从Web到域控的渗透测试技术解析

1. SOCKS代理与网络扫描的限制

在渗透测试中，当通过Web漏洞获取到内网访问权限后，通常会建立SOCKS代理通道进行内网横向移动。然而SOCKS代理存在以下重要限制：

• 协议限制：SOCKS代理只能代理TCP及上层协议流量，无法代理ICMP等网络层协议
• 扫描影响：这意味着使用nmap等工具进行扫描时需要注意：
  • 默认的ping扫描(-sP)会使用ICMP协议，无法通过SOCKS代理工作
  • 必须添加-Pn参数跳过主机发现阶段，强制使用TCP协议进行扫描
  • 其他依赖ICMP的功能也会受到影响

2. 解决方案与替代方法

2.1 使用nmap的正确参数

nmap -Pn -sT -p 80,443,3389 192.168.1.0/24

• -Pn：跳过主机发现，假设所有主机都在线
• -sT：使用TCP连接扫描(全连接扫描)
• 避免使用-sS(SYN扫描)，因为SOCKS代理不支持原始套接字操作

2.2 替代扫描方法

1. 端口扫描替代方案：

   • 使用PowerShell的Test-NetConnection
   • 使用Python的socket模块编写自定义TCP扫描器

2. 主机发现替代方案：

   • ARP扫描(需要二层访问权限)
   • 基于TCP/UDP的主机发现技术
   • 查询内网DNS记录

3. 从Web到域控的典型攻击路径

1. 初始入侵：

   • 通过Web应用漏洞(如SQL注入、文件上传、RCE等)获取Web服务器权限
   • 上传Webshell或建立反向Shell

2. 权限提升：

   • 本地提权获取系统管理员权限
   • 收集凭据(内存中的密码、配置文件中的凭据等)

3. 内网横向移动：

   • 建立SOCKS代理通道(使用reGeorg, EarthWorm等工具)
   • 通过代理进行内网扫描和服务枚举
   • 利用收集的凭据尝试横向移动

4. 域控攻击：

   • 识别域控制器位置(DNS查询, LDAP查询)
   • 利用域内漏洞(如Kerberos相关漏洞、NTLM Relay等)
   • 最终获取域管理员权限

4. 实用工具推荐

1. SOCKS代理工具：

   • EarthWorm (ew)
   • reGeorg
   • Neo-reGeorg
   • Chisel

2. 代理环境下的扫描工具：

   • Proxychains (Linux)
   • Proxifier (Windows)
   • Nmap with -Pn参数

3. 域渗透工具：

   • BloodHound (域环境分析)
   • Impacket (各种协议攻击工具包)
   • Mimikatz (凭据提取)

5. 防御建议

1. 针对SOCKS代理的防御：

   • 监控异常出站连接
   • 限制服务器出站流量
   • 部署IDS/IPS检测代理工具特征

2. 整体防御策略：

   • 加强Web应用安全
   • 实施网络分段
   • 启用LSA保护防止凭据窃取
   • 监控异常域内活动

6. 总结

从Web入侵到获取域控权限是一个典型的渗透测试路径，理解SOCKS代理的限制和绕过方法是内网渗透的关键。通过正确的工具选择和参数配置，可以在受限的代理环境中有效开展内网渗透测试工作。