六十五.内网安全-域环境&工作组&局域网探针方案

一、内网基本知识

DMZ：

英文全名“Demilitarized Zone”，中文含义是“隔离区”，在安全领域的具体含义是“内外网防火墙之间的区域”。DMZ区是一个缓冲区，在DMZ区存放着一些公共服务器，比如论坛等。

工作组 VS 域环境

工作组：地位平等，管理分散，没有集中管理。
域环境：地位不平等，管理集中，实现集中管理。
域环境也可以简单的理解为工作组的升级版，更好管理。
这里我们把域环境和工作组区分开来是因为他们的攻击手段不同，工作组中的攻击手法如DNS劫持、ARP欺骗在域环境下是没有作用的。有一些攻击手段需要一些条件，这些条件在域环境下没有，相应的攻击手段就会失效。

域控制器DC：

域控DC是这个域中的管理者，域里面的最高权限，判断是否拿下整个域，就是看你是否拿下这台域控制器。

AD（活动目录）：

是微软所提供的目录服务（查询，身份验证），活动目录的核心包含了活动目录数据库，在活动目录数据库中包含了域中所有的对象（用户，计算机，组…），活动目录(Active Directory)是面向Windows Standard Server、Windows Enterprise Server 以及Windows Datacenter Server的目录服务。Active Directory储存了有关网络对象的信息，并且让管理员和用户能够轻松的查找和使用这些信息，Active Directory使用了一种结构化的数据储存方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。

linux域渗透问题：

Q：AD域控制器只在windows server系统能做吗？Linux可以？
A：linux上也有相应的活动目录的，不过要装LDAP环境，一般企很少会用LDAP来管理的，因为功能上不及域强大，而且用linux来管理的话要求技术人员门槛也比较高，个人认为Linux还是比较适合做服务器好一点。（就是说Linux上面的域环境需要环境支撑，而且功能没有windows上的域强大，所以大部分我们遇见的都是windows，这也是没有Linux的原因。当然，Linux这个操作系统也是可以加入域的，比如域内有Linux的操作系统，有Linux的服务器也行，只是很少）

局域网技术适用问题：

不同的攻击技术手段适用面不同，这个我们要有所了解，比如arp欺骗适用于局域网，而不适用于域。

大概内网安全流程问题：

熟悉基础概念-信息收集-后续探针-权限提升-横向渗透-权限维持

二、案例演示

案例1：基本信息收集操作演示
案例2：网络信息收集操作演示
案例3：用户信息收集操作演示
案例4：凭据信息收集操作演示
案例5：探针主机域控架构服务操作演示

环境介绍

下图属于单域环境，Windows2008R2作为域控DC，有五个域成员主机，fileserver文件服务器、SqlServer数据库服务器、webserver网站服务器和两台个人PC。他们都是在192.168.3.0这个网段，网站服务器有两个网卡，一个在3.31一个在230.131，这个230.133就好比是它的一个对外出口（外网接口），kali攻击机就好比攻击者，它通过230.131这个接口进入网站服务器计算机，由于这台计算机是处于内网连接，所有它享有3这个网段的访问权限。拿下网站服务器后的首要攻击目标就是DC！只要拿下DC，也就相当于同时拿下了所有域成员主机权限。

案例1：基本信息收集操作演示

旨在了解当前服务器的计算机基本信息，为后续判断服务器角色，网络环境等做准备。

服务器角色就是这台服务器是干嘛的，它在内网中扮演什么角色，比如mary-pc就是个人办公电脑，SqlServer就是数据库服务器，每台服务器都是有一个角色的，是仅仅个人用，还是用来文件传输？用来dns解析？

假设已经拿下了一台内网服务器webserver：

systeminfo 详细信息（操作系统版本、补丁编号等信息）
net start 启动服务（查看当前主机开启了哪些服务，从服务中就可以判断它是什么角色）
tasklist 进程列表（查看当前主机开启了哪些进程）
schtasks 计划任务（若报错无法加载列资源，说明你的权限不够，因此要提权才能使用该命令）

案例2：网络信息收集操作演示

旨在了解当前服务器的网络接口信息，为判断当前角色，功能，网络架构做准备

- ipconfig /all 判断存在域-最简单方式查看主DNS后缀
- net view /domain 判断存在域
- net time /domain 判断主域（主域就是域控的意思）【在域环境下查看当前时间】
- nslookup <域控制器全名> 追踪来源地址
- netstat -ano 当前网络端口开放
<1>ipconfig /all 查看主DNS后缀，这就是当前最简单最直接判断当前服务器是域环境还是单纯的工作组局域网环境！有域的话会有主DNS，因为在域环境里面通常会由DNS解析服务器。这是第一个判断标准。
<2>net view /domain 判断存在域
<3>net time /domain 判断主域（主域就是域控的意思）【在域环境下查看当前时间】
- net time /domain 可以判断主域，是因为域成员计算机的时间一般会以域控制器为准，所以当执行net time /domain命令时，该计算机会去域控获取时间，此时返回的OWA2010CN-God.god.org就是域控的计算机全名。然后可以通过nslookup来最终确认域控IP。
- 每一台计算机名字都是基于域名下面生成的（如SqlServer.god.org），另外，如果找到了god.org、sqlserver.god.org、xiaodi.sqlserver.god.org之类的计算机全名，说明当前环境存在多域，sqlserver.god.org是父域，xiaodi.sqlserver.god.org是子域。
<4>nslookup <域控制器全名> 追踪来源地址
- OWA2010CN-God.god.org就是域控的计算机全名，我们可以通过nslookup和ping命令去ping这个名字来获取域控的对应ip地址。
<5>netstat -ano 查看当前网络端口开放