内网渗透(三十六)之横向移动篇-Password Spraying密码喷洒攻击和域内用户枚举横向移动

许多渗透测试人员和攻击者通常都会使用一种被称为“密码喷洒（Password Spraying）”的技术来进行测试和攻击。对密码进行喷洒式的攻击，这个叫法很形象，因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定，因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试，才能增加破...

域内密码喷洒一般和域内用户名枚举一起使用，可以在无域内凭据的情况下，通过枚举出域内存在的用户名，进而对域内存在的用户名进行密码喷洒，以此来获得域内有效凭据。在Kerberos协议认证的AS-REQ阶段，请求包cname对应的值是用户名，当用户名存在，密码正确和密码错误时，AS-REP的返回包不一样。这种针对所有用户的自动密码猜测通常是为了避免账户被锁定，因为如果目标域设置了用户锁定策略的话，针对同一个用户的连续密码猜测会导致账户被锁定。

在实际渗透中，许多渗透测试人员和攻击者通常都会使用一种被称为 “密码喷洒”（Password Spraying）的技术来进行测试和攻击。对密码进行喷洒式的攻击，这个叫法很形象，因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定，因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试，才能增加破解的概率，消除帐户被锁定的概率。普通的爆破就是用户名固定，爆破密码，但是密码喷洒，是用固定的密码去跑用户名。

内网渗透之横向移动wmi&smb&密码喷射CrackMapExec

WinXP/2003/Vista/2008 ，以及未打 KB2871997 补丁之前的 Win7/2008r2/8/2012，这些环境我们都可以使用NTLM哈希传递对于8.1/2012r2，安装补丁kb2871997的Win 7/2008r2/8/2012，可以使用AES keys代替NTLM来进行验证KB2871997：禁止本地管理员账户用于远程连接，这样就无法以本地管理员用户的权限执行wmi、psexec、schtasks、at和访问文件共享。

ms14-068漏洞主要通过伪造域管的TGT，将普通用户权限提权为域管权限，以此来控制域控。只要服务器未打ms14-068补丁（KB3011780），在server 2000以上的域控服务器中，都可进行利用这里就涉及到了我们之前所讲的PAC这个东西了，我们在关于 Kerberos 认证流程的介绍中提到了 PAC（Privilege Attribute Certificate）这个东西，这是微软为了访问控制而引进的一个扩展，即特权访问证书。

主流的Windows操作系统,通常会使用 NTLM Hash对访问资源的用户进行身份验证。在域环境中,用户登录计算机时使用的大都是域账号,大量计算机在安装时会使用相同的本 地管理员账号和密码,因此,如果计算机的本地管理员账号和密码也是相同的,攻击者就能使用哈希传递攻击的方法登 录内网中的其他计算机。在Windows网络中,散列值就是用来证明身份的(有正确的用户名和密码散列值,就能通过验证),而微软自己的产品和 工具显然不会支持这种攻击,于是,攻击者往往会使用第三方工具来完成任务。

0x01 介绍 UserList - Optional UserList parameter. This will be generated automatically if not specified. Password - A single password that will be used to perform the password spray. P...

密码喷洒攻击 0x01. 背景 ⼀般我们我们与目标内网建立了 socks5 隧道后，就可以从域外（这⾥指的是我们攻击的机器）对域内机器进行密码喷洒了，前提是已经通过信息搜集或者抓密码得到了⼀批密码，我们就可以通过得到的密码来对域内进行密码喷洒 0x02. 工具与方法 1. CrackMapExec 对域内进行密码喷洒 CrackMapExec（⼜名 CME）是⼀款非常好用的密码喷洒攻击的⼯具，在 Kali Linux 默认已经安装好。 1.2. 下载地址：https://github.com/byt3bl3

本文结合实践经验，详细介绍内网域渗透的基本思路和通用方法。

通过 Amazon AWS 直通代理启动密码喷洒/暴力破解，为每次身份验证尝试转移请求的 IP 地址。这会动态创建 FireProx API，以实现更规避的密码喷射。

域横向 smb&wmi 明文或 hash 传递 1.前置知识： 知识点1: Windows2012以上版本默认关闭wdigest,攻击者无法从内存中获取明文密码。 Windows2012以下版本安装KB2871997补丁,也会导致无法获取明文密码。 针对以上情况,我们提供了4种方式解决此类问题： 1.利用哈希hash传递(pth,ptk等)进行移动。 2.利用其他服务协议(SMB,WMI等)进行哈希移动。 3.利用注册表操作开启Wdigest Auth值进行获取。 4.利用工具或第三方平台(

域横向批量 at&schtasks&impacket 权限提升的思路以在之前博客已介绍过，在后渗透中更推荐 ：先信息收集 再提权 再进行内网渗透 的思路，此篇及之后着重学习内网渗透技术。 1.横向渗透—明文传递at&schtasks： 在拿下一台内网主机后，通过本地信息收集用户凭证等信息后，之后如何横向渗透拿下更多的主机？ 这里仅介绍 at&schtasks 命令的使用，在已知目标系统的用户明文密码的基础上，直接可以在远程主 机上执行命令。 [at] & [sc

一、IPC 二、HashDump 三、PTH 四、PTT 五、PsExec 六、WMI 七、DCOM 八、SPN 九、Exchange

建立IPC连接：net use \\ip地址\ipc$ "password" /user:"administrator"③.查看目标时间，创建计划任务（at、schtasks）定时执行拷贝到的脚本。windows两种命令行创建计划任务：at和schtasks。通过IPC传文件：copy 文件名 \\IP地址\目录$断开IPC连接：net use \\IP地址 /del。查看对方电脑时间：net time \\IP地址。定时运行程序：at \\IP地址 时间 文件名。①.建立IPC链接到目标主机。

通过使用活动目录，管理员能够中心化、批量地更新和管理操作系统、应用、用户以及对数据的访问，而用户和管理员也能很容易地获取这些信息。而且因为活动目录具备中心化的管理能力，攻击者一旦获得域管理员权限，即可控制域内所有用户和主机，因此活动目录域环境也备受攻击者青睐。实际上LSA保护不能抵御这些攻击，它只会让你在执行这些攻击前，需要做一些额外的操作，让攻击变得更加困难一些。此功能基于PPL技术，它是一种纵深防御的安全功能，旨在“防止非管理员非PPL进程通过打开进程之类的函数串改PPL进程的代码和数据”。

在开始域渗透之前，先来简单了解下域的一些概念域（Domain）是一个有安全边界的计算机集合（安全边界的意思是，在两个域中，一个域中的用户无法访问另一个域中的资源）工作组的分散管理模式不适合大型的网络环境下工作，域模式就是针对大型的网络管理需求设计的，就是共享用户账号，计算机账号和安全策略的计算机集合。域中集中存储用户账号的计算机就是域控器，域中用户账号，计算机账号和安全策略被存储在域控制器上一个名为Active Directory的数据库中。