57 lines
4.3 KiB
Markdown
57 lines
4.3 KiB
Markdown
### 说说域信息收集思路
|
||
|
||
**阶段一：宏观侦察**
|
||
|
||
这个阶段的目标是**在不暴露自己身份的情况下，尽可能多地了解域环境的整体情况**
|
||
|
||
1. **确定网络边界和域控位置：**
|
||
- **DNS 侦察：** 查询 DNS 服务器，获取域控（DC）、全局编录服务器（GC）的 IP 地址。通常通过 `nslookup` 或 `dig` 命令查询 `_ldap._tcp.dc._msdcs.<domain_name>` 或 `_kerberos._tcp.dc._msdcs.<domain_name>` 记录。这是最基本的域内服务发现方法
|
||
- **SMB 侦察：** 使用 `nbtscan` 或 `nmap` 扫描器，发现网络中开放了 445 端口（SMB）的主机，这些主机很可能是 Windows 主机，其中域控的特征会更明显
|
||
2. **判断域的信任关系：**
|
||
- 域之间可能存在信任关系，允许一个域的用户访问另一个域的资源。通过 `nltest /domain_trusts` 或 PowerView 的 `Get-DomainTrust` 命令可以列出域之间的信任关系。这是一个重要的横向移动点，如果能控制一个受信任的子域，可能可以借此攻击主域
|
||
3. **发现域内主机：**
|
||
- **ICMP/ARP 扫描：** 使用 `ping` 或 `nmap -sn` 对内网 IP 段进行存活主机探测
|
||
- **端口扫描：** 发现域内主机开放的服务，特别是 Kerberos (88/TCP)、LDAP (389/TCP)、SMB (445/TCP)、WinRM (5985/TCP) 等与域服务相关的端口
|
||
|
||
****
|
||
|
||
**阶段二：微观信息枚举**
|
||
|
||
在初步了解了域环境后，这个阶段的目标是**利用已有的权限（即使是普通用户权限），深入挖掘域内的各种实体信息**
|
||
|
||
**1. 用户和组信息枚举**
|
||
|
||
- **目标：** 发现域内所有用户、管理员账户、组及其成员
|
||
- **常用技术：**
|
||
- **`net user /domain` 和 `net group /domain`：** 最基础的命令行工具，可以列出域内用户和组
|
||
- **PowerView (PowerShell):** 这是域渗透中最强大的信息收集工具之一。它提供了大量 cmdlet，如 `Get-DomainUser`、`Get-DomainGroup`、`Get-DomainGroupMember`，可以高效、详细地查询域内用户、组及其关系
|
||
- **AdFind.exe：** 一款经典的 LDAP 查询工具，可以灵活地查询域内任何信息
|
||
- **BloodHound：** 这是一个革命性的工具，它通过收集域内用户、组、计算机、服务等实体之间的关系，并以图形化方式展示，帮助攻击者快速找到通往域控的**最短攻击路径**。这是渗透测试中必不可少的工具
|
||
|
||
**2. 计算机和域控信息枚举**
|
||
|
||
- **目标：** 发现域内所有计算机，特别是域控、高权限服务器，以及这些机器上运行的服务
|
||
- **常用技术：**
|
||
- **PowerView 的 `Get-DomainComputer`：** 可以获取域内所有计算机的详细信息，包括操作系统、角色（如是否为域控）等
|
||
- **SMB 和 WinRM 枚举：** 尝试连接域内计算机的 SMB 或 WinRM 服务，并使用已有的凭据进行登录，如果成功，可以进一步收集该机器上的本地信息。
|
||
|
||
**3. 服务信息枚举（Kerberoasting）**
|
||
|
||
- **目标：** 发现域内所有注册了 SPN (Service Principal Name) 的服务账户
|
||
- **常用技术：**
|
||
- **PowerView 的 `Get-DomainSPN`：** 专门用于查询注册了 SPN 的服务账户
|
||
- **Kerberoasting 攻击：** 通过向 KDC (Key Distribution Center) 请求特定服务的 TGS 票据，然后离线破解票据中的哈希，从而获取服务账户的明文密码。这是一个非常高效的域内提权和横向移动方法
|
||
|
||
**4. 组策略信息（SYSVOL）**
|
||
|
||
- **目标：** 收集域内的组策略设置，寻找配置不当或包含敏感信息的 GPO
|
||
- **常用技术：**
|
||
- **访问 `\\<domain_name>\SYSVOL` 共享：** SYSVOL 文件夹是公开可访问的
|
||
- **搜索 `SYSVOL`：** 在 SYSVOL 文件夹中搜索密码、脚本（如 `.vbs` 或 `.bat` 文件）或任何可能包含敏感信息的 XML 文件。有时管理员会将密码硬编码在组策略脚本中，这会是一个巨大的突破口
|
||
|
||
**5. 域内漏洞扫描与识别**
|
||
|
||
- **目标：** 发现域内存在的已知漏洞，特别是与域服务相关的关键漏洞
|
||
- **常用技术：**
|
||
- **PowerView 的 `Find-DomainVulnerableSPN` 等：** 寻找可能存在漏洞的配置
|
||
- **专业漏洞扫描器：** 使用商业或开源的漏洞扫描器，如 Nessus、OpenVAS 或专门针对域控的漏洞扫描工具，检查域控和成员服务器是否存在 Zerologon (CVE-2020-1472)、PetitPotam (CVE-2021-36942) 等严重漏洞 |