内网安全第一百二十二天

本文主要是介绍内网安全第一百二十二天，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

内网安全-域信息收集&应用网络凭据&CS插件&Adfind&BloodHound

#知识点：

演示案例

常规信息类收集-应用&服务&权限等

接下来我们进行实验

番外：CS工具简单使用

CS插件安装

继续试验

BloodHound域分析使用

#知识点：

0、域产生原因

1、内网域的区别

2、如何判断在域内

3、域内常见信息收集

4、域内自动化工具收集

-局域网&工作组&域环境区别

-域环境信息收集-应用&网络&服务&凭据等

-自动化工具使用-CS插件&Adfind&BloodHound

0x01

一个具有一定规模的企业，每天都可能面临员工入职和离职，因此网络管理部门经常需要对域成员主机进行格式化消除磁盘的文件，然后重装系统及软件，以提供给新员工使用；因此，为了便于后期交接，大多网络管理员会做好一个系统镜像盘，统一安装所有的电脑，并且在安装的时候设置惯用、甚至统一的密码。

0x02

因此，域中的计算机本地管理员账号，极有可能能够登陆域中较多的计算机，本地管理员的密码在服务器上后期修改的概率，远低于在个人办公电脑上的概率，而域用户权限是较低的，是无法在域成员主机上安装软件的，这将会发生下面的一幕：

某个域用户需要使用viso软件进行绘图操作，于是联系网络管理员进行安装，网络管理员采用域管理员身份登录了域成员主机，并帮助其安装了viso软件，于是这个有计算机基础的员工，切换身份登录到了本地计算机的管理员，后执行mimikatz，从内存当中抓取了域管理员的密码，便成功的控制了整个域。

0x03

因此，域渗透的思路就是：通过域成员主机，定位出域控制器IP及域管理员账号，利用域成员主机作为跳板，扩大渗透范围，利用域管理员可以登陆域中任何成员主机的特性，定位出域管理员登陆过的主机IP，设法从域成员主机内存中dump出域管理员密码，进而拿下域控制器、渗透整个内网。

本节课我们会讲内域网，之前学过局域网，这个工作组也在下面做了介绍，工作组和内域网的区别就是

工作组：默认模式，人人平等，不方便管理

域：人人不平等，集中管理，统一管理

局域网络是把分布在数公里范围内的不同物理位置的计算机设备连在一起，在网络软件的支持下可以相互通讯和资源共享的网络系统。

工作组是局域网中的一个概念。它是最常见最简单最普通的资源管理模式，就是将不同的电脑按功能分别列入不同的组中，以方便管理。

在一个公司里面假如有一千台机器，仅仅有工作组是不方便管理的，因此就出现了内域网，域控也就是域控制器可以统一管理下面的域成员。

简单来说这个域就是一个强大的网络中心，有DC(域控)和域成员，你加入这个域之后就会受域控的管制，方便了管理。那么我们以安全角度看待这个域，就是获得域控的权限从而对其他域成员也相当于进行了控制。

并且域里面，一般域控都会有一个DNS服务器，因为如果没有的话就只能用外网运营商的dns服务器来解析ip，如果一旦受到攻击，你的域名就会乱解析。从而解析到攻击者指定的地址。因此域控就有了这个DNS服务器来防止你乱解析，只能按照域控的来解析地址，从而避免这一现象发生。

这个域一般是对于windows来说的，因为linux没有域这个概念，大多是域内主机都是windows，但是linux也可以加入域成为域成员主机

有一点需要注意就是域成员登录主机后想要进行软件安装的话是不可以的，因此上面也说个那个例子就是员工想要安装viso绘图软件只能联系管理员来安装。而如果说不用域成员那个账户去登录主机的话，而是用本地用户去登录的话就可以安装软件，这个时候你就是这台电脑的主人。

这里我们用win2008r2作为域控，win7是它的域成员。当我们直接安装软件的时候会显示需要域控的账号密码。

这个是win2008r2安装域控的教程：【系统篇 / 域】❀ 01. 域服务安装与配置 ❀ Windows Server 2008 R2_域服务器的安装与配置_飞塔老梅子的博客-CSDN博客

win7加入域的教程：百度安全验证

上面也说了“大多网络管理员会做好一个系统镜像盘，统一安装所有的电脑，并且在安装的时候设置惯用、甚至统一的密码。”，也就是说如果这个密码没有进行修改的话，就是默认密码，如果说我们取得了这个默认密码的话就相当于取得了哪些没有修改密码的登陆权限。因此我们在进行信息收集的时候就要收集密码信息(凭据信息)。

那我们要获得哪些密码呢，一般是计算机密码、数据库密码、浏览器保存的登录密码等等。大概有下面这些：

1.站点源码备份文件、数据库备份文件等

2.各类数据库Web管理入口，如PHPMyAdmin

3.浏览器保存密码、浏览器Cookies

4.其他用户会话、3389和ipc$连接记录、回收站内容

5.Windows 保存的WIFI密码

6.网络内部的各种帐号和密码，如：Email、VPN、FTP、OA等

演示案例

常规信息类收集-应用&服务&权限等

接下来开始进行信息搜集，首先我们先进行是不是处在域内的判断。方法有很多，建议使用net time /domain 如果有域的话就会显示域的当前时间，没有域的话就会报错。当然方法很多，这里只是演示一种。

判断为域内之后就开始进行信息收集，下面就是用来判断是否为域内的命令就不一一演示了。

#常规信息类收集-应用&服务&权限等

更多其他收集见下图图命令表

systeminfo 详细信息

netstat -ano 端口列表

route print 路由表

net start 启动服务

tasklist 进程列表

schtasks 计划任务

ipconfig /all 判断存在域

net view /domain 判断存在域

net time /domain 判断主域

netstat -ano 当前网络端口开放

nslookup 域名追踪来源地址

wmic service list brief 查询本机服务

net config workstation 查询当前登录域及登录用户信息

wmic startup get command,caption 查看已启动的程序信息

判断存在域后我们就可以通过计算机全名来ping进而获取域控的ip地址。这里win7获得的ip就是域控win2008的ip，并且计算机全名也是对的上的。

利用下面这些命令都可以在域成员主机上获取关于域控的一些信息

#架构信息类收集-网络&用户&域控等

net view /domain 查询域列表

net time/domain 从域控查询时间，若当前用户是域用户会从域控返回当前时间，亦用来判断主域，主域一般用做时间服务器

net localgroup administrators 本机管理员【通常含有域用户】

net user /domain 查询域用户(当前域)

net group /domain 查询域工作组

net group "domain computers" /domain 查看加入域的所有计算机名

net group "domain admins" /domain 查询域管理员用户组和域管用户

net localgroup administrators /domain 查看域管理员

net group "domain controllers" /domain 查看域控

net accounts /domain 查看域密码策略

接下来我们进行实验

实验背景：一台主机(win7)已经被我们取得权限，并且通过刚才的判断方法知道了这台主机在域内，接下来我们利用cs工具生成木马，并在cs配置监听。把木马文件放到自己服务器上利用python的webserver把传到这台主机上面并点击木马。cs这边上线尝试利用工具对域控进行攻击从而取得域控的权限，最终打穿域内网。（吹牛的，本节课就讲讲信息收集和工具的使用。）