为什么要学 LDAP？ 域渗透的第一步永远是信息收集，而信息收集的核心就是向域控发起 LDAP 查询。例如 Kerberoasting 需要先通过 LDAP 枚举 SPN，委派攻击需要先通过 LDAP 找到委派配置，ACL 滥用需要先通过 LDAP 读取 nTSecurityDescriptor。掌握 LDAP 查询，就掌握了域内信息收集的核心能力…

工作组（Workgroup） 在介绍 Windows 域之前，需要先了解 Windows 最基础的网络组织形式——工作组（Workgroup）。 工作组是一种去中心化的管理模式。 在工作组环境中，每台计算机都是独立的个体，拥有自己的： 本地用户（Local User） 本地用户组（Local Group） 本地安全策略 本地权限配置 例如，有三台计…

什么是委派？ 在实际的企业环境中，服务之间经常需要代表用户去访问另一个服务。 最典型的场景是前端 Web 服务访问后端数据库： 用户 └─► Web 服务器（以用户身份）─► 数据库服务器 用户先通过 Kerberos 认证登录了 Web 服务器，但 Web 服务器需要用这个用户的身份去数据库查数据，而不是用自己服务账户的身份。这样数据库才能基于用…

NTLM 协议在设计上没有对底层通信协议做绑定——也就是说，NTLM 的认证消息（Type 1 / Type 2 / Type 3）可以被封装在不同的协议载体中进行传输。这个特性带来了一个严重的攻击面：NTLM 中继（NTLM Relay）。 简单来说：攻击者截获客户端的 NTLM 认证请求，然后把这个请求"转发"给另一台服务器。目标服务器以为攻击…

中继攻击并不局限于 NTLM 协议——Kerberos 同样可以被中继，而且在某些方面比 NTLM 中继更具威胁：Kerberos 协议在设计上没有同机反射限制。 NTLM 自 MS08-068（2008 年）以来一直有 LSASS Challenge 缓存防护来阻止同机反射——即客户端不能将自己的 NTLM 认证"中继回"自己的服务。但 Kerb…

这篇文章受密码保护，输入密码才能阅读

前言 Venom 是一个非常好用的渗透代理工具，可以轻易的获得不同节点的 shell。这里的节点指的是连接了 admin 或某个节点的机器。并且还可以很容易的从不同 agent 节点连接到其它的 agent 节点。而且 socks 代理操作起来也显得极其简单。admin 节点是我们主要的攻击机器使用，而 agent 节点则常用于内网中的各个机器。还…

前言 我们拿到手的 frp 主要有两个配置文件，分别是服务端的 frps.ini 和客户端的 frpc.ini。 我们先来简单分析一下配置文件的含义，首先是 frps.ini [common] bind_port = 7001 authentication_method = token token = qwer1234 上面的文件表示 frps 监…

前言 chisel 是一个轻量易用的代理工具，基本用法如下： 服务端使用方法： ./chisel server --reverse --port 9999 服务端参数 –host [指定服务端 ip，默认是 0.0.0.0] –port 指定监听端口 –reverse 表示允许所有客户端通过该服务端进行端口转发 客户端使用方法： ./chisel …

很早就听说过黄金票据需要 krbtgt 的 NTLM-HASH 和白银票据需要服务器的 NTLM-HASH 才能伪造，但是一直不知道为什么。学习内网渗透怎么能够对 kerberos 通信认证协议不了解呢？ 先来介绍一下 NTLM 和一些基础概念吧！ NTLM NTLM 是 NT LAN Manager 的缩写，NTLM 是基于挑战/应答的身份验证协…