紅隊實戰寶典之內網滲透測試

第1部分　內網滲透測試
第1章　信息收集 2
1.1　埠掃描 2
1.1.1　使用Railgun進行埠掃描 3
1.1.2　使用fscan進行埠掃描 3
1.1.3　使用masscan進行埠掃描 5
1.2　口令爆破 5
1.2.1　集成多種協議的爆破工具 5
1.2.2　通過NTLM Hash爆破 7
1.3　主機信息收集 9
1.3.1　基本信息收集 9
1.3.2　文件目錄信息收集 11
1.3.3　軟件環境信息收集 12
1.4　數據庫信息收集 15
1.4.1　MySQL數據庫信息收集 15
1.4.2　MSSQL數據庫信息收集 17
1.4.3　Oracle數據庫信息收集 20
1.5　數據分析 23
1.5.1　獲取數據 23
1.5.2　傳輸數據 25
1.5.3　分析數據 27
第2章　下載與執行 29
2.1　使用Web服務下載 29
2.1.1　通過Python開啟HTTP服務 29
2.1.2　通過PHP開啟HTTP服務 * 29
2.1.3　雲對象存儲 * 30
2.1.4　通過Python開啟HTTPS服務 31
2.2　常用下載命令 31
2.3　啟動可執行文件 32
2.3.1　通過wmic啟動可執行文件 33
2.3.2　通過計劃任務啟動可執行文件 33
2.3.3　通過服務啟動可執行文件 34
2.3.4　通過Linux反彈Shell啟動可執行文件 34
2.3.5　通過繞過AppLocker限制啟動可執行文件 35
2.3.6　通過NTFS交換數據流啟動可執行文件 39
2.3.7　通過工具加載dll文件 40
2.3.8　使用PowerShell繞過AMSI 43
2.3.9　繞過父進程檢測 43
2.4　下載後自動執行 43
2.4.1　使用msiexec下載並執行 43
2.4.2　使用regsvr32下載並執行 46
第3章　通道構建 47
3.1　判斷目標以哪種協議出網 47
3.1.1　判斷TCP是否出網 47
3.1.2　判斷HTTPS是否出網 48
3.1.3　判斷UDP是否出網 48
3.1.4　判斷ICMP是否出網 49
3.1.5　判斷DNS協議是否出網 49
3.2　反向代理 50
3.2.1　使用FRP搭建反向SOCKS代理 50
3.2.2　使用ICMP隧道配合frp搭建代理 56
3.2.3　使用ICMP隧道突破上網限制 59
3.2.4　使用spp通過ICMP隧道搭建代理 59
3.2.5　使用stowaway搭建多級網絡 59
3.2.6　搭建反向DNS隧道 63
3.2.7　使用v2ray搭建反向代理 65
3.3　正向代理 68
3.3.1　Webshell類型代理的使用 68
3.3.2　使用goproxy搭建正向代理 70
3.3.3　基於埠分流思路的埠復用 70
3.3.4　通過SSH隧道搭建SOCKS5代理 72
3.3.5　使用openvpn搭建正向代理 73
3.3.6　使用v2ray搭建正向代理 74
3.4　如何使用SOCKS代理 75
3.4.1　通過Proxifiler使用SOCKS代理 76
3.4.2　通過proxychains使用SOCKS代理 77
3.4.3　多級代理的使用 78
第4章　密碼獲取 79
4.1　Windows密碼獲取 79
4.1.1　主機密碼獲取 79
4.1.2　瀏覽器密碼獲取 85
4.1.3　通用工具 87
4.1.4　其他常用軟件 89
4.2　Linux密碼獲取 91
4.2.1　利用SSH後門記錄密碼 91
4.2.2　利用strace記錄密碼 91
4.2.3　利用SSH蜜罐記錄密碼 92
4.3　Web權限記錄密碼 93
4.4　密碼碰撞 94
4.4.1　使用hashcat進行密碼碰撞 95
4.4.2　使用passwarekit破解文檔密碼 95
第5章　權限提升 97
5.1　Windows提權 97
5.1.1　UAC的原理及繞過 97
5.1.2　爛馬鈴薯提權 102
5.1.3　利用錯誤配置提權 109
5.1.4　常用提權CVE 111
5.2　Linux提權 112
5.2.1　利用漏洞提權 112
5.2.2　利用錯誤配置提權 117
第6章　橫向移動 118
6.1　在Windows中進行橫向移動 118
6.1.1　使用遠程計劃任務進行橫向移動 118
6.1.2　使用遠程創建服務進行橫向移動 119
6.1.3　使用WMI進行橫向移動 119
6.1.4　使用crackmapexec進行橫向移動 121
6.1.5　使用psexec進行橫向移動 121
6.1.6　使用SCShell進行橫向移動 122
6.1.7　通過哈希傳遞進行橫向移動 122
6.1.8　在不連接遠程445埠的情況下進行橫向移動 123
6.1.9　橫向移動中的拒絕訪問問題 127
6.1.10　通過“永恆之藍”漏洞進行橫向移動 127
6.1.11　中間人攻擊 128
6.2　利用數據庫進行橫向移動 129
6.2.1　通過MySQL UDF進行橫向移動 129
6.2.2　通過MSSQL進行橫向移動 130
6.2.3　使用Redis進行橫向移動 134
6.2.4　數據庫綜合利用工具mdut 135
6.3　使用cs進行橫向移動的常用命令 136
6.3.1　獲取訪問對方機器的權限 136
6.3.2　通過內置命令進行橫向移動 138
6.3.3　在目標不出網的情況下正向上線 138
第7章　權限維持 141
7.1　Windows中的權限維持 141
7.1.1　後門賬戶 141
7.1.2　服務 143
7.1.3　計劃任務 147
7.1.4　WMI 150
7.1.5　註冊表 152
7.1.6　啟動目錄 153
7.1.7　Shell擴展處理程序 153
7.1.8　Shift後門 157
7.1.9　使用驅動程序隱藏文件 158
7.2　Linux中的權限維持 159
7.2.1　crontab計劃任務 159
7.2.2　服務 160
7.2.3　配置文件 161
7.2.4　賬號 161
7.2.5　SSH後門 162
7.2.6　SUID後門 166
7.2.7　隱藏技術 167
7.2.8　文件刪除保護 169
7.3　數據庫中的權限維持 169
7.3.1　MSSQL觸發器 169
7.3.2　MySQL觸發器 170
第8章　痕跡清理 172
8.1　防止恢復刪除的文件 172
8.2　Windows中的痕跡清理 172
8.2.1　系統日誌清理 172
8.2.2　系統日誌抑制 173
8.2.3　進程創建的日誌 173
8.2.4　文件相關處理 173
8.2.5　ETW 173
8.2.6　致盲Sysmon 175
8.3　Linux中的痕跡清理 175
8.3.1　登錄時的相關操作 175
8.3.2　清理登錄日誌 176
8.3.3　更改文件修改時間 176
8.3.4　修改基礎設施日誌 176
第2部分　域滲透測試
第9章　發現域和進入域 180
9.1　發現域 180
9.1.1　查看當前電腦是否在域中 180
9.1.2　通過埠掃描尋找LDAP服務 180
9.2　進入域 181
9.2.1　通過SMB爆破域賬號 181
9.2.2　通過LDAP服務爆破域賬號 * 183
第10章　域信息收集 184
10.1　在域機器中使用net命令收集信息 184
10.2　在域中收集SPN信息 184
10.3　通過LDAP獲取基本信息 185
10.3.1　使用AdFind收集常用信息 185
10.3.2　使用dsquery收集常用信息 187
10.4　DNS信息收集 188
10.4.1　在域外導出DNS信息 188
10.4.2　在域控制器上導出DNS信息 190
第11章　域控制器服務器權限獲取分析 191
11.1　通過收集GPP中的密碼進行碰撞 191
11.1.1　GPP中的密碼從哪裡來 191
11.1.2　收集GPP中的密碼並解密 193
11.2　通過本地管理員組和登錄用戶進行迭代 194
11.2.1　獲取域電腦本地管理員組的信息 194
11.2.2　獲取登錄用戶的信息 194
11.3　使用BloodHound分析域 195
11.4　通過委派獲取權限 198
11.4.1　Kerberos協議概述 198
11.4.2　非約束委派 201
11.4.3　約束委派 205
11.4.4　基於資源的約束委派 209
11.5　ACL配置問題 213
11.5.1　ACL的配置方法 213
11.5.2　委派控制的配置方法 215
11.5.3　獲取和分析ACL信息 217
11.5.4　權限利用 219
11.6　AD CS配置問題 221
11.6.1　什麽是AD CS 221
11.6.2　安裝和配置AD CS 222
11.6.3　使用AD CS申請證書 225
11.6.4　創建一個存在AD CS配置漏洞的模板 228
11.6.5　AD CS配置漏洞的發現和利用 229
11.7　常見域漏洞 232
11.7.1　CVE-2020-1472（NetLogon特權提升漏洞） 232
11.7.2　CVE-2021-42278（域內提權漏洞） 239
11.7.3　CVE-2021-1675（PrintNightMare漏洞） 240
11.7.4　CVE-2022-26923（Windows域提權漏洞） 243
11.8　通過域信任關系獲取信任域的權限 247
11.8.1　信任域環境配置 247
11.8.2　域信任關系的利用 249
第12章　NTLM中繼 250
12.1　SMB/NTLM協議介紹 250
12.1.1　協議介紹 250
12.1.2　認證流程 250
12.1.3　NTLM Hash與Net-NTLM Hash 256
12.2　簽名問題 256
12.2.1　SMB簽名 256
12.2.2　LDAP簽名 259
12.2.3　什麽是EPA 259
12.2.4　什麽是MIC 260
12.2.5　將SMB流量中繼到LDAP服務時的簽名處理 260
12.3　中間人 261
12.4　中繼目標 261
12.4.1　將SMB流量中繼到HTTP服務 262
12.4.2　將SMB流量中繼到SMB服務 263
12.4.3　將SMB流量中繼到LDAP服務 263
12.5　觸發回連 263
12.5.1　被動觸發 263
12.5.2　主動觸發 269
12.6　中繼的利用 273
12.6.1　利用 --escalate-user參數中繼到LDAP服務 273
12.6.2　利用RBCD中繼到LDAPS服務 275
12.6.3　利用RBCD中繼到LDAP服務 276
12.6.4　利用AD CS中繼到HTTP服務 278
12.7　中繼工具 282
第13章　域管權限利用分析 284
13.1　在域內獲取散列值 284
13.1.1　從ntds.dit文件中獲取NTLM Hash 284
13.1.2　通過DCSync獲取NTLM Hash 285
13.1.3　修改用戶的NTLM Hash 286
13.2　通過系統日誌定位用戶 288
13.2.1　通過PowerShell在域控制器上查詢 288
13.2.2　使用wevtutil在域控制器上查詢 289
13.2.3　使用FullEventLogView離線分析evtx文件 289
13.2.4　使用SharpADUserIP在域控制器上查詢 290
13.2.5　使用SharpGetUserLoginIPRPC遠程查詢 * 290
13.3　批量執行命令 290
13.4　域分發管理 291
13.4.1　分發到用戶 291
13.4.2　將軟件分發到電腦 293
13.4.3　通過組策略分發 * 294
第14章　域後門分析 296
14.1　可逆存儲密碼策略後門 296
14.1.1　為特定用戶開啟可逆存儲 297
14.1.2　修改域控制器默認密碼策略 297
14.1.3　創建多元策略 297
14.1.4　獲取明文密碼 298
14.2　DCSync後門 * 301
14.3　ACL後門 * 302
14.4　dsrm密碼後門 303
14.5　AdminSDHolder後門 304
14.6　ShadowCredentials後門 * 305
14.7　SIDHistory後門 306
14.8　DCShadow後門 307
14.9　黃金票據與白銀票據 310
14.9.1　黃金票據 310
14.9.2　白銀票據 313
第15章　Exchange權限利用分析 315
15.1　獲取Exchange權限 315
15.1.1　密碼爆破 315
15.1.2　Exchange版本及後端服務器信息 317
15.1.3　常見漏洞 318
15.1.4　編寫Webshell的註意事項 322
15.2　Exchange服務器權限的利用 323
15.2.1　授權用戶打開其他用戶的郵箱 * 323
15.2.2　通過NTLM Hash獲取郵件 324