![](https://csdnimg.cn/release/download_crawler_static/86289041/bg1.jpg)
MITRE | ATT&CK 中文站
https://huntingday.github.io/
http
加密隧道下的横向渗透
实际中经常会遇到的问题
:
当前只有目标的一个高权限[system 权限]的菜刀 webshell,但在其自带的虚拟终端下执行系统命令的限制[比如,命令执行等待时间过长会超时...]和乱七八糟的问题很多,很不稳定
当前所在的机器在内网,且不通外网,无法执行任何反连动作,比如,各种反向 socks,shell 反弹[例,meterpreter,beacon,other...],只有一个 web 端口可以正常进出
当前所在机器的 rdp 端口默认就没开,或者开了,你并不想直接冲到对方的桌面里去搞,但好在当前机器的 445 或者 135,139 端口都开了,而且监听在 0.0.0.0[任意地址]上
不想直接用当前所在机器上的各种系统内置工具去尝试横向,比如,wmic,schtasks...也不想上传太多的外部工具到目标机器上去搞,那些东西很容易被各种 AV 拦截,查杀不说...而且实际用起来也并不如人
意
想实现的最终效果
:
通过在建立好的 http 加密隧道中进行端口转发,直接把目标一级内网下任意 windows 机器的 445 或 135,139,5985 端口转到本地机器的 445 或 135,139,5985 端口上
而后,借此实现本地到远程目标机器的一键直达式任意指令执行
一键式远程管理目标系统计划任务以执行特定操作[135 端口暂时还有些问题]
等,等,等...你所能想到的,利用 445 或者 135,139,5985 端口所能做到的一切
演示环境
:
IIS75-CN 192.168.3.2 目标内网的一台无法通外网的 web 机器[已拿到 system 权限的 webshell]
Pentest-Srv 192.168.126.178 自己本地内网的一台 windows 机器[本地 135,445 端口已事先关闭]
Kali 192.168.126.137 自己本地内网的一台 linux 机器[本地未开启 135,445 端口]
0x01
尝试抓取当前所在机器的本地内建管理员
[administrator]
明文密码或者密码
hash
众所周知,横向渗透的核心前提,就是你必须得先有一个正确的目标系统的账号密码或者密码 hash,这个账号可以是本地管理员[最好是内建的 administrator 用户,限制最少]也可以是域管,在上面我们已经
说过,当前拿到的是一个 system 权限的 webshell [对于 windows 下的各种 php 集成环境,不出意外的情况下,搞定以后,回来的 webshell 权限一般都直接是 system],抓 hash[主要针对 windows 2012r2 以后
的系统]或者抓明文[适用于 2012r2 以下的所有 win 系统]就很容易了
尝试抓取当前系统所有在线用户的明文密码,也是个人比较推荐的明文抓取方式,可能有些 AV 会拦截转存 lsass.exe 进程数据[后续再单独说]
# procdump64.exe -accepteula -ma lsass.exe res.dmp
# mikatz.exe "sekurlsa::minidump res.dmp" "sekurlsa::logonPasswords full" exi
t