酷应用

黑客游走于企业windows内网的几种姿势（一）

百家作者：锦行科技 2017-06-16 11:56:57

0X01 前言

现如今网络攻击日益频繁，而内网安全防护始终是企业的一个痛点所在，很多企业一旦外网被突破，内网就犹如一大块美味蛋糕一样任人宰割。不仅如此，一个经验丰富的攻击者是不会在内网留下太多攻击痕迹的，这使得被入侵的企业通常需要很久才意识到自己的内网已经被渗透攻击，有的企业甚至根本就发现不了。

谈到内网渗透的过程，它往往是攻击者以获得一个目标shell为起点，以拿到最终需求目标为终点的过程，期间会有大量的攻击路径和攻击手段，本文将跟大家聊一聊攻击者在以拿到一个windows内网webshell开始到结束这一过程中会用到的一些技巧和方法，帮助广大企业安全人员做到知己知彼。

0X02 信息收集

首先是做信息收集。主要针对三种：

一种是基于命令形式的，包括权限信息，机器信息，进程端口，网络连接，共享、会话等等；

一种是基于应用与文件形式的，例如一些敏感文件，密码文件，浏览器，远程连接客户端等；

还有一种是最直接的，例如抓取本地明文与hash，键盘记录，屏幕记录等。

网上已经有大量相关的资源与文章了，这里就不再占篇幅了，只说点额外的不常见技巧。

whoami /all 查看Mandatory Label看我们是否过uac

net session 查看有没有远程连过来的session

cmdkey /l 看是否保存了登陆凭证.（凭据管理器）

攻击者会先查看管理员是否保留了登陆凭证，方便后续的凭证抓取。

echo %logonserver% 查看登陆域

net stitastics server 查看登陆时间

Wmic 能让攻击者大量利用来获取系统信息的系统自带工具

Netsh 做端口转发

spn –l administrator 域内查某个用户spn记录

dsquery | nltest 域内信息收集

要注意的一点是session的问题，不管是system、administrator还是userxx ，对信息收集都会有很大的影响。xp、2003时代system跟普通用户是在同个session中的，从vista起就隔离了，所以执行某些命令就需要切换session，网上的开源工具有incognito等。

其次基于应用与文件形式的信息收集，说白了就是翻文件，包括一些应用的配置文件，密码文件等。有时候会碰到一些加密的office办公软件，例如word,excel 这些。但如果是低版本如2003的话，攻击者会在百度搜一些网上的破解软件进行破解（会联网）。如果是高版本的话，往往在目标用户开着文件时使用微软SysinternalsSuite套装中的procdump将内存dump回去，用内存查看器直接查看文件内容。因此就算有些敏感文件加密了照样能够被攻击者获取敏感信息。

最后针对hash或明文的获取使用mimikatz基本就足够了，也分exe与ps两个版本，攻击者会分情况使用。屏幕截图在windows中也有系统自带psr命令能够做截图等等。

0X03 网络判定

再者攻击者需要对其当前所处的网络环境进行判断，这里的判断分为三种。一种是机器所处位置区域的判断，一种是机器角色的判断，还有一种是进出口流量是否连通的判断，是否出得去，进得来。

机器所处位置区域的判断是指机器处于网络拓扑中的某个区域，是在DMZ区、办公网、还是核心区、核心DB等多个位置，当然这里的区域并不是绝对的，只是大概的一个环境，不同的地方网络环境不一样，区域的界限也不一定明显。

机器角色的判断指判断已经控制的机器是普通Web服务器、开发测试服务器、公共服务器、文件服务器还是代理服务器、DNS服务器、存储服务器等等。具体的判断是通过对机器内的主机名、文件、网络连接等多种情况进行综合判断的。

出口流量是否连通的判断指机器是否能上外网这些，要综合判断协议（tcphttpdnsicmp等协议）与端口(常见能出去的端口有80,8080,443,53,110,123等)。在这里还有一种是网络内网设置了代理服务器的情况，攻击者通常会查看环境变量set，主机名是否有proxy字样的机器，注册表是否有写明代理地址或指定pac代理文件等。

如下图：