内网安全攻防：渗透测试实战指南

微信公众号：计算机与网络安全

▼

内网安全攻防：渗透测试实战指南

▼

（全文略）

本书由浅入深、全面、系统地介绍了内网攻击手段和防御方法，并力求语言通俗易懂、举例简单明了、便于读者阅读领会。同时结合具体案例进行讲解，可以让读者身临其境，快速了解和掌握主流的内网漏洞利用技术与内网渗透测试技巧。

本书详细讲述了Windows内网的渗透测试技术、工具、经验与技巧，贴近实际渗透测试工作中经常遇到的内网环境，对读者深入理解和掌握内网渗透测试技能有很大的帮助，非常值得渗透测试工程师和技术爱好者学习。

第1章 内网渗透测试基础 在进行内网渗透测试之前，需要掌握内网的相关基础知识。本章系统地讲解了内网工作组、域、活动目录、域内权限解读等，并介绍了内网域环境和渗透测试环境（Windows/Linux）的搭建方法和常用的渗透测试工具。

第2章 内网信息收集 内网渗透测试的核心是信息收集。所谓“知己知彼，百战不殆”，对测试目标的了解越多，测试工作就越容易展开。本章主要介绍了当前主机信息收集、域内存活主机探测、域内端口扫描、域内用户和管理员权限的获取、如何获取域内网段划分信息和拓扑架构分析等，并介绍了域分析工具BloodHound的使用。

第3章 隐藏通信隧道技术 网络隐藏通信隧道是与目标主机进行信息传输的主要工具。在大量TCP、UDP通信被防御系统拦截的情况下，DNS、ICMP等难以禁用的协议已经被攻击者利用，成为攻击者控制隧道的主要通道。本章详细介绍了IPv6隧道、ICMP隧道、HTTPS隧道、SSH隧道、DNS隧道等加密隧道的使用方法，并对常见的SOCKS代理工具及内网上传/下载方法进行了解说。

第4章 权限提升分析及防御 本章主要分析了系统内核溢出漏洞提权、利用Windows操作系统错误配置提权、利用组策略首选项提权、绕过UAC提权、令牌窃取及无凭证条件下的权限获取，并提出了相应的安全防范措施。

第5章 域内横向移动分析及防御 在内网中，从一台主机移动到另外一台主机，可以采取的方式通常有文件共享、计划任务、远程连接工具、客户端等。本章系统地介绍了域内横向移动的主要方法，复现并剖析了内网域方面最重要、最经典的漏洞，同时给出了相应的防范方法。本章内容包括：常用远程连接方式的解读；从密码学角度理解NTLM协议；PTT和PTH的原理；如何利用PsExec、WMI、smbexec进行横向移动；Kerberos协议的认证过程；Windows认证加固方案；Exchange邮件服务器渗透测试。

第6章 域控制器安全 在实际网络环境中，攻击者渗透内网的终极目标是获取域控制器的权限，从而控制整个域。本章介绍了使用Kerberos域用户提权和导出ntds.dit中散列值的方法，并针对域控制器攻击提出了有效的安全建议。

第7章 跨域攻击分析及防御 如果内网中存在多个域，就会面临跨域攻击。本章对利用域信任关系实现跨域攻击的典型方法进行了分析，并对如何部署安全的内网生产环境给出了建议。

第8章 权限维持分析及防御 本章分析了常见的针对操作系统后门、Web后门及域后门（白银票据、黄金票据等）的攻击手段，并给出了相应的检测和防范方法。

第9章 Cobalt Strike 本章详细介绍了Cobalt Strike的模块功能和常用命令，并给出了应用实例，同时简单介绍了Aggeressor脚本的编写。

目录

第1章 内网渗透测试基础
1.1 内网基础知识
1.1.1 工作组
1.1.2 域
1.1.3 活动目录
1.1.4 域控制器和活动目录的区别
1.1.5 安全域的划分
1.1.6 域中计算机的分类
1.1.7 域内权限解读
1.2 主机平台及常用工具
1.2.1 虚拟机的安装
1.2.2 Kali Linux渗透测试平台及常用工具
1.2.3 Windows渗透测试平台及常用工具
1.2.4 Windows PowerShell基础
1.2.5 PowerShell的基本概念
1.2.6 PowerShell的常用命令
1.3 构建内网环境
1.3.1 搭建域环境
1.3.2 搭建其他服务器环境

第2章 内网信息收集
2.1 内网信息收集概述
2.2 收集本机信息
2.2.1 手动收集信息
2.2.2 自动收集信息
2.2.3 Empire下的主机信息收集
2.3 查询当前权限
2.4 判断是否存在域
2.5 探测域内存活主机
2.5.1 利用NetBIOS快速探测内网
2.5.2 利用ICMP协议快速探测内网
2.5.3 通过ARP扫描探测内网
2.5.4 通过常规TCP/UDP端口扫描探测内网
2.6 扫描域内端口
2.6.1 利用telnet命令进行扫描
2.6.2 S扫描器
2.6.3 Metasploit端口扫描
2.6.4 PowerSploit的Invoke-portscan.ps1脚本
2.6.5 Nishang的Invoke-PortScan模块
2.6.6 端口Banner信息
2.7 收集域内基础信息
2.8 查找域控制器
2.9 获取域内的用户和管理员信息
2.9.1 查询所有域用户列表
2.9.2 查询域管理员用户组
2.10 定位域管理员
2.10.1 域管理员定位概述
2.10.2 常用域管理员定位工具
2.11 查找域管理进程
2.11.1 本机检查
2.11.2 查询域控制器的域用户会话
2.11.3 查询远程系统中运行的任务
2.11.4 扫描远程系统的NetBIOS信息
2.12 域管理员模拟方法简介
2.13 利用PowerShell收集域信息
2.14 域分析工具BloodHound
2.14.1 配置环境
2.14.2 采集数据
2.14.3 导入数据
2.14.4 查询信息
2.15 敏感数据的防护
2.15.1 资料、数据、文件的定位流程
2.15.2 重点核心业务机器及敏感信息防护
2.15.3 应用与文件形式信息的防护
2.16 分析域内网段划分情况及拓扑结构
2.16.1 基本架构
2.16.2 域内网段划分
2.16.3 多层域结构
2.16.4 绘制内网拓扑图

第3章 隐藏通信隧道技术
3.1 隐藏通信隧道基础知识
3.1.1 隐藏通信隧道概述
3.1.2 判断内网的连通性
3.2 网络层隧道技术
3.2.1 IPv6隧道
3.2.2 ICMP隧道
3.3 传输层隧道技术
3.3.1 lcx端口转发
3.3.2 netcat
3.3.3 PowerCat
3.4 应用层隧道技术
3.4.1 SSH协议
3.4.2 HTTP/HTTPS协议
3.4.3 DNS协议
3.5 SOCKS代理
3.5.1 常用SOCKS代理工具
3.5.2 SOCKS代理技术在网络环境中的应用
3.6 压缩数据
3.6.1 RAR
3.6.2 7-Zip
3.7 上传和下载
3.7.1 利用FTP协议上传
3.7.2 利用VBS上传
3.7.3 利用Debug上传
3.7.4 利用Nishang上传
3.7.5 利用bitsadmin下载
3.7.6 利用PowerShell下载

第4章 权限提升分析及防御
4.1 系统内核溢出漏洞提权分析及防范
4.1.1 通过手动执行命令发现缺失补丁
4.1.2 利用Metasploit发现缺失补丁
4.1.3 Windows Exploit Suggester
4.1.4 PowerShell中的Sherlock脚本
4.2 Windows操作系统配置错误利用分析及防范
4.2.1 系统服务权限配置错误
4.2.2 注册表键AlwaysInstallElevated
4.2.3 可信任服务路径漏洞
4.2.4 自动安装配置文件
4.2.5 计划任务
4.2.6 Empire内置模块
4.3 组策略首选项提权分析及防范
4.3.1 组策略首选项提权简介
4.3.2 组策略首选项提权分析
4.3.3 针对组策略首选项提权的防御措施
4.4 绕过UAC提权分析及防范
4.4.1 UAC简介
4.4.2 bypassuac模块
4.4.3 RunAs模块
4.4.4 Nishang中的Invoke-PsUACme模块
4.4.5 Empire中的bypassuac模块
4.4.6 针对绕过UAC提权的防御措施
4.5 令牌窃取分析及防范
4.5.1 令牌窃取
4.5.2 Rotten Potato本地提权分析
4.5.3 添加域管理员
4.5.4 Empire下的令牌窃取分析
4.5.5 针对令牌窃取提权的防御措施
4.6 无凭证条件下的权限获取分析及防范
4.6.1 LLMNR和NetBIOS欺骗攻击的基本概念
4.6.2 LLMNR和NetBIOS欺骗攻击分析

第5章 域内横向移动分析及防御
5.1 常用Windows远程连接和相关命令
5.1.1 IPC
5.1.2 使用Windows自带的工具获取远程主机信息
5.1.3 计划任务
5.2 Windows系统散列值获取分析与防范
5.2.1 LM Hash和NTLM Hash
5.2.2 单机密码抓取与防范
5.2.3 使用Hashcat获取密码
5.2.4 如何防范攻击者抓取明文密码和散列值
5.3 哈希传递攻击分析与防范
5.3.1 哈希传递攻击的概念
5.3.2 哈希传递攻击分析
5.3.3 更新KB2871997补丁产生的影响
5.4 票据传递攻击分析与防范
5.4.1 使用mimikatz进行票据传递
5.4.2 使用kekeo进行票据传递
5.4.3 如何防范票据传递攻击
5.5 PsExec的使用
5.5.1 PsTools工具包中的PsExec
5.5.2 Metasploit中的psexec模块
5.6 WMI的使用
5.6.1 基本命令
5.6.2 impacket工具包中的wmiexec
5.6.3 wmiexec.vbs
5.6.4 Invoke-WmiCommand
5.6.5 Invoke-WMIMethod
5.7 永恒之蓝漏洞分析与防范
5.8 smbexec的使用
5.8.1 C++ 版smbexec
5.8.2 impacket工具包中的smbexec.py
5.8.3 Linux跨Windows远程执行命令
5.9 DCOM在远程系统中的使用
5.9.1 通过本地DCOM执行命令
5.9.2 使用DCOM在远程机器上执行命令
5.10 SPN在域环境中的应用
5.10.1 SPN扫描
5.10.2 Kerberoast攻击分析与防范
5.11 Exchange邮件服务器安全防范
5.11.1 Exchange邮件服务器介绍
5.11.2 Exchange服务发现
5.11.3 Exchange的基本操作
5.11.4 导出指定的电子邮件

第6章 域控制器安全
6.1 使用卷影拷贝服务提取ntds.dit
6.1.1 通过ntdsutil.exe提取ntds.dit
6.1.2 利用vssadmin提取ntds.dit
6.1.3 利用vssown.vbs脚本提取ntds.dit
6.1.4 使用ntdsutil的IFM创建卷影拷贝
6.1.5 使用diskshadow导出ntds.dit
6.1.6 监控卷影拷贝服务的使用情况
6.2 导出NTDS.DIT中的散列值
6.2.1 使用esedbexport恢复ntds.dit
6.2.2 使用impacket工具包导出散列值
6.2.3 在Windows下解析ntds.dit并导出域账号和域散列值
6.3 利用dcsync获取域散列值
6.3.1 使用mimikatz转储域散列值
6.3.2 使用dcsync获取域账号和域散列值
6.4 使用Metasploit获取域散列值
6.5 使用vshadow.exe和quarkspwdump.exe导出域账号和域散列值
6.6 Kerberos域用户提权漏洞分析与防范
6.6.1 测试环境
6.6.2 PyKEK工具包
6.6.3 goldenPac.py
6.6.4 在Metasploit中进行测试
6.6.5 防范建议

第7章 跨域攻击分析及防御
7.1 跨域攻击方法分析
7.2 利用域信任关系的跨域攻击分析
7.2.1 域信任关系简介
7.2.2 获取域信息
7.2.3 利用域信任密钥获取目标域的权限
7.2.4 利用krbtgt散列值获取目标域的权限
7.2.5 外部信任和林信任
7.2.6 利用无约束委派和MS-RPRN获取信任林权限
7.3 防范跨域攻击

第8章 权限维持分析及防御
8.1 操作系统后门分析与防范
8.1.1 粘滞键后门
8.1.2 注册表注入后门
8.1.3 计划任务后门
8.1.4 meterpreter后门
8.1.5 Cymothoa后门
8.1.6 WMI型后门
8.2 Web后门分析与防范
8.2.1 Nishang下的WebShell
8.2.2 weevely后门
8.2.3 webacoo后门
8.2.4 ASPX meterpreter后门
8.2.5 PHP meterpreter后门
8.3 域控制器权限持久化分析与防范
8.3.1 DSRM域后门
8.3.2 SSP维持域控权限
8.3.3 SID History域后门
8.3.4 Golden Ticket
8.3.5 Silver Ticket
8.3.6 Skeleton Key
8.3.7 Hook PasswordChangeNotify
8.4 Nishang下的脚本后门分析与防范

第9章 Cobalt Strike
9.1 安装Cobalt Strike
9.1.1 安装Java运行环境
9.1.2 部署TeamServer
9.2 启动Cobalt Strike
9.2.1 启动cobaltstrike.jar
9.2.2 利用Cobalt Strike获取第一个Beacon
9.3 Cobalt Strike模块详解
9.3.1 Cobalt Strike模块
9.3.2 View模块
9.3.3 Attacks模块
9.3.4 Reporting模块
9.4 Cobalt Strike功能详解
9.4.1 监听模块
9.4.2 监听器的创建与使用
9.4.3 Delivery模块
9.4.4 Manage模块
9.4.5 Payload模块
9.4.6 后渗透测试模块
9.5 Cobalt Strike的常用命令
9.5.1 Cobalt Strike的基本命令
9.5.2 Beacon的常用操作命令
9.6 Aggressor脚本的编写
9.6.1 Aggressor脚本简介
9.6.2 Aggressor-Script语言基础
9.6.3 加载Aggressor脚本

附：内网安全攻防：渗透测试实战指南.pdf

▲
- The end -

原文始发于微信公众号（计算机与网络安全）：内网安全攻防：渗透测试实战指南