69：内网安全-域横向CobaltStrike&SPN&RDP

思维导图

本课重点：

• 案例1：域横向移动RDP传递-Mimikatz
• 案例2：域横向移动SPN服务-探针,请求,导出,破解,重写
• 案例3：域横向移动测试流程一把梭哈-CobaltStrike初体验

案例1-域横向移动RDP传递-Mimikatz

除了上述讲到的IPC，WMI，SMB等协议的链接外，获取到的明文密码或HASH密文也可以通过RDP协议进行链接操作。

RDP协议连接：判断对方远程桌面服务是否开启（默认：3389），端口扫描判断

案例2-域横向移动SPN服务-探针,请求,导出,破解,重写

kerberos中的spn详解：https://www.cnblogs.com/backlion/p/8082623.html

黑客可以使用有效的域用户的身份验证票证（TGT）去请求运行在服务器上的一个或多个目标服务的服务票证。DC在活动目录中查找SPN，并使用与SPN关联的服务帐户加密票证，以便服务能够验证用户是否可以访问。请求的Kerberos服务票证的加密类型是RC4_HMAC_MD5，这意味着服务帐户的NTLM密码哈希用于加密服务票证。黑客将收到的TGS票据离线进行破解，即可得到目标服务帐号的HASH，这个称之为Kerberoast攻击。如果我们有一个为域用户帐户注册的任意SPN，那么该用户帐户的明文密码的NTLM哈希值就将用于创建服务票证。这就是Kerberoasting攻击的关键。

SPN扫描

• 当计算机加入域时,主SPN会自动添加到域的计算机账号的ServicePrincipalName属性中。在安装新的服务后，SPN也会被记录在计算机账号的相应属性中。
• SPN扫描也称为”扫描Kerberos服务实例名称”。在活动目录中发现服务的最佳方法就是SPN扫描。SPN扫描通过请求特定SPN类型的服务主体名称来查找服务。与网络端口扫描相比，SPN扫描的主要特点是不需要通过连接网络中的每个IP地址来检查服务端口(不会因为触发内网中的IPS、IDS等设备的规则而产生大量的警告日志)。因为SPN查询是Kerberos票据行为的一部分，所以检测难度很大。
• 由于SPN扫描是基于LDAP协议向域控制器进行查询的，所以，攻击者只需要获得一个普通的域用户权限，就可以进行SPN扫描。
• 在域环境中，发现服务的最好办法就是通过”SPN扫描”。通过请求特定SPN类型服务主体名称来查找服务。

kerberoast下载：https://github.com/nidem/kerberoast

环境准备

案例演示

<1>探针

探针到这么多服务后，我们完全可以按照相关服务的常规攻击手段进行攻击，不一定非要用本案例演示的破解票据手段。

<2>请求票据

<3>导出票据（到mimikatz运行目录）

<4>破解票据

破解成功，密码是Admin12345，可以为后续渗透测试做准备。

这种方法得到只是mssql服务账户密码（权限不大），而mssql系统管理员账户密码我们是无法得到的。

<5>重写票据（属于后续攻击，不一定会成功，-u500指的是管理员用户，-g512指的是管理员组）

<6>利用

案例3-域横向移动测试流程一把梭哈-CobaltStrike初体验

CobaltStrike4.0用户手册：https://pan.baidu.com/s/15DCt2Rzg5cZjXnEuUTgQ9Q 提取码:dtm2

CS神器大概流程：启动-配置-监听-执行-上线-提权-信息收集(网络,凭证,定位等)-渗透

1.关于启动及配置讲解
2.关于提权及插件加载
3.关于信息收集命令讲解
4.关于视图自动化功能讲解

CobaltStrike Aggressor 脚本合集（可以自行在GitHub搜索）：

红队实战演练环境：https://pan.baidu.com/s/14eVDglqba1aRXi9BGcBbug  提取码: taqu