如何突破防火墙进行内网的渗透测试
身处不同的渗透测试环境下就会有不同的渗透思路以及渗透的技术手段，今天我们将从攻与守两个不同的视角来了解渗透测试在不同处境下所使用的技术手段。
从攻方视角看渗透
攻方既包括了潜在的黑客、入侵者，也包括了经过企业授权的安全专家。在很多黑客的视角中，只要你投入了足够多的时间和耐心，那么这个世界上就没有不可能渗透的目标。目前我们只从授权渗透的角度来讨论渗透测试的攻击路径及其可能采用的技术手段。
测试目标的不同，自然也导致了技术手段的不同，接下来我们将简单说明在不同的位置可能采用的技术手段。
内网测试
内网测试指的是由渗透测试人员在内部网络发起的测试，这类的测试能够模拟企业内部违规操作者的行为。它的最主要的“优势”就是绕过了防火墙的保护。内部可能采用的主要渗透方式有：远程缓冲区溢出，口令猜测，以及B/S或C/S应用程序测试（如果在渗透测试中有涉及到C/S程序测试的，那么就需要提前准备相关客户端软件供测试使用）。
外网测试
外网测试则恰恰与内网测试相反，在此类测试当中渗透测试人员完全处于外部网络（例如拨号、ADSL或外部光纤），来模拟对内部状态一无所知的外部攻击者的行为。外部可能采用的渗透方式包括：对网络设备的远程攻击，口令管理安全性测试，防火墙规则试探、规避、Web及其它开放应用服务的安全性测试。
不同网段/Vlan之间的渗透
这种渗透方式是从某内/外部网段，尝试对另一网段/Vlan来进行渗透。这类测试通常可能用到的技术包括：对网络设备的远程攻击、对防火墙的远程攻击或规则探测、规避尝试。
信息的收集和分析伴随着渗透测试的每一个步骤，而每一个步骤又有三个部分组成：操作、响应和结果分析。
端口扫描
通过对目标地址的TCP/UDP端口扫描，确定其所开放的服务的数量以及类型，这是所有渗透测试的基础。端口扫描是计算机解密高手喜欢的一种方式。通过端口扫描，可以大致确定一个系统的基本信息并搜集到很多关于目标主机的各种有用的信息，然后再结合安全工程师的相关经验就可以确定其可能存在的以及可能被利用的安全弱点，从而为进行深层次的渗透提供可靠性依据。
远程溢出
这是当前出现的频率最高、威胁最严重，同时又是最容易实现的一种渗透方法，一个仅仅具有一般的基础性网络知识的入侵者就可以在相当短的时间内利用现成的工具实现远程溢出攻击。
对于防火墙内的系统同样存在这样的风险，只要对跨接防火墙内外的一台主机攻击成功，那么通过这台主机对防火墙内的主机进行攻击就易如反掌。
口令猜测
口令猜测也是一种出现概率很高的风险，几乎不需要任何攻击工具，利用一个简单的暴力攻击程序和一个比较完善的字典，就可以进行猜测口令。
对一个系统账号的猜测通常包括两个方面：首先是对用户名的猜测，其次是对密码的猜测。只要攻击者能猜测或者确定用户口令，就能获得机器或者网络的访问权，并且能够访问到用户能够访问的审核信息资源。
本地溢出
所谓本地溢出是指在拥有了一个普通用户的账号之后，通过一段特殊的指令代码来获取管理员权限的方法。使用本地溢出的前提是首先你要获得一个普通用户密码。也就是说由于导致本地溢出的一个关键条件是设置不当的密码策略。
多年的实践证明，在经过前期的口令猜测阶段获取的普通账号登录系统之后，对系统实施本地溢出攻击，就能获取不进行主动安全防御的系统的控制管理权限。
脚本及应用测试
Web脚本及应用测试专门针对Web及数据库服务器进行。根据最新的技术统计表明，脚本安全弱点是当前Web系统尤其是存在动态内容的Web系统比较严重的安全弱点之一。利用脚本相关弱点轻则可以获取系统其他目录的访问权限，重则将有可能取得系统的控制管理权限。因此对于含有动态页面的Web、数据库等系统，Web脚本及应用测试将是渗透测试中必不可少的一个环节。
在Web脚本及应用测试中，可能需要检查的部份包括：
（1）检查应用系统架构,防止用户绕过系统直接修改数据库；
（2）检查身份认证模块，用以防止非法用户绕过身份认证；
（3）检查数据库接口模块，用以防止用户获取系统权限；
（4）检查文件接口模块，防止用户获取系统文件；
（5）检查其他安全威胁。
无线测试
虽然中国的无线网络还处于建设时期，但是无线网络的部署及其简易，所以在一些大城市里的普及率已经很高了。在北京和上海的商务区内至少有80%的地方都可以找到接入点。
通过对无线网络的测试，可以判断企业局域网的安全性，这已经成为渗透测试中越来越重要的环节。
除了以上的测试手段以外，还有一些可能会在渗透测试过程中使用的技术，包括：社交工程学、拒绝服务攻击，以及中间人攻击。
从守方视角看渗透
当具备渗透测试攻击经验的人们站到系统管理员的角度，要保障一个大网的安全时，我们会发现，关注点是完全不同的。从攻方的视角看是“攻其一点，不及其余”，只要找到一个小漏洞，就有可能撕开整条战线；但如果你从守方的视角来看，就会发现往往是“千里之堤，毁于蚁穴”。因此，必须要有好的理论指引，从技术到管理都要注重安全，才能使网络固若金汤。
渗透测试的必要性
渗透测试利用网络安全扫描器、专用安全测试工具和富有经验的安全工程师的人工经验对网络中的核心服务及其重要的网络设备，包括服务器、网络设备、防火墙等进行非破坏性质的模拟黑客攻击，目的是侵入系统并获取机密信息并将入侵的过程和细节产生报告给用户，从而实现网络信息安全的防护。
渗透测试和工具扫描可以很好的互相补充。工具扫描具有很好的效率和速度，但存在一定的误报率和漏报率，并且不能发现高层次的、复杂的、并且相互关联的安全问题；而渗透测试则需要投入大量的人力资源、并且对测试者的专业技能要求很高（渗透测试报告的价值直接依赖于测试者的专业技能水平），但是非常准确，可以发现逻辑性更强、更深层次的弱点，效果更加的明显。
一般的渗透测试流程如下：
时间的选择
为减少渗透测试对网络和主机的负面影响，渗透测试的时间尽量安排在业务量不大的时段或者是晚上。
策略的选择
为了防止渗透测试造成网络和主机的业务中断的问题，在渗透测试的过程中尽量不使用含有拒绝服务的测试策略。
授权渗透测试的监测手段
在评估过程中，由于渗透测试的特殊性，用户可以要求对整体测试流程进行实时的监控（PS：可能会提高渗透测试的成本）。
测试方自控
由渗透测试方对本次测透测试过程中的三方面数据进行完整记录：操作、响应、分析，最终会形成完整有效的渗透测试报告并将其提交给用户。
用户监控
用户监控一共有四种形式：
全程监控：采用类似Ethereal的嗅探软件进行全程抓包嗅探；
择要监控：对其扫描过程不进行录制，仅在安全工程师分析数据后，准备发起渗透前才开启软件进行嗅探；
主机监控：仅监控受测主机的存活状态，用以避免意外情况发生；
指定攻击源：用户指定由特定攻击源地址进行攻击，该源地址的主机由用户进行进程、网络连接、数据传输等多方面的监督控制。
（友情提示：文章中会出现与之前文章些许重复的情况，望各位亲包容，不过重复即是记忆。大家要常驻米安网哦!）
cobalt strike使用跳板进行内网渗透
Pivoting ，在本手册中，指的是「将一个受害机器转为其他攻击和工具的跳板」。Cobalt Strike 的Beacon 提供了多种 pivoting 选项。前提是 Beacon 处于交互模式。交互模式意味着一个 Beacon 每 秒内多次连接到团队服务器。使用 sleep 0 命令来使你的 Beacon 进入交互模式。
通过 [beacon] → Pivoting → SOCKS Server 来在你的团队服务器上设置一个 SOCKS4a 代理服务 器。或者使用 socks 8080 命令来在端口 8080 上设置一个 SOCKS4a 代理服务器(或者任何其他你想 选择的端口)。
所有经过这些 SOCKS 服务器的连接都将被转变为让相关联 Beacon 执行的连接、读写和关闭任务。你 可以通过任何类型的 Beacon 经由 SOCKS 隧道传输(甚至是一个 SMB Beacon)。
Beacon 的 HTTP 数据通道是响应速度最快的 pivoting 方法。如果你想通过 DNS 中继流量，使用DNS TXT 记录的通信模式。
要查看当前已经配置的 SOCKS 服务器，通过 View → Proxy Pivots 。 使用 socks stop 命令来停用 SOCKS 代理服务器。
proxychains 工具将强制外部程序使用你指定的 SOCKS 代理服务器。你可以使用 proxychains 强制第 三方工具经过 Cobalt Strike 的 SOCKS 服务器。要了解有关 proxychains 的更多信息，请访问:
安装proxychains，配置文件修改如下
pre class="0042-0ff8-bd92-4783 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);"--- snippet --- [ProxyList] # add proxy here ... # meanwile # defaults set to "tor" socks4 127.0.0.1 8973/pre
过执行代理工具 proxychains，对内网主机 ip 地址为192.168.237.127进行端口探测。执行指令如下所示：
pre class="0ff8-bd92-4783-d7f8 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);" proxychains nmap -sT -Pn 192.168.237.129/pre
然后可以通过代理使用其他的安全工具进行下一步的渗透，如果说有些工具是不支持代理ip的，那么还有方法
Proxifier：
当使用没有代理功能的工具对目标内网进行渗透时，可以使用Proxifier工具能够将程序通过socks代理对内网进行渗透。详细的使用过程如下所示：
打开Proxifier软件，单击Profile-Proxy Server-add 添加本地主机的代理端口。协议选择socks5类型，可以点击check进行测试当前代理是否成功。
这样的配置会让当前所有软件走全局的代理。可以让一些不支持代理功能的软件走代理。
首先，用cs新建一个外部的监听：我这里选用外部http链接。
开启msf，使用exploit/multi/handler模块，设置payload为windows/meterpreter/reverse_http，然后show options 查看需要设置的参数。
注意：payload必须是和cs上设置的监听模块一致。
然后在cs的beacon控制台中直接输入
pre class="bd92-4783-d7f8-41b9 cm-s-default" style="color: rgb(89, 89, 89); margin: 0px; padding: 0px; background: none 0% 0% / auto repeat scroll padding-box border-box rgba(0, 0, 0, 0);"spawn msf/pre
过了几秒，msf中就会得到会话
这部分是在msf获取到会话之后，把会话上传到CS上。
首先在CS上新建一个内部监听。
然后在msf中进行配置
首先在msf上面查看要上传·会话的id：（我这里是2）
使用这个exp：exploit/windows/local/payload_inject
设置好参数之后，检查参数时候设置完全和正确。
exploit执行
cs上就会上线了
这两天出文章的速度慢了，是因为我一直在持续的开发和优化知识库，现在知识库上线新的功能GitHub索引，地址是： ，不过现在只能是pc端访问，移动端访问样式会乱掉，因为我前端技术实在是渣渣
首页整理了github上最新流行的趋势。下图是中文趋势
下图是全网趋势
内网渗透之ms17-010
在内网渗透时，通常挂上代理后。在内网首先会打啵ms17-010。在实战中，使用msf的ms17-010模块，数次没有反弹成功。基于此，到底如何成功利用ms17-010
在msf成功接收session之后，添加路由
然后使用ms17-010相关的模块进行探测是否存在该漏洞。
尝试利用
LHOST配置为公网IP
可以看到success。漏洞是可以利用的，但始终没有session。不知道什么原因。
参考资料： 利用公网Msf+MS17010跨网段攻击内网
笔者在本地搭建环境，也是同样的结果。尝试更改payload为
bind_tcp攻击者去连接，容易被防火墙和杀毒发现
可以成功生成session，但并不稳定，且在run的过程中非常容易导致本来的session died
在实际使用msf的ms17_010_eternalblue模块时，笔者观察到有几个弊端。
1.session 很容易died
2.ms17_010_eternalblue模块利用起来非常耗时
3.无法利用成功
有大佬推荐使用原始的fb.py。但配置起来感觉麻烦一些。
所以。笔者从i春秋上找到一个轻便的方程式漏洞利用工具。
参考资料： 萌新初试MS17-010方程式漏洞
工具使用起来很简单。只需要msfvenom生成一个x64或x86的dll文件，替换该工具下的x64.dll或x86.dll 。再依次点击Eternalblue、Doublepulsar 的Attack即可。在Attack的时候，调用x64.dll动态链接库，反弹到公网IP。原理和fb.py一样。
笔者通过ew代理进内网后，在跳板机上上传了方程式漏洞利用工具、网安永恒之蓝检测工具。两者结合，威力巨大。成功利用ms17-010
对于windows server 2008 ，msfvenom生成x64.dll文件
msf配置
将该x64.dll替换到方程式利用工具下面。
只需要更换目标的IP，就可以获取session。
对于windows server 2003 ，msfvenom生成x86.dll文件
msf配置
进一步利用的一些命令
实际测试发现这种session非常稳定。不会轻易go die
实际测试server 2003的ms17-010时，有时候多次执行后msf就接收不到session，而且ms17-010利用时，脆弱的server 2003非常容易蓝屏。
所以笔者选择一种稳定可靠一些的办法。
先通过ms17_010_commend模块执行系统命令添加用户至管理员。再指定SMBPass和SMBUser来建立windows可访问命名管道[accessible named pipe]
参考资料 Metasploit 「永恒之蓝」两种模块的利弊
system的权限可以直接激活guest用户添加管理员组。
注意：使用ms17_010_psexec需要指定管理员的用户名、密码，否则没有session
同样的操作，载入mimikatz，读取管理员密码。
三级跳跳板怎么安装
1、选择一处跳远使用的沙坑。
2、起跳板是起跳的标志，应埋入地面，与助跑道和沙坑的沙面齐平，起跳板靠近沙坑的边缘称为起跳线，通常是在橡皮泥显示板或沙台与起跳板接合处，拉一条蓝色细绳，两端各向外延长30厘米，再用钉子固定在地面。
渗透测试的七个步骤
渗透测试的七个步骤
第一步：确定要渗透的目标，也就是选择要测试的目标网站。
第二步：收集目标网站的相关信息，比如操作系统，数据库，端口服务，所使用的脚本语言，子域名以及cms系统等等。
第三步：漏洞探测。利用收集到的信息，寻找目标的脆弱点。
第四步：漏洞利用，找到对方系统的弱点后，进一步攻克对方系统，拿到目标系统的权限。
第五步：渗透目标内网的其他主机，把获得的目标机器权限当作跳板，进一步攻克内网其他主机。
第六步：验证漏洞与修复漏洞。
第七步：清楚渗透痕迹，编写测试报告。
内网渗透--对不出网目标的打法
配置网络
在VM虚拟机中按照下边的网络拓扑进行配置网络。网络拓扑图如下：
win7具有双网卡，其中外网ip是192.168.8.133，内网网段是52。三台机器彼此互通，但是win server 2008和win2003不通外网。用我mac作为攻击机，来对这个靶场环境进行渗透测试。
外网打点
在win7这台靶机上，使用PHPStudy让网站可以运行起来。在攻击机上，访问 可以看到是一个phpStudy 探针。对这网站进行渗透，因为本文主要写在内网渗透过程中对不出网主机的渗透，所以此处外网打点就不写的很详细了。
针对此靶场进行外网渗透拿权限大致有这几种方法：
通过phpmyadmin弱口令，进入phpmyadmin后台。然后知识点就变成了，通过phpmyadmin进行getshell，这个点又分为，得到网站绝对路径后，使用select into outfile的方式写shell和利用日志写shell。在此处，我是使用日志写shell的方法拿到权限。因为secure_file_priv配置为null，禁止修改目录下的文件，也就不能使用into outfile的方式写入shell。
通过目录扫描可以扫出beifen.rar，备份文件。在源码中可以找到登陆后台的账号密码：admin/123456和登陆路径/index.php?r=admin，在前台模板文件中添加一句话木马连接也可获取shell。
获得webshell的信息收集
通过外网打点获得的webshell，可以进行一波信息收集，摸清我是谁？我在哪？有没有内网环境？有没有杀软？通过拿到webshell后的信息收集的结果来评估一下有没有必要继续深入或者初步了解继续深入的话需要哪些手段。
我是谁？
蚁剑已经给出基础信息
我在哪？
使用ipconfig /all 看一下网络信息
目标有两个网卡，并且存在域环境，那么就有打它内网的必要了。
有没有杀软?
tasklist查看一下进程信息
根据进程查一下是否有杀软
目标没有使用杀软，还有域环境那么让它直接cs上线。
内网渗透
cs上线
内网信息收集
信息收集每个人都有自己的习惯，信息收集的顺序和信息收集的项目也都不太一样，只要根据自己的习惯和嗅觉，针对目标具体情况进行收集，以求尽快的拿下目标就好。信息收集的越全面突破口也就会越多，考虑到篇幅和文章内容匹配度等因素，此处并没有写出大量信息收集方法。
使用cs自带的net view查看域信息。
使用cs自带功能进行端口扫描，分别对8和52两个网段进行扫描进行完这两个步骤以后，cs会把扫到的目标列出来。
因为拿到的是管理员权限，可以先抓一波密码。用 cs 的 hashdump 读内存密码，用 mimikatz 读注册表密码：logonpasswords。
此处打码的地方是因为配置靶机登陆时靶机提示重置密码，我给靶机改了个包含个人信息的密码。蠢哭。拿到密码后，目标主机没有开启防火墙，可以使用cs自带的psexec做一波横向，因为抓到很多域中机器密码，域控密码也抓到了。
内网横向（通过登录凭证）
这个靶机设置的比较简单，抓到密码后，因为抓到了域控登陆的凭证，那么使用psexec即可横向内网所有机器。因为，另外两台内网的机器不出网，那么就到了本文着重练习的点了，打不出网的机器。
不出网机器上线一般有以下几种方式：
使用smb beacon
配置listener通过HTTP代理上线
使用pystinger搭建socks4代理
这几种方式之前有师傅也在先知写过 《不出网主机上线方法》 。此处我采用的SMB beacon这个方法。
SMB Beacon使用命名管道通过父级Beacon进行通讯，当两个Beacons链接后，子Beacon从父Beacon获取到任务并发送。因为链接的Beacons使用Windows命名管道进行通信，此流量封装在SMB协议中，所以SMB beacon相对隐蔽。SMB beacon不能直接生成可用载荷, 只能使用 PsExec 或 Stageless Payload 上线。
首先得到内网中一台主机的beacon，抓取密码后进行smb喷射，得到另一台开放445端口的机器上的administrator账户密码，在目标机器不出网的情况下，可以使用Smb beacon使目标主机上线
使用条件
具有 SMB Beacon 的主机必须接受 445 端口上的连接。
只能链接由同一个 Cobalt Strike 实例管理的 Beacon。
利用这种beacon横移必须有目标主机的管理员权限或者说是拥有具有管理员权限的凭据。
使用方法：
1.建立smb的listener
2.在cs中使用psexec进行横向移动，选择现有的beacon作为跳板，这里凭据必须是administrator ，即拥有目标主机管理员权限
3.连接成功，可以看到smb beacon上线的主机右侧有∞∞标识
使用这种方法上线的机器，主要是通过出网机作为一个中间人，不出网主机成功上线后，如果出网机一断开，这个不出网主机也会断。
内网横向（通过ms-17010）
在拿下win7的时候，可以给它传一个fscan，给win7做一个内网大保健。上传fscan后，运行扫一下内网。
发现存在ms17010。
ms17010常见的几种打法：
msf
ladon/ladon_ms17010
从msf分离出的exe
nessus里的exe
cs插件
这几种打法，我在这个环境中都做过尝试。过程就不一一叙述了，直接说我测试的结果。msf是最稳定的，但是打起来有稍许的麻烦因为要设置监听模块和选择攻击模块等配置。ladon_ms17010方便但是不太稳有时候会打不成功。cs插件也不稳，并且在这种不出网网络不稳定的情况下成功率会变的更低。
这个图片的ip可能跟上边配置符不起来，因为我在测试过程中，网断过几次，ip就变了。所以，在打的时候，如果ladon和分离出的exe没有打成，不要轻易放弃，用msf在打打试试，毕竟工具就是工具，不能过分依赖某个工具。
在这种不出网的情况下，可以优先考虑使用从msf分离出的exe和ladon_ms17010来打，打成功会直接通过自定义的dll新建一个用户并加入管理员组，开启3389端口。根据实际情况，可考虑在合适的时间段和条件下直接远程登入，翻一下敏感数据，往往会因为运维人员的很多“好习惯”而给渗透带来很多便利，比如说“密码本.txt”。
msf打不出网机器的ms17010
msf在单兵作战的时候还是很稳定很香的。首先，让出网机器先在msf上线，可以用cs直接传递会话，或者生成个msf马直接运行一下。在这的方法就很多了。win7在msf上线后，因为我们已经提前知道了，存在52这个不出网的段，那么就需要在msf中添加路由。
查看路由
run get_local_subnets
添加路由
run autoroute -s 192.168.52.0/24
查看添加的路由
run autoroute -p
把shell切换到后台，然后使用ms17010模块进行漏洞利用，监听时使用正向监听，即可
小贴士：
漏洞检测方法：
use auxiliary/scanner/smb/smb_ms17_010
之后设置一下目标ip和线程即可，这里因为已经扫出存在漏洞的机器了，也就不在叙述。
漏洞利用常使用的是：
auxiliary/admin/smb/ms17_010_command
exploit/windows/smb/ms17_010_eternalblue
exploit/windows/smb/ms17_010_psexec
这里的第一个和第三个模块需要目标开启命名管道，并且比较稳定。第二个模块只要存在漏洞即可，但是会有概率把目标打蓝屏，而且杀软拦截也会比较严格，如果有杀软就基本可以放弃这个模块了。
在打ms17010的时候，不妨使用auxiliary/admin/smb/ms17_010_command模块探测一下是否可以使用命名管道。
use auxiliary/admin/smb/ms17_010_commandsetrhosts192.168.164.156192.168.164.161setcommandtasklistshow optionsrun
如果命令执行成功的话就可以优先考虑
auxiliary/admin/smb/ms17_010_commandexploit/windows/smb/ms17_010_psexec
这两个模块进行利用。
我在上边打得时候因为目标机器没有杀软就直接使用exploit/windows/smb/ms17_010_eternalblue来打了，期间为了测试打过多次，确实出现了把目标机器打重启的情况。
总结
这个靶场设计的技能点比较基础，外网打点获得shell后，直接可以通过cs上线，在管理员权限下，抓取密码，新建一个smb beacon然后使用psexec对内网两台不出网的机器进行横向。
0条大神的评论