基于域环境的渗透测试关键技术研究

全文字数：9332 全文字符数：7323 正文字数：8679 正文字符数：5091 图片数：21 表格数：3

摘 要

本文讨论了基于域环境的渗透测试关键技术。首先，介绍了渗透测试技术和PTES渗透测试标准，接着介绍了Windows中的安全机制和组件。然后，探讨了域环境的概念、特点以及渗透测试在该环境下的挑战和难点。详细阐述了域渗透测试的流程和方法，包括信息收集、漏洞扫描、漏洞利用、权限提升和后渗透。在此基础上，通过一个完整的Windows域环境渗透测试实验，总结出了一个Windows域环境杀伤链。最后，分析了域渗透测试中常见的防御措施，并提出了相应的对策和建议。综上所述，本文对基于域环境的渗透测试关键技术进行了深入探讨。同时，通过Windows域环境渗透测试实验，提出了一个攻击链方式，为渗透测试人员提供指导和借鉴。

关键词： PTES渗透测试流程 Windows安全机制 域渗透

Abstract

This thesis discusses the key technology of penetration testing based on domain environment. First, the penetration testing technology and PTES penetration testing standard are introduced, and then the security mechanism and components in Windows are introduced. Then, the concept and characteristics of domain environment are discussed, and the challenges and difficulties of penetration testing in this environment are discussed. The process and method of domain penetration testing are described in detail, including information collection, vulnerability scanning, vulnerability exploitation, privilege escalation and post-penetration. On this basis, through a complete Windows domain environment penetration test experiment, summed up a Windows domain environment killing chain. Finally, the common defense measures in domain penetration testing were analyzed, and the corresponding countermeasures and suggestions were put forward. In summary, this thesis deeply discusses the key technologies of penetration testing based on domain environment. At the same time, through the penetration testing experiment of Windows domain environment, an attack chain method is proposed to provide guidance and reference for penetration testers.

Key words: PTES penetration testing process Windows Security Mechanism Domain penetration

---

目 录

第1章 绪论1

1.1 研究背景1

1.2 研究意义2

第2章 渗透测试技术2

2.1 PTES渗透测试标准2

2.1.1 前期交互阶段3

2.1.2 信息收集阶段3

2.1.3 威胁建模阶段3

2.1.4 漏洞分析阶段3

2.1.5 漏洞攻击阶段4

2.1.6 后渗透阶段4

2.1.7 提交报告阶段4

2.2 ATT&CK攻击矩阵4

2.3 本章小结5

第3章 Windows安全机制6

3.1 Windows身份认证机制6

3.1.1 NTLM协议6

3.1.2 Kerberos协议7

3.2 Windows重要安全组件8

3.2.1 安全参考监视器8

3.2.2 本地安全授权子系统9

3.2.3 安全账户管理器9

3.2.4 活动目录9

3.2.5 会话管理子系统9

第4章 域渗透技术10

4.1 Windows域信息收集10

4.2 票据伪造10

4.2.1 黄金票据10

4.2.2 白银票据11

4.3 Windows中抓取hash11

第5章 Windows域环境渗透测试实验12

5.1 实验环境12

5.2 实验过程13

5.3 实验结果18

第6章 未来展望与总结19

基于域环境的渗透测试关键技术研究

第1章 绪论

1.1 研究背景

Windows操作系统是由微软（Microsoft）公司开发的一款计算机操作系统。其有普通个人PC专业版、个人PC家庭版、服务器（Windows Server）版本、手机版本等系列。它最初可以追溯到1981年，被称作为“Interface Manager”，最初的版本运行在MS-DOS操作系统上，并且只能通过命令行界面进行操作，直到1985年它才被正式命名为Windows1.0，这是第一个基于图形化用户界面的Windows操作系统。由于其操作系统具有图形化用户界面、多用户多任务处理功能和良好的应用程序兼容性这些优点。随着时间的推移，Windows操作系统逐渐发展成为全球最流行的操作系统之一。广泛的应用于个人PC、服务器等领域。

截止至2023年2月，根据全球统计网站StatCounter发布的数据来看，Windows在全球桌面操作系统市场的市场占有率为71.78%[2]，如图1-1所示，仍然是当前最主流的桌面操作系统。并且近几年来Windows操作系统占桌面端操作系统的比率一直处于领先地位且远高于其他操作系统的总和。

添加图片注释，不超过 140 字（可选）

图1-1 2009年1月至2023年2月各桌面操作系统占用率

随着Windows操作系统上所支持的功能越来越完善，安全问题也随之产生而来。其中最为经典的就是“永恒之蓝”（MS17-010）漏洞，其被认为是近年来最具破坏性和危险性的操作系统漏洞之一。该漏洞最早在2017年5月被公之于众，黑客组织WannaCry利用该漏洞感染了全球近200,000台计算机。该漏洞在于它能够使得攻击者通过远程代码执行方式获取系统的权限，从而执行恶意程序、恶意命令、窃取敏感信息。自此，Windows操作系统安全性引发了对网络安全和信息安全的更深层次的思考和研究。

在Windows网络办公环境中，一般存在着大量的计算机和用户账号，这些计算机和用户账户需要集中管理和授权。域管理员可以通过域控制器（域控）来控制用户的访问权限、和对计算机安全策略的配置。同时还可以对域内的计算机和用户进行统一的资源调配和更新管理。域的产生是为了提高Windows网络环境的管理和安全性，但随之也产生了一些新的安全问题。

1.2 研究意义

随着网络技术的不断发展和普及，网络安全问题日益受到关注。域环境是一个大型复杂的网络系统，包含各种类型的主机、应用程序和数据，因此更容易受到黑客攻击和恶意软件的侵入。深入研究基于域环境的渗透测试关键技术，有助于了解攻击者的攻击思路和策略，强化域环境的安全防范，并提高企业组织的安全意识和防御能力。模拟实际攻击场景可以帮助企业组织深入了解存在的漏洞和风险，进而增强自身的安全防范意识，提高信息系统安全性。

攻防相长是网络安全领域的发展理念。在不断演进的网络安全威胁下，攻击者和防御者都在不断挑战和提高自己的技能和能力。随着科技的不断进步和网络安全领域的不断发展，网络攻击的手段和方法也在不断变化和升级。因此，我们需要不断推动网络安全技术的创新和发展，进一步提高网络安全的防御能力。研究攻击方式不仅可以提高企业组织的安全水平，还可以促进网络安全技术的发展和创新。

---

第2章 渗透测试技术

2.1 PTES渗透测试标准

PTES（Penetration Testing Execution Standard）是一个用于指导渗透测试工作的标准和方法论。PTES提供了一个详细的渗透测试框架，以帮助渗透测试人员对目标系统进行系统性的系统的渗透测试。主要包括前期交互、情报搜集、威胁建模、漏洞分析、漏洞攻击、后渗透、提交报告共七个阶段[15]。PTES渗透流程，如下图2-1所示。

添加图片注释，不超过 140 字（可选）

图2-1 PTES渗透测试流程

2.1.1 前期交互阶段

在前期交互阶段，我们首先需要根据客户需求为其定制测试方案。虽然有很多适用于渗透测试的工具和技术，但在实践中，客户环境未必支持这些工具。例如，设备老化可能不能承受大流量，高强度的扫描行为；白天业务量大，可能只能在夜间进行渗透测试；同时，不能爆破弱口令进行扫描，因为这可能会导致账户被锁定，从而影响业务。提前沟通这些细节很重要，以避免对客户生产环境产生影响。其次，要确定项目的范围，标明需要测试的内容和资产，严禁对未授权的资产进行测试。最后，还要基于测试的内容确定测试周期，并确定开始和终止时间。

2.1.2 信息收集阶段

当进行渗透测试时，信息收集阶段是其中一个非常重要的步骤。其主要目的是了解目标系统，发现系统漏洞，收集目标用户信息等。通过信息收集，测试人员可以更好地了解目标系统并为后续攻击做准备，同时也可以识别可能的漏洞和安全弱点，以便进行有效的攻击。此外，信息收集还可用于获取有关目标用户的信息，为后续的社会工程攻击或密码猜测做准备。

2.1.3 威胁建模阶段

当进行渗透测试时，威胁建模阶段的目的是识别攻击者的目标和方法，以便在模拟攻击期间模拟攻击者的行为。这样可以帮助安全专家确定需要集中测试的方面，从而更好地发现和修复潜在的安全漏洞。

2.1.4 漏洞分析阶段

在漏洞分析阶段，渗透测试人员主要使用各种攻击和技术对目标资产进行漏洞扫描和漏洞验证，以发现目标系统中的漏洞。在这个阶段，需要验证并复现发现的漏洞，然后编写特定的POC（Proof of Concept）来验证是否存在漏洞。在网上，一些漏洞的POC已经公开发布，可以直接获取，但是一些未公开的漏洞需要渗透测试人员自己编写POC，这要求渗透测试人员有一定的代码开发能力。

2.1.5 漏洞攻击阶段

在找到可利用的漏洞之后，就可以攻击目标系统。但在现代企业生产环境中，为了系统的安全性，安全设备和流量防火墙设备已经变得越来越普遍，例如WAF、IPS、IDS、HIDS等。此外，利用加密传输、编码解码、黑白名单等技术也增加了系统的安全性。在这个阶段，还需要分析或找到漏洞的有效载荷，并编写漏洞利用（exploit）代码。在互联网上，有许多公开的漏洞利用代码可供使用。

2.1.6 后渗透阶段

成功利用漏洞后，渗透测试通常进入后渗透阶段。该阶段涉及一系列操作，以发现更多的安全隐患。这些操作通常包括权限维持、权限提升和内网渗透。

权限提升：通常，在渗透测试过程中，拿下的一台主机的权限只是比较低的Web权限，例如www-data账号权限，而不是root账户权限。一般来说，这种权限只能用于操作Web目录，无法进一步利用。如果该主机操作系统版本存在漏洞，则可以进行本地权限提升，以获取更高的管理员权限。

权限维持：在获取到一台主机的权限之后，可能会因为网络问题等原因而掉线。为了更方便地再次操作该主机，可能会留下特定的木马（后门）文件，并隐藏所执行的操作痕迹（清除日志[3]、文件）等。

内网渗透[7]：在成功获取到一台网络中的某台主机后，可以进行内网渗透测试，以获取其他主机的权限。在此过程中，需要使用流量代理转发技术，以进一步获得更多主机的权限。

2.1.7 提交报告阶段

渗透测试的最后阶段是提交渗透测试报告。对于我们的客户。他们通常仅关注渗透测试的结果和漏洞数量以及修复方式，而忽略了渗透测试的过程和方式。因此，一份清晰详细的报告非常重要。报告应包括渗透测试发现的问题、攻击路径和方式、影响分析和修复建议等要素。

2.2 ATT&CK攻击矩阵

ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）攻击矩阵是由MITRE创建的一种威胁情报框架，主要用于描述和组织攻击者在攻击过程中使用的战术、技巧和常见知识。该框架将攻击行为分解成多个阶段，并针对每个阶段定义了攻击者可能使用的技术和工具。攻击矩阵有助于安全专业人员更好地了解攻击者的思维方式和策略，识别并应对威胁。同时，该框架作为一种通用语言，有助于加强安全团队之间的沟通和协作。该框架不断发展，定期更新以包括攻击者使用的新战术和技巧。由于它提供了攻击者使用的不同策略的全面视角，因此广泛用于安全技术的开发和测试。

ATT&CK攻击矩阵包括多个子矩阵，如图2-2所示，每个子矩阵都是为特定的攻击平台（如Windows、Linux等）或攻击类型（如网络攻击、社会工程学攻击等）而设计的。每个子矩阵都包含多个战术，每个战术又包含多个技术。例如，在Windows平台的ATT&CK攻击矩阵中，包括11个战术，如初始访问、持久性和权限提升，每个战术又包含多项技术，如恶意软件和远程服务协议等。

添加图片注释，不超过 140 字（可选）

图2-2 ATT&CK攻击矩阵

2.3 本章小结

本章介绍了PTES渗透测试标准以及ATT&CK攻击模型。PTES将渗透测试流程划分为多个关键部分，标准化了渗透测试流程以提高效率。ATT&CK攻击矩阵系统归纳了攻击路径中的宏观结构和技术细节，并将其封装到渗透测试的各个环节中。安全人员可以系统化地学习，攻击者可以获得更广泛的视野，从而更容易发现网络中的安全隐患。

---

第3章Windows安全机制

3.1 Windows身份认证机制

Windows中使用了Kerberos、LM（LAN Manager）、NTLM（NT LAN Manager）三种身份认证协议。

LM是最早期的Windows身份认证协议，采用了一个弱密码哈希算法来加密密码，然后将其发送到服务器进行验证。由于它采用的是弱密码，因此容易受到暴力破解攻击，并且不支持更强大的密码策略。

为代替LM协议，NTLM被引入，此协议提供了更强大的哈希算法来加密密码，并支持更强大的密码策略。

Kerberos协议是Windows域环境中的默认身份认证协议，因为NTLM协议容易受到中间人攻击和重放攻击等安全漏洞的影响。Kerberos协议使用票据和令牌来验证用户身份，并提供消息完整性和机密性。

3.1.1 NTLM协议

NTLM协议[12]的认证过程主要有以下三步。认证过程如下图3-1所示。

协商：客户端向服务器发送一个包含客户端计算机名的消息，以请求对服务器的连接。这个消息也包括一个随机数，称为“客户端挑战”。

质询：服务器向客户端返回一个包含服务器计算机名、服务器的“领域”名称和一个经过加密的随机数的消息。这个加密的随机数是“服务器挑战”。

身份认证：客户端向服务器发送一个包含加密凭据的消息，其中凭据被加密以使用服务器和客户端之间共享的加密密钥。这个消息还包括前面提到的两个挑战的响应，以及客户端的用户名。如果凭据被正确解密，则认证过程被视为成功。

添加图片注释，不超过 140 字（可选）

图3-1 NTLM认证过程

3.1.2 Kerberos协议

Kerberos协议[1]中主要有三个角色的存在：

客户端：访问服务的Client。

服务端：提供服务的Server。

KDC（Key Distribution Center）密钥分发中心：KDC服务默认会安装在一个域的域控中，KDC由AS（Authentication server）身份认证服务和TGS（Ticket Granting Server）票据授予服务组成。在Kerberos中客户端是否有访问服务端服务的权限由KDC发放的票据来决定。

Kerberos协议认证过程，如下图3-2所示。

添加图片注释，不超过 140 字（可选）

图3-2 Kerberos协议认证流程

Kerberos服务器的认证(ASREQ)：客户端向Kerberos服务器发送认证请求，请求包括客户端的用户名和密码。

发放TGT(AS_REP)：如果客户端请求成功，Kerberos服务器将发放一个称为Ticket Granting Ticket（TGT）的票据，该票据相当于一张门票，客户端在接下来的操作中可以使用该门票访问其他服务。

获取TGS(TGSREQ)：客户端使用TGT向Kerberos服务器请求访问服务。在该请求中，客户端还会通知Kerberos服务器所需要访问的服务的名称。

TGS票证的颁发(TGS_REP)：Kerberos服务器决定授予客户端请求服务的权限，如果决定通过，则将生成加密TGS票证，票证包括客户端的身份验证信息和服务的授权信息。

TGS票证的传递(APREQ)：客户端使用TGS票证向所需的服务发起请求。在这个过程中，客户端会传递TGS票证给需要访问的服务。

访问服务(AP_REP)：服务解密TGS票证，验证请求是否合法，如果请求合法，则向客户端发放一个用于建立后续通信连接的Session Key。

3.2 Windows重要安全组件

为保证Windows系统正常运行，系统中有许多安全组件发挥着关键作用。如图3-3，画出了Windows中的常见安全组件。

添加图片注释，不超过 140 字（可选）

图3-3 Windows中的安全组件

3.2.1 安全参考监视器

安全参考监视器（SRM）是一种服务，用于管理计算机系统的硬件资源，包括CPU、内存和磁盘等，并提高系统的性能和资源利用率。该服务主要用于管理CPU、内存和磁盘等资源，支持资源优先级管理，以及性能监控和诊断。所有安全操作必须通过SRM进行路由，SRM将决定是否允许或拒绝操作。

3.2.2 本地安全授权子系统

本地安全授权子系统服务（LSASS）主要负责处理本地安全策略、身份认证、授权以及密码管理。LSASS提供身份验证和授权服务。以验证用户身份并授权其访问资源。

3.2.3 安全账户管理器

安全账户管理器（SAM），SAM用于存储本地计算机中用户账户和相关信息，包括密码哈希值、权限、SID等。SAM服务负责管理SAM数据库并加载到LSASS进程中，以在登录时进行身份校验功能。

3.2.4 活动目录

活动目录（AD）[4]提供了一种集中管理和安全控制网络上的用户、计算机和其他资源的方式。AD允许管理员创建用户账户和组，并分配相应的权限和访问控制。当用户登录时，AD会验证他们的身份并授权他们访问适当的资源。允许管理员管理网络中的计算机和其他设备。管理员可以将这些设备分配到不同的组织单位（OU）中，并控制他们可以访问的资源和权限。AD允许管理员创建和管理组策略，以控制网络中计算机和设备的行为。这些策略可以包括限制用户对某些资源的访问、控制软件安装、设置安全设置等。允许管理员创建和管理全局目录服务（GDS），以提供单一的网络目录服务，使用户可以查找和访问特定资源。总的来说，AD可以支持大型组织中的多个用户和计算机，并提供了一种可扩展和可靠的方式来管理整个网络。

3.2.5 会话管理子系统

Windows 会话管理子系统（Session Manager Subsystem，简称smss.exe）是 Windows 操作系统中的一个重要系统进程，它负责启动和管理用户登录会话、控制台会话和服务会话等系统会话，确保它们能够正常运行并协同工作。一旦Windows加载完成，SMSS会启动Winlogon进程，Winlogon再启动用户登录界面。SMSS还负责监控Windows操作系统中的会话。如果会话出现问题，如会话进程无响应或者是崩溃，SMSS会自动关闭该会话并重新启动它。SMSS还负责将Windows操作系统的各种配置信息加载到内存中，并将这些信息传递给其他系统组件。

---

第4章域渗透技术

4.1 Windows域信息收集

在发现Windows域环境之后，拿下一台域内主机。首先最重要的事情还是先做信息收集，先判断主机是否在域内，再收集一些主机的信息，用工具抓取一些hash，再判断域控主机，域控主机能够管理域环境下所有的资源和设备，所以攻击者一般都会将域控作为主要的攻击目标。下图4-1，为一般在域环境中信息收集的流程。

添加图片注释，不超过 140 字（可选）

图4-1 Windows域信息收集流程

4.2 票据伪造

Windows 票据伪造是指攻击者利用 Windows 系统中的漏洞，伪造合法用户的身份认证票据，并获得未授权的访问权限的攻击方式。为了防止票据伪造，Windows 系统提供了多种安全机制，如加密、签名、时间戳等，同时需要及时更新和修补漏洞。管理员也可以采取措施，如限制用户权限、强制使用复杂密码、启用二次验证等来防止票据伪造。

4.2.1 黄金票据

在前面的kerberos的认证过程中，有提到过在向AS身份认证服务请求TGT票据的时候AS_REP的过程中，使用的是krbtgt用户的hash进行加密的。所以，如果我们拥有krbtgt的hash时，就可以给我们自己签发任何用户的TGT票据，那么就可以发送给TGS换取任意服务的ST。所以说就相当于可以伪造域内的最高权限。

利用前提：

1、获取域名

2、获取域SID

3、获取域的KRBTGT账号NTLM-HASH值

4、伪造管理员用户名

为了防止黄金票据攻击，可以采取多种措施，如限制管理员组的成员、使用复杂密码、定期审查管理员活动、限制 Kerberos 系统中的 TGT 代理等。同时，还需定期更新系统和应用程序，并加强管理员的安全培训，提高他们的安全意识和防范能力。这些措施可以加强系统的安全性，减少黄金票据攻击的风险。

4.2.2 白银票据

白银票据是一种通过滥用 Kerberos 认证系统漏洞，伪造任何服务的票据，获得未授权的访问权限的攻击方法。

利用条件：

1、获取域名

2、获取域SID

3、目标服务器FQDN（hostname+域名）

4、可利用的服务

5、服务账号的NTML HASH

6、需要伪造的用户名

为了防止白银票据攻击，可以禁用 NTLM 认证、定期更换 Kerberos 中的服务帐户密码、启用网络隔离、审查和限制管理员组的成员、使用 Microsoft 的 Enhanced Mitigation Experience Toolkit（EMET）等措施。同时，还需定期更新系统和应用程序，并及时应用安全补丁。这些措施可以加强系统的安全性，减少白银票据攻击的风险。

4.3 Windows中抓取hash

在Windows中用户登录的凭证保存在SAM类型的文件中，SAM类型的文件一直都会被系统所占用，SAM类型的文件包括ntds.dit和SAM，SAM文件中报存着当前计算机下的所有用户的hash，ntds.dit保存了域中的所有hash。在计算机上一直有一个长期运行的进程叫做LSASS，这个进程中能够读取SAM文件中的hash。由于此特性，如果攻击者能够读取LSASS进程，就可以将用户的hash抓取出来。也因此，在2014年由Benjamin Delpy开发了一款可以dump内存分析的工具Mimikatz[6]，这个工具还可以用于生成票据，执行hash传递攻击。下图4-2所示，为使用mimikatz抓取Windows中hash。

添加图片注释，不超过 140 字（可选）

图4-2 使用mimikatz抓取hash

---

第5章Windows域环境渗透测试实验

5.1 实验环境

实验环境使用VM虚拟机启动了4台虚拟机，模拟真实场景下的Windows域环境。域环境中包含三台主机，其中一台是Win7系统用于启动Web服务，另外两台是个人PC机器，分别是Win 7和Win10系统。该实验环境有两个网段，一个是192.168.1.0/24网段，另一个是192.168.50.0/24网段。只有装有Win7系统的WEB服务器可以与攻击机通信，其他主机不能联网。

实验环境，如图5-1所示：

攻击机：192.168.1.20/24

域内环境：

DC域控制器：192.168.50.10/24

WEB服务器：192.168.1.10/24、192.168.50.20/24

PC-WIN7：192.168.50.30/24

PC-WIN10：192.168.50.40/24

添加图片注释，不超过 140 字（可选）

图5-1 实验环境拓扑

5.2 实验过程

攻击机（192.168.1.20）首先扫描到WEB服务器（192.168.1.10）开放了Web服务80端口，并发现该服务器部署了ucms管理系统。如图5-2所示，由于该系统存在弱口令漏洞，攻击者可以通过该漏洞进入系统后台。

添加图片注释，不超过 140 字（可选）

图5-2 ucms实验环境后台登录入口

在其文件修改处发现存在任意文件上传漏洞，可通过该漏洞上传任意文件，通过上传WebShell获取到该主机的权限，如图5-3所示。

添加图片注释，不超过 140 字（可选）

图5-3 Ucms文件上传漏洞

通过蚁剑连接该WebShell进行信息收集，发现这台主机是Win7系统，通过使用phpstudy来启动Apache服务，该主机存在两张网卡，除了访问的ip，还存在一张ip为192.168.50.20/24的网卡，通过查看IP配置，如图5-4所示，发现该主机是域环境内的一台域成员机。

添加图片注释，不超过 140 字（可选）

图5-4 通过ipconfig命令发现域环境

因此，我们继续使用该主机进行信息收集。首先，我们需要收集域内的主机情况和敏感用户信息。我们可以通过运行arp -a命令来查看路由表信息，以获取内网中存在的IP地址，如图5-5所示。然后，我们可以使用ping -a命令来反向查找主机名，如图5-6所示。最后，我们可以通过LDAP查询来获取域环境下的敏感用户信息。通过信息收集，我们收集了该环境下的主机情况和敏感用户信息，并将其列在表5-1和表5-2中。

表5-1 域内主机情况

操作系统	IP地址	主机名	域内角色
WindowsServer2008	192.168.50.10	WIN-G6L03NL9JAJ	域控制器
Windows7	192.168.50.20	WIN7_WEB	WEB服务器
Windows7	192.168.50.30	WIN-348BP5FU4UC	个人PC
Windows10	192.168.50.40	DESKTOP-AQ9SU9R	个人PC

添加图片注释，不超过 140 字（可选）

图5-5 通过arp -a查询路由表

添加图片注释，不超过 140 字（可选）

图5-6 通过ping反查获取主机名

表5-2 域内敏感用户

角色	名称	权限
用户	Administrator	域管理员
用户	Wangwu	普通域用户

由于WEB服务以管理员权限运行，因此可以对进程lsass.exe进行凭证窃取。采用mimikatz进行凭证窃取后，我们获得了两个本地账户的hash，一个本地账户的明文密码以及一个域用户的明文密码和hash。利用这个域用户的明文密码，我们可以进行横向移动，并使用该域用户Wangwu登录到其他域内成员机上。WEB服务器所收集的获取的凭证如表5-3所示。

表5-3 WEB服务器收集的凭证

用户名	作用域	密码/HASH
Zhangsan	WIN7_WEB	Zhangsan123.
Wangwu	TEST	YuUser123.
Wangwu	TEST	85ec8ed89ed370bf435c3c69fc7bafb1
Administrator	WIN7_WEB	31d6cfe0d16ae931b73c59d7e0c089c0
Guest	WIN7_WEB	31d6cfe0d16ae931b73c59d7e0c089c0

下一步，我们要使用Wangwu这个普通域用户进行横向移动，由于在PC-WIN7和PC-WIN10上都只有一张网卡和WEB服务器在同一个网段，我们的攻击机无法直接访问到，这个时候就需要先使用WEB服务器作为跳板，在WEB服务器开启socks代理，进行流量的转发，首先把代理工具上传到WEB服务器上，其次在WEB服务器开启socks代理端口，之后使我们的攻击机流量全部通过代理端口转发过去。

添加图片注释，不超过 140 字（可选）

图5-7 通过ew在WIN7_WEB上开启socks端口

添加图片注释，不超过 140 字（可选）

图5-8 通过psexec横向移动到PC-WIN上

首先使用Wangwu这个域用户横向到个人PC-WIN7上（WIN-348BP5FU4UC），在PC-WIN7上由于域管理员账户并没有登录过该机器，因此在此机器上没有获得其他有用的信息。继续用Wangwu这个域用户横向到个人PC-WIN10上（DESKTOP-AQ9SU9R），由于使用的是PSEXEC[8]进行横向移动，可以直接获取到系统的SYSTEM权限，再通过窃取凭证，最终获取到了TEST/Administrator域管理员用户的hash“04e78a614c840e864f64b2f985aac399”。Administrator账户拥有着域管理员和DC服务器本地管理员的权限，我们可以通过哈希传递（pth）攻击，横向移动到DC控制器主机（192.168.50.10）上。

在DC控制器主机（192.168.50.10）上，由于Administrator账号还有着本地管理员权限，因此可以获得krbtgt账户的hash，来制作黄金票据以进行权限维持。首先获取域的SID，也就是域用户的SID去掉最后一部分，图5-9可以看到抓取的SID为“S-1-5-21-1840338072-2545107309-1652752321”，再抓取krbtgt账号的hash，如图5-10所示，此处抓取到的hash为“cec140894eed6154a6b71802b5a44411”，通过域名、域的SID、krbtgt账户的hash和伪造的任意用户名即可制作黄金票据，如图5-11。如图5-12所示，我们可以通过票据来访问PC-win7的共享目录了。

添加图片注释，不超过 140 字（可选）

图5-9 获取域的SID

添加图片注释，不超过 140 字（可选）

图5-10抓取krbtgt用户的hash

添加图片注释，不超过 140 字（可选）

图5-11 制作黄金票据

添加图片注释，不超过 140 字（可选）

图5-12 通过票据访问PC-win7的共享目录

在完成生成黄金票据之后，相当于已经做好了权限维持，即使域管理员用户Administrator密码被修改之后，我们仍然可以使用做好的票据来进行登录访问域控主机或者其他域成员机器。在渗透的最后一步就是对域环境做持久化，在WIN7_WEB主机上可以通过注册一个开机自启动服务来执行我们的后门，以达到对WIN7_WEB这台主机的持久化控制。在下次WIN7_WEB这台主机开机的时候就能够直接上线cs [5]服务器。这里我们通过注册一个名为GoogleUpdated自启动服务，如图5-13，在开机时候会自启启动该服务，以达到持久化的操作。

添加图片注释，不超过 140 字（可选）

图5-13 注册一个名为GoogleUpdated的自启服务

5.3 实验结果

最终，我们通过一个完整的PTES渗透过程对整个的Windows域环境完成了攻击，从最初的信息收集到漏洞分析、漏洞攻击阶段，再到拿下WIN7_WEB主机之后的后渗透阶段，在后渗透阶段又进行了权限提升、横向移动、凭证窃取、权限维持和持久化操作。整个攻击实验全都符合PTES渗透测试标准。整个攻击过程形成了一个比较完成的杀伤链，如图5-14所示。

添加图片注释，不超过 140 字（可选）

图5-14 Windows域环境杀伤链

本节通过模拟Windows域环境，并根据PTES渗透测试标准在域环境下进行了一个完整的域环境杀伤链的攻击。证明了Windows域环境中的杀伤链的重要性。

---

第6章未来展望与总结

未来的网络环境将会更加复杂和多样化，这也将带来更多的挑战和机遇。在渗透测试领域，我们预计将出现新的威胁和漏洞，需要更加智能和高效的渗透测试方法来应对。同时，对于大规模企业网络的渗透测试，域环境的安全性评估将成为重点，需要开发更多的工具和技术来支持这一领域的研究和实践。

未来的研究方向可能包括更深入地探索域环境的攻击和防御机制，例如域隔离、权限管理和漏洞利用等。同时，基于人工智能和机器学习的渗透测试方法也将变得更加重要和普遍，可以提高测试的效率和准确性。此外，需要开发更好的渗透测试框架和工具，以支持更广泛的安全测试和评估。

在未来，我们还可以看到渗透测试与其他安全领域的整合，例如移动安全、云安全和物联网安全等。这将为安全研究者和实践者带来更多的机遇，也需要我们不断学习和探索新的技术和方法。

最后，我们建议在未来的研究和实践中，注重实际应用和解决方案。这包括开发更好的渗透测试工具和方法，建立更严格的安全标准和规范，提供更好的培训和支持，以及促进研究和实践之间的合作和交流等等。我们相信，在未来的努力下，基于域环境的渗透测试将不断取得新的进展和成果。

---

参考文献

[1]daiker.Windows内网协议学习Kerberos篇之ASREQ& ASREP [EB/OL]．[2019-11-05]．Windows内网协议学习Kerberos篇之ASREQ& ASREP-安全KER - 安全资讯平台．

[2]statcounter. Browser Market Share Worldwide[EB/OL]. [2023]. https://gs.statcounter.com/.

[3]Mariko Fujimoto, Wataru Matsuda, Takuho Mitsunaga Detecting Abuse of Domain Administrator privilege using Windows Event Log[C]. 2018 IEEE Conference on Application, Information and Network Security, AINS 2018, Nov 21 2018-Nov 22 2018, Langkawi, Malaysia: IEEE, 2018.

[4]Afnan Binduf, Hanan Othman Alamoudi, Hanan Balahmar. Active Directory and Related Aspects of Security[C].2018 21st Saudi Computer Society National Computer Conference (NCC). Riyadh,Saudi Arabia: IEEE,2018.

[5]Raphael Mudge,HelpSystems. Software for Adversary Simulations and Red Team Operations[EB/OL]. [2023-04-01]. https://www.cobaltstrike.com/.

[6]Gentilkiwi. Mimikatz[EB/OL]. https:/github.com/gentilkiwi/mimikatz/. [2020]

[7]付浩．内网渗透体系建设[M]．北京：电子工业出版社，2022．

[8]Github.Impacket[EB/OL]https://github. com/SecureAuthCorp/impacket.[2021]

[9]Microsoft.Microsoft Security Bulletin MS14-068[EB/OL].https://docs.microsoft.com/en-us/security-updates/Security Bulletins/2014/ms14-068.[2014]

[10]Microsof.MS 16-063: Cumulative security update for Internet Explorer: June 14, 2016 [EB/OL].

https://support.microsoft.com/en-us/topic/ms16-063-cumulative-security-update-for-internet-explorer-june-14-2016-41ba63bc-ae11-a6be-436a-1e4e0fd84ec4. [2016]

[11]0KEE Team.WatchAD[EB/OL]https://github.com/0KeeTeam/WatchAD/blob/master/.[2019]

[12]daiker.Windows内网协议学习NTLM篇之NTLM基础介绍[EB/OL]．[2019-11-19]．Windows内网协议学习NTLM篇之NTLM基础介绍-安全KER - 安全资讯平台.

[13]Microsoft.Service Principal Names[EB/OL].https://docs.microsoft.com/en-us/Windows/win32/ad/service-principal-names.[2018]

[14]Pixis. Silver & Golden Tickets[EB/OL]. [2020-01-15]. https://en.hackndo.com/kerberos-silver-golden-tickets/.

[15]PTES. Penetration Testing Execution Standard[EB/OL]. [2023-04-01]. The Penetration Testing Execution Standard.

[16]Yagi, T., Nishiyama, M., Kato, N. Relational vulnerability prediction for cybersecurity. IEEE Access 8 (2020): 70889-70899.

[17] Goseva-Popstojanova, K., Anthropic, P., Gligor, V.D., Dacier, M. Characterizing intrusions in a cyber-physical system. IEEE Access 8 (2020): 62406-62434.

致 谢

光阴似箭，岁月如梭，四年的本科生涯转瞬即逝，我即将踏上新的征程。在这段美好的时光里，我收获了无数的回忆和感动，这些美好的经历将伴随我一生，将是我一生最宝贵的财富。在论文的最后，我要由衷地感谢我的良师益友和我的家人。

首先，我要感谢我的导师张春芳老师。从论文选题、任务书、开题报告、方案设计、实验的实施，到论文的撰写，每一个环节张老师都为我们给予了很多详细的修改建议，她的严谨治学精神、博学多才的知识储备以及耐心细致的指导让我深感敬佩和感激。

特别感谢实验室的王方伟老师和王长广老师。他们在我这四年的网络安全比赛中，给予了我们非常多的指导，并且带领我们取得了一些比赛成绩。感谢老师们在我本科期间对我的教育和培养，使我受益匪浅。

感谢实验室战队的队友，在本科四年里，他们给予了很多支持和帮助，一起参加网络安全比赛，一起解决掉许多困难的比赛题。

感谢我的父母和亲人，感谢他们一直以来对我的默默支持和帮助；感谢我的女朋友，在我遇到困难时，一直为我加油鼓励。

最后，非常感谢为评阅论文付出宝贵的时间和精力的专家和教授，感谢你们为我的论文提出宝贵的意见和建议。