从Webshell到内网渗透实战教学文档

1. 初始入侵阶段

1.1 Webshell获取与上传

攻击路径：通过某PHP框架CMS的上传漏洞获取初始立足点
关键操作：
- 上传webshell文件
- 更改应用程序名称进行伪装隐藏
- 设置合理的休眠时间（建议10秒左右）

1.2 初始信息收集

whoami                  # 查看当前用户权限
hostname                # 查看主机名
systeminfo              # 获取系统详细信息

2. 权限提升阶段

2.1 提权尝试

环境：Windows Server 2012系统
尝试的提权方法：
- 使用MS16-075（Hot Potato）提权（首次尝试失败）
- 上传多种提权脚本进行测试
- 最终成功使用MS-058漏洞提权

2.2 凭证获取

使用工具抓取系统明文密码
确认RDP服务（3389端口）开放
使用获取的凭证进行远程登录

3. 权限维持技术

计划任务（schtasks）持久化
备选方案：DLL劫持技术
考虑因素：授权测试环境中可简化持久化方案

4. 内网横向移动

4.1 内网探测

扫描B段网络（192.168.0.0/16）
发现大量内网终端：
- 主要为Win10系统
- 少量服务器（已控制一台）

4.2 横向移动技术

445端口利用：
- 尝试SMB协议相关漏洞
- Win10系统防护较强，利用失败
密码喷洒攻击：
- 使用获取的明文密码对其他账户进行测试
- 成功获取部分域用户凭证
Pass-the-Hash (PTH)攻击：
- 针对特定主机192.168.0.119
- 使用凭证哈希进行横向移动

5. 域渗透技术

确认已获取域控权限
查询当前登录的域用户
分析域环境规模（用户量不大）

6. 经验总结与注意事项

提权经验：
- 同一提权方法可能需要多次尝试
- 不同漏洞利用工具可能有不同效果
- 保持耐心，尝试多种提权路径
内网渗透要点：
- Win10系统445端口利用难度较大
- 服务器系统更容易获取shell
- 密码重用是内网突破的关键点
安全考量：
- 注意区分蜜罐环境特征
- 授权测试中可简化部分隐蔽操作
- 完整记录操作过程用于报告撰写

7. 工具与技术清单

类别	工具/技术
初始访问	CMS上传漏洞利用
Webshell	自定义webshell，应用名称伪装
提权	MS16-075, MS-058
凭证获取	明文密码抓取工具
横向移动	密码喷洒, PTH攻击
持久化	计划任务, DLL劫持
内网探测	B段扫描

8. 防御建议

预防初始入侵：
- 及时修补CMS系统漏洞
- 严格限制文件上传功能
- 实施Web应用防火墙
阻断横向移动：
- 禁用不必要的协议（如SMBv1）
- 实施网络分段
- 监控异常登录行为
凭证保护：
- 禁用明文密码存储
- 实施LSA保护
- 强制定期更改密码
检测与响应：
- 监控计划任务创建
- 检测异常进程行为
- 建立完善的日志收集机制

从Webshell到内网渗透实战教学文档 1. 初始入侵阶段 1.1 Webshell获取与上传攻击路径：通过某PHP框架CMS的上传漏洞获取初始立足点关键操作：上传webshell文件更改应用程序名称进行伪装隐藏设置合理的休眠时间（建议10秒左右） 1.2 初始信息收集 2. 权限提升阶段 2.1 提权尝试环境：Windows Server 2012系统尝试的提权方法：使用MS16-075（Hot Potato）提权（首次尝试失败）上传多种提权脚本进行测试最终成功使用MS-058漏洞提权 2.2 凭证获取使用工具抓取系统明文密码确认RDP服务（3389端口）开放使用获取的凭证进行远程登录 3. 权限维持技术计划任务（schtasks）持久化备选方案：DLL劫持技术考虑因素：授权测试环境中可简化持久化方案 4. 内网横向移动 4.1 内网探测扫描B段网络（192.168.0.0/16）发现大量内网终端：主要为Win10系统少量服务器（已控制一台） 4.2 横向移动技术 445端口利用：尝试SMB协议相关漏洞 Win10系统防护较强，利用失败密码喷洒攻击：使用获取的明文密码对其他账户进行测试成功获取部分域用户凭证 Pass-the-Hash (PTH)攻击：针对特定主机192.168.0.119 使用凭证哈希进行横向移动 5. 域渗透技术确认已获取域控权限查询当前登录的域用户分析域环境规模（用户量不大） 6. 经验总结与注意事项提权经验：同一提权方法可能需要多次尝试不同漏洞利用工具可能有不同效果保持耐心，尝试多种提权路径内网渗透要点： Win10系统445端口利用难度较大服务器系统更容易获取shell 密码重用是内网突破的关键点安全考量：注意区分蜜罐环境特征授权测试中可简化部分隐蔽操作完整记录操作过程用于报告撰写 7. 工具与技术清单 | 类别 | 工具/技术 | |------|----------| | 初始访问 | CMS上传漏洞利用 | | Webshell | 自定义webshell，应用名称伪装 | | 提权 | MS16-075, MS-058 | | 凭证获取 | 明文密码抓取工具 | | 横向移动 | 密码喷洒, PTH攻击 | | 持久化 | 计划任务, DLL劫持 | | 内网探测 | B段扫描 | 8. 防御建议预防初始入侵：及时修补CMS系统漏洞严格限制文件上传功能实施Web应用防火墙阻断横向移动：禁用不必要的协议（如SMBv1）实施网络分段监控异常登录行为凭证保护：禁用明文密码存储实施LSA保护强制定期更改密码检测与响应：监控计划任务创建检测异常进程行为建立完善的日志收集机制