65内网安全-域环境&工作组&局域网探针
这篇分为三个部分，基本认知，信息收集，后续探针，
基本认知
分为，名词，域，认知；
完整架构图
名词
dwz称之为军事区，两个防火墙之间的区域称之为dwz，但安全性比内网较低，在dwz有邮件服务器，web服务器，我一般攻击内网是借助的web服务器。有dwz的存在大大增加了渗透内网的难度，即使拿下了web权限，也是要在渗透内网才可以的。
把一些不得不对外开放的东西，放到dwz；不用对外开放的都放在内网。
局域网：小公司，几台计算机的成为局域网也叫做工作组；
和域环境的区别：
范围小的计算机在一个局域网里面我们叫做工作组，不用去管理这些计算机。域环境需要一台主机去管理这些计算机，在大型环境里面就会用到域环境，方便去管理每一台机器，不用一台一台去管理，工作组的升级版。
工作组和域环境的攻击手法也有所差异。
域控制器dc；就是这个域里面的管理者，
活动目录ad；这是域控制器上面的一个策略，功能主机，比如一些安装软件，策略啊，都是由他来管理，
域
单域；公司里面有一个域环境，把所有东西都放在哪一个域里面，就是单域，
父域和子域；假如公司有了分公司，分公司有一个自己单独的域，但是还是会被主公司统筹管理
域数和域森林；框架结果有很多分支就称之为域森林，
认知
linux域渗透问题；linux域需要一个叫ldap的环境支撑，而且功能环境没有windows那么强大，大部分碰到的域都是windwos； 所以讲这个内网只会讲一点点linux。
局域网技术适用问题；
比如搜索，很明显地给出了适合局域网攻击，
大概内网流程安全问题；
大概就是，前期把基础知识搞清楚，接下来就进行信息收集，信息收集完只会就会涉及权限提升，权限可在前也可在后，我一般喜欢放在前面，自己权限足够高才能更好的操作；接下来就是横向渗透，知识点主要集中在这块；接下来是权限维持，不过重点还是在前面横向渗透，把前面横向渗透搞清楚之后，权限维持也懂
域环境框架
别的所有设备都在一个网段，唯独web服务器有两个网段，不同的网段就是对外开发的网段，黑客攻击的网段也是这个对外开放的，黑客通过对外的网段攻击到计算机，由于内网网段处于内网的链接，又享有192.168.3.31的访问的权限，可以针对内网环境的一些主机进行访问，攻击，首要攻击目标就是域控机dc。
这是单域的情况框架
案例一信息收集
信息收集包括：
信息收集的意义：判断当前服务器的操作系统以及版本，计算机的基本信息，为后续判断服务器脚本和网络环境做准备，
旨在了解当前服务器的计算机基本信息，为后续判断服务器角色，网络环境等做准备
systeminfo 详细信息
net start 启动服务
tasklist 进程列表
schtasks 计划任务
在执行查看计划任务的适合就提示出来权限不够，这就是为什么要做提权操作，
案例二网络信息收集操作演示
旨在了解当前服务器的网络接口信息，为判断当前角色，功能，网络架构做准备
ipconfig /all 判断存在域：根据是否有“主DNS后缀”一栏判断是否存在域
net view /domain 判断存在域：能成功返回说明存在域
net time /domain 判断主域：会返回主域的时间，可以确定主域名，配合“nslookup”“ping”确定IP地址
netstat -ano 当前网络端口开放
nslookup 域名 追踪来源地址
最简单的判断是域的方法 ipconfi /all
看回显这里，dns后缀有显示，就是在域里面
我本机执行就没有，
net view /domain，判断
看到回显有信息版本就是有域
我本机就没有
net time /domain 判断主域
net time是查看时间的意思，而加上/domain就是在域环境里面查看
出现了这个东西，前面输入ipconfig /all有一个dns后缀叫god.org
本机就没有
域森林和父域子域概念,dns后缀是got.org，现在有两个主机名字
这就出现了域森林，多余的型号，说明当前环境存在多域
sqlserver.god.org
这个就是父域
xiaodi.sqlserver.god.org
这个就相当于子域
为什么输入那个查看时间判断主域，因为域的时间一般都以域控制器为准，所以获取域时间，就会从域控上面获取，而前面显示的名字，就是域控的名字
这时候就可以利用nslockup 域控名字 去查看ip
这个ip地址就是域控的ip
也可以直接去ping主机名在获取到ip地址
netstak -ano
查看当前主机开放端口
信息主要是为了判断端口情况，为当前角色，功能，框架做出准备，知道当前服务器是干嘛用的，比如前面看基本上我发现这台主机的名字叫做webserver，webserver就是web服务器，这台计算机服务器就是网站服务提供。
每个服务器的角色，就大概知道干嘛用的。通过知道角色可以判断出来攻击手法，比如是网站服务器主机就用web攻击手段；自己的个人电脑，就不可能使用web攻击手法，他连网站都没有。
案例三用户信息收集操作演示
旨在了解当前计算机或域环境下的用户及用户组信息，便于后期利用凭据进行测试，系统默认常见用户身份（我们主要攻击Domain Admains和Enterprise Admains，大部分成员主机在Domain users域用户里）
Domain Admins：域管理员（默认对域控制器有完全控制权）
Domain Computers：域内机器
Domain Controllers：域控制器
Domain Guest：域访客，权限低
Domain Users：域用户
Enterprise Admins：企业系统管理员用户（默认对域控制器有完全控制权）
一般我们主要攻击目标就是Domain Admins：域管理员和Enterprise Admins：企业系统管理员用户
而用户一般都存放在Domain Users：域用户
net user 本地用户
在本地用户一个普通用户点计算机右键管理的时候，会弹窗要登录adminsteast账户密码次啊可以打开，而如果登录管理用户的就可以直接右键管理查看策略什么的信息
net user /domain 获取域用户信息
net localgroup 本地用户组
net group /domain 查看域里面用户组
wmic useraccount get /all 涉及域用户详细信息
就相当于知道了域里面的用户名以及ip，假如有了域用户的密码就能进行操作了，书记这个信息就是为了后续密码账户攻击做准备，有了域用户名就可以用密码上面的攻击套用上去进行攻击，爆破，
net group "Domain Admins" /domain 查询域管理员账户
net group "Enterprise Admins" /domain 查询管理员用户组
net group "Domain Controllers" /domain 查询域控制器
案例四凭据信息收集操作演示
分为两类，
计算机用户的hash值，和明文的获取，指的就是操作系统上的账户密码信息，
mimikatz(爆破hash值的神器)，
imikatz下载：https://github.com/gentilkiwi/mimikatz/releases
这个需要管理员权限运行才可以，所以为什么课程安排是先进性提权，然后运行这个脚本，这个脚本有一个是免反弹式窗口的脚本，运行他就可以自动生成一个txt文件，里面就是运行后的结果，不用担心会出现没有反弹式窗口的情况
以管理员身份运行
之后就直接出来了明文密码和hash值
linux版本的脚本，没有mimiakatz好
mimipenguin下载：https://github.com/huntergregal/mimipenguin/releases/
打开下载链接有他支持的部分版本
下载好解压，直接运行脚本就会返回结果
计算机协议服务口令的获取，
要收集的信息
1.站点源码备份文件、数据库备份文件等
2.各类数据库 Web 管理入口，如PHPMyAdmin
3.浏览器保存密码、浏览器 Cookies
4.其他用户会话、3389 和 ipc$连接记录、回收站内容
5.Windows 保存的 WIFI 密码
6.网络内部的各种帐号和密码，如：Email、VPN、FTP、OA 等
收集这些的作用：内网的攻击大部分都是建立在口令上的攻击，而管理员设置的密码都会有一定规矩，可能跟自己名字有关吧，就比如正常人的微信密码和qq的肯定有相似，甚至一样。内网肯定有办公电脑，有办公电脑就有他个人信息在上面，
两个利用工具；LaZagne(all)，XenArmor(win)
LaZagne
这个要注意免杀，听老师说就是改一下md5字符串就行
直接拖入命令行运行
选择参数所有
但是有很多秘密都得不到，这里的解释，就是这个脚本是给垃圾，只是支持面广而已
下载：https://github.com/AlessandroZ/LaZagne （注意不能直接点击运行会闪退，要在命令行里面运行）
XenArmor(win)
国外软件，价格40-50美元，网上可能有破解版，不过是老版
下载地址：https://xenarmor.com/allinone-password-recovery-pro-software/（浏览器、WiFi、FTP的密码都可以发现）
这个收费的就是牛逼
什么密码都翻出来了。连你忘了的密码都有，就是这么牛逼，付费就是不一样
获取这么口令密码的原因：这些口令密码就能是我的字典，开了3389协议，用这个字典去测试能不能登录，如果能登录我就拿到了新的一台内网服务器权限，拿到了之后再继续执行这个事情，然后字典就更加全面，
案例五探针主机域控架构服务操作演示
现在是一家把信息收集，收集好了，
探针域控制器以及地址信息
net time /domain，看到控制器的名字
nslookup 控制器名 查看控制器的详细信息
ping 域控名 获取到ip
探针域内存活（在线）主机及地址信息
存活主机就是指在线的主机，
nbtscan 192.168.3.0/24 第三方工具（类似于nmup,但是会标注域用户名和dc）
---下载：http://unixwiz.net/tools/nbtscan.html
（既不免杀，也老，还要下载）实在不怎么滴
好处就是会标明域控，但是，这个第一步就已经获取了
for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.3.%I | findstr "TTL="（用for循环去ping1-254网段的主机，这是自带内部命令，不会被杀毒软件拦截）
不用担心扫描被杀
其它探针方式如：
nmap（易拦截）、masscan、第三方PowerShell脚本（windows的脚本开发语言）、nishang（推荐）、empire（推荐）等
PowerShell是windows上面的一个语言，和cmd差不多的，可以实现在windows实现功能开发语言，实现一些功能，攻击者就利用这个自己写一个PowerShell的脚本去攻击，
Nishang下载： https://github.com/samratashok/nishang
第一步导入模块，Import-Module .\nishang.psm1
如果导入不了，就设置一个执行策略
Set-ExecutionPolicy RemoteSigned
设置完之后点y就行
Get-Command -Module nishang 获取模块nishang的命令函数（有很多命令函数分别执行不同功能，比如以下命令）
Get-information 获取常规计算机信息
组，用户，密码，域，目录什么的都收集好了
Invoke-Mimikatz 获取计算机用户名密码
调用一下这个mimikatz参数
和执行mimikatz得到的一模一样
Invoke-Portscan -startaddress 192.168.3.0 -Endaddress 192.168.3.100 -ResolveHost -ScanPort 端口扫描（查看目录对应文件有演示语法，其他同理）
真的牛逼，根据名字在判断每个电脑的角色，有些设置了权限会出现访问不了，提权提到系统权限，就能突破这个限制，就不收用户的限制，
其他的功能：删除补丁，反弹shell，凭据获取
- 利用开放端口服务及计算机名判断
- 核心业务机器：
- 1.高级管理人员，系统管理员，财务/人事、业务人员的个人计算机
- 2.产品管理系统服务器
- 3.办公系统服务器
- 4.财务应用系统服务器
- 5.核心产品源码服务器
- 6.数据库服务器
- 7.文件或者网盘服务器
- 8.电子邮件服务器
- 9.网络监控系统服务器
- 10.其他服务器（内部技术文档服务器，其他监控服务器）
当前渗透成功的角色基本上可以确定能不能渗透成功的概率。
fa
cai