攻防環境之域滲透

• 2019 年 11 月 20 日
• 筆記

本文全部工具網上都能下到（github）

搭建環境

由於下面三個部分都需要用到域，環境搭建起來有點複雜，涉及到的知識點多，而且失敗了很多次，所以也就記錄下來了。

本文只是域滲透基礎，用的都是常規手段，所以沒有涉及繞過防火牆以及殺軟。

梳理思路

這是參照拓撲圖

所需要了解的知識點（自己Google學習）

• 子網劃分與子網掩碼
• NAT模式
• DHCP伺服器
• DNS伺服器
• 域和域之間的關係
• 域和林的區別
• 域控常規操作
• 電腦與域
• 將要搭建的環境拓撲圖，以及進攻路線（對域環境熟悉的可跳過這部分）

第一步：chuanxiao主域配置

域控：win2008

域成員：win2003、win2012

域控

首先在win2008配置域控，運行：dcpromo

下一步到

命名

林功能級別：我調到最大

需要安裝DNS伺服器，選是，一路是

下一步一直到安裝並重啟

改一波主機名，方便識別

配置下IP

可以上網

能ping通2個域成員（這一步需要添加完域成員再測試）

域成員

將win2003加入域，配置IP，因為要求2003要能上網，所以就讓它自動獲取

改個名，然後加入域

可上網，可ping通域控

也可ping通另一個域成員

將win2012加入域，配置IP，這裡要注意兩點

• 不可上網：默認網關不能填
• 能和其他域成員通訊：相同網段

改名，加域

不可上網，可ping通域控

可ping通其他域成員

來檢查下域成員

chuanxiao域環境搞定

第二步 ：segregation子域配置

子域控

和2008大同小異，添加角色和功能

域服務

一路下一步到安裝完畢，開始配置

切換域管理帳號添加子域

一路安裝到重啟

子域成員

win7配置IP

改名並加入segregation子域，注意域名的填寫

先檢查是否能上網：不能

再檢查是否能ping通子域控：能

最後檢查是否能ping通非子域段的成員：不能（以主域控為例）

大功告成，喜極而泣

復現

先來操作一些常規手段

GPP

首先，如果不創建一個新的組策略或者進行相應配置，是沒有那些個XML文件的

打開組策略管理，創建一個GPO，起個名：chuanxiao

設置 -> 右鍵 -> 編輯

本地用戶和組 -> 右鍵 -> 新建 -> 本地用戶

如圖配置好

回到最初的文件夾，多出了一個

點進去，會看到和其他兩個不同的是，有一個新的Goup Policy文件夾

進到user文件夾，一路點下去，就能看到我們的目標Goups.xml了

打開，成功找到cpassword：vzJGjUknHacpyDTYoGSnsDrMV+hiJ1umoeXb/J+aVZs

parrot解密一波

搞定，下一個

MS14-068

搞之前來個快照，以免給下面幾個實驗造成影響

拿SID：S-1-5-21-3768270215-1557359955-1468639445-500

下面有2種方法，親測都OK

第一種：python的exp，不過我這裡 -d 參數後面加的是IP，要不然會出問題

第二種：metasploit，先找模組再生成文件

兩種方法的設置都大同小異，用python生成的文件在win2012（win2008主域內）繼續操作

搞定，下一個

黃金票據

恢復一下快照

不知道什麼原因一直報錯

試了N多辦法，查了N多資料還是沒搞定，只能迂迴解決，dump出所有user，目標krbtgt就在裡面

記錄下sid和NTLM

sid: S-1-5-21-3768270215-1557359955-1468639445

NTLM: a93576ad393e1247ad4e7155060bdac2

利用

驗證

和上面一樣，沒輸入帳號密碼，搞定，下一個

白銀票據

恢復一下快照，寫之前，比較一下兩種票據的區別

訪問許可權不同：

Golden Ticket：偽造TGT，可以獲取任何Kerberos服務許可權

Silver Ticket：偽造TGS，只能訪問指定的服務

加密方式不同：

Golden Ticket由Kerberos的Hash加密

Silver Ticket由服務帳號（通常為電腦賬戶）Hash加密

認證流程不同：

Golden Ticket的利用過程需要訪問域控，而Silver Ticket不需要

導出登陸過這台電腦的域控帳號資訊

記錄下主域控的SID和NTLM

SID: S-1-5-21-3768270215-1557359955-1468639445

NTLM: 5e7a0d02674521d8d335bfc0eff7107e

先清除下票據，不過我們已經恢復了快照。。直接利用

驗證

搞定

滲透實驗

這次實驗用主要用metasploit解決，當然Empire也是可以的。

WIN-2003

首先，我們的起點是一台win2003，把它作為內網滲透的突破口

載入kiwi模組（其實就是mimikatz）

失敗，我們現在只是administrator許可權

因為是win2003，可以getsystem直接提權到system

creds_all，看到域管理員帳號，而且抓到明文密碼（域管必須登陸過這台電腦才能有明文密碼）

通過查詢伺服器時間查看域控電腦名

域名：chuanxiao.com，域控電腦名：WIN-2008-DC，反查域控IP

域控IP：192.168.0.25，下面又有很多方法彈回域控的shell，糾結了很久，傳一個wmiexec.vbs上去彈吧

因為是域控，可以用dsquery查詢域內電腦

發現win-2012主機，反查ip

不過就這麼放過域控有點可惜，就用web_delivery彈一個meterpreter回來

WIN-2008-DC

先生成一個powershell程式碼

回到那個WIN-2008-DC的那個普通shell那裡執行這段powershell

成功拿到，不過要等一會，而且看網速，總之還有很多辦法。。。

老樣子提權載入kiwi

看了看沒什麼有價值資訊，不廢話，直接老辦法跳到win2012去

出問題了，刪了wmi.dll依然沒用，上傳個psexec上去彈，依然失敗

既然沒用，那就先在win2008彈個遠程桌面，用EarthWorm轉發下埠

這次用本機監聽

用meterpreter操縱傳上去的EarthWorm轉發埠

本機成功接收

遠程桌面本機的1080，並登錄

完美

WIN-2012

繼續用psexec彈shell

果然成功了，看來普通shell還是有點限制的

用老辦法，生成一段payload，在192.168.0.166執行，這次換regsvr32

從meterpreter轉為普通shell，查看域名和域成員

發現新成員WIN-7，因為一台電腦不能加多個域，所以segregation為子域，查詢域控

WIN-2012為域控，完整域名為segregation.chuanxiao.com，反查win7的IP

由於這台win7沒打過修補程式，永恆之藍搞一波，退回meterpreter，添加下路由

退回msfconsole，殺掉其他shell

查找永恆之藍模組，因為已經知道win7有這個漏洞就不掃了，直接攻擊

我家網差，打了好多次都沒打進去。。。

截個失敗的圖，至少可以看出正在攻擊192.168.66.66（上面添加路由的步驟成功），最後連shell都崩潰了。。。

沒辦法，還是遠程桌面吧，用EarthWorm連到192.168.0.166，再從裡面直連192.168.66.66

先拿密碼

登錄192.168.0.166，再連192.168.66.66

WIN-7

拿報表

管理員帳號登上去啥都沒有，而且目標報表放在普通用戶的桌面上，莫慌

拉進192.168.0.166的共享里

退出遠程桌面，查看

目標一搞定

卷影

下面拿卷影

拿卷影要登錄該電腦的賬戶，如果用子域控WIN2012來操作會報錯

上傳mimikatz抓取明文密碼

切到本地賬戶導出log

切回win2012的c盤查看

生成ntds.dit

修復卷影

用ditsnap打開

一切正常，全部搞定。

此章完

TO BE CONTINUED... ... ...

作者：傳銷 （文章轉載請註明來自：IT同路人論壇）