos服务票证的加密类型是RC4_HMAC_MD5，这意味着服务帐户的NTLM密码哈希用于加密服务票证。如果我们有一个为域用户帐户注册的任意SPN，那么该用户帐户的明文密码的NTLM哈希值就将用于创建服务票证。黑客可以使用有效的域用户的身份验证票证（TGT）去请求运行在服务器上的一个或多个目标服务的服务票证。DC在活动目录中查找SPN，并使用与SPN关联的服务帐户加密票证，以便服务能够验证用户是否可以访问。•服务票据的暴力破解(使用密码字典进行RC4协议破解)cs 内置端口扫描3389。

PTH在内网渗透中是一种很经典的攻击方式，原理就是攻击者可以直接通过LM Hash和NTLM Hash访问远程主机或服务，而不用提供明文密码。如果禁用了ntlm认证，PsExec无法利用获得的ntlm hash进行远程连接，但是使用mimikatz还是可以攻击成功。对于8.1/2012r2，安装补丁kb2871997的Win 7/2008r2/8/2012等，可以使用AES keys代替NT hash来实现ptk攻击,总结：KB2871997补丁后的影响。

在Win10中，wmic已经归入C:\Windows\System32\wbem文件夹，而环境变量只设置到C:\Windows\System32，因此找不到wmic。这几个端口都是与文件共享和打印机共享有关的端口，而且在这几个端口上经常爆发很严重的漏洞。安装使用：Microsoft Windows下的 win32k.sys是Windows子系统的内核部分，是一个内核模式设备驱动程序，它。

简单使用ms14-058提权后，得到sysytem权限。IPC是专用管道，可以实现对远程计算机的访问，需要使用目标系统用户的账号密码，使用139、445端口。1. 建立IPC链接到目标主机2. 拷贝要执行的命令脚本到目标主机3. 查看目标时间，创建计划任务（at、schtasks）定时执行拷贝到的脚本4. 删除IPC链接常用ipc命令总结net use \\192.168.3.32\ipc$ "Admin12345" /user:god.org\administrator #新建连接net

推荐 相当于自己管理整个平台很方便nps是一款轻量级、高性能、功能强大的内网穿透代理服务器。目前支持tcp、udp流量转发，可支持任何tcp、udp上层协议（访问内网网站、本地支付接口调试、ssh访问、远程桌面，内网dns解析等等……），此外还支持内网http代理、内网socks5代理、p2p等，并带有功能强大的web管理端。

这里禁用了所有tcp端口，依旧可以ping通，以及dns解析成功。直接放到靶机上执行会报错，windows客户端可以直接使用编译好的windows版本，同时需要安装TAP网卡驱动程序。也可以下载OpenVPN，安装时只选择TAP Virtual Ethernet Adapter，安装后服务器上就会多出一块“TAP-Wndows ADApter V9”的网卡

此时使用win 10进行转发上线，生成监听器，使得Win server2008进行反向连接(将流量转发给win 10)参考：https://www.cnblogs.com/tomtellyou/p/16300557.html。关闭防火墙：netsh advfirewall set allprofiles state off。开启防火墙：netsh advfirewall set allprofiles state on。win server2008 开启防火墙后，原来的正向连接立刻下线。

代理：流量转发至跳板机，可以是服务器或者肉鸡，最主要的特征是，无论代理后面挂了几个设备，代理对外只表现为一个设备。隧道：是通过特定的通讯方法，直接找到这个目标reverse_tcp:反向 后门主动连接自己服务器 目标防火墙 出bind_tcp:正向 自己服务器主动连接后门 目标防火墙 入。

域(domain)是微软为集中管理计算机而推出的一种方式，用来描述一种架构，和“工作组”相对应，由工作组升级而来的高级架构，域 (Domain)是一个有安全边界的计算机集合（ 安全边界，意思是在两个域中，一个域中的用户无法访问另一个域中的资源）。可以简单的把域理解成升级版的“工作组”，相比工作组而言，它有一个更加严格的安全管理控制机制，如果你想访问域内的资源，就必须拥有一个合法的身份登陆到该域中,而你对该域内的资源拥有什么样的权限,还需要取决于你在该域中的用户身份。