该工具可以基于下列信息来实现其功能： 1、受监控计算机上的安全事件日志（登录事件）； 2、活动目录中的身份验证事件； 工具要求 该工具的使用要求用户账号拥有下列权限： 1、访问远程计算机的安全事件日志...； 2、活动目录的读取权限（标准域账户）； 3、计算机在同一时间同步，否则会影响结果； 4、至少安装并配置好PowerShell 2.0； 工具下载 该工具是一个PowerShell脚本，因此我们只能在支持...在Windows版本10和Server 2016上，应在事件查看器中启用“Microsoft Windows LSA/操作”。...在Windows 10和Server 2016上，启用“内核对象审计”将提供更准确的信息，例如写入LSASS； LogFile：保存结果的日志文件路径； MaxHoursOfLegitLogonPriorToNTLMEvent...但是我们可以在Detect-PTHMultithreaded之前使用Invoke-Command调试： Invoke-Command -ScriptBlock $detectPTHScriptBlock
0x00 前言 如果当前账号权限被系统认为是本地管理员权限，那么就可以执行很多管理员才能做的事，接下来就来看一下这样的一个过程是如何工作的，其中会涉及到以下要点： 1、Access Token 登录令牌...2、Credentials 凭证 3、Password Hashes 密码哈希 4、Kerberos Tickets 登录凭据 0x01 登录令牌 登录令牌在登录之后被创建 与每个进程和线程相关联 包括...： 用户和用户组的信息 本地计算机上的特权列表 限制（删除用户和用户组的权限） 参考凭证（支持单点登录） 一直保存在内存中，直到系统重启 以下是令牌窃取的过程： 使用 ps 列出进程 使用 steal_token...，此时想查看 WIN-P2AASSD1AF1 主机下的文件（WIN-P2AASSD1AF1 主机是 TEAMSSIX 域的域控制器），那么直接运行 dir 会提示拒绝访问。...home, sent: 8 bytes 再次查看 uid 发现变成了原来的 SYSTEM 权限，此时 WIN-P2AASSD1AF1 主机上的文件也拒绝访问了。
在虚拟机上运行命令。 你应该会看到作为 PowerShell 提示符前缀的 VMName 显示如下： [VMName]: PS C:> 所有运行的命令将会在虚拟机上进行。...使用 Invoke-Command 运行脚本或命令 配合使用 PowerShell Direct 和 Invoke-Command 非常适合需要在虚拟机上运行一个命令或一个脚本但在这一点之外无需继续与虚拟机进行交互的情况...该脚本将在虚拟机上执行。命令一运行将会自动关闭连接。 8....使用 New-PSSession 和 Copy-Item 复制文件 注意： PowerShell Direct 仅支持 Windows 版本 14280 及更高版本中的持久性会话 在编写用于跨一个或多个远程计算机协调操作的脚本时...由于持久性会话具有持久性，在会话中创建的或传递给会话的任何变量将跨多个调用被保留。有多种工具可用于持久性会话。
将创建本地组 WinRMRemoteWMIUsers__，然后，WinRM 将远程访问设置为本地管理组和 WinRMRemoteWMIUsers__ 组中的用户。...请注意，TrustedHosts 列表中的计算机可能未经过身份验证。有关如何设置 TrustedHosts 的详细信息，请运行以下命令: winrm help config。...calc 进程： image-20210804214037070 使用 Invoke-Command 命令 Invoke-Command 是 PowerShell 上的一个命令，用来在本地或远程计算机上执行命令...在会话期间，您键入的命令在远程计算机上运行，就像您直接在远程计算机上键入一样。...请注意，TrustedHosts 列表中的计算机可能未经过身份验证。通过运行以下命令 可获得有关此内容的更多信息: winrm help config。
windows为powershell设计了一个名为Execution Policy，即执行策略的东西来决定哪些类型的PowerShell脚本可以在系统中运行。...•要求所有脚本和配置文件都由受信任的发布者签名，包括在本地计算机上编写的脚本。...•需要可信发布者对从 Internet 下载的脚本和配置文件（包括电子邮件和即时消息程序）进行数字签名。•不要求在本地计算机上编写的脚本（不是从 Internet 下载的）具有数字签名。...Unrestricted •未签名的脚本可以运行。存在运行恶意脚本的风险。•在运行不是来自本地 Intranet 区域的脚本和配置文件之前警告用户。...当直接运行该脚本在Restricted(限制)执行策略的机器上时，会出现“此系统禁止运行脚本”的错误。
WS-Management协议是基于简单对象访问协议（SOAP）的防火墙友好的协议。在Windows 2008以上版本的操作系统中，WinRM服务都是自动开启的。WinRM的默认管理端口为5985。...WinRS WinRS是Windows的远程Shell，相当于WinRM的客户端。使用WinRS可以访问运行有WinRM的服务器，可以与目标主机形成交互式会话。...2.Invoke-Command Invoke-Command是一个 PowerShell命令，该命令可用于在远程机器上运行脚本或其他命令，并且可以同时在多台机器上运行命令。...Invoke-Command使用WinRM服务在远程计算机上执行命令。要使用 Invoke-Command则必须在远程机器上具有适当的权限，并且WinRM服务必须在远程计算机上运行。...接下来在跳板机中使用Powershell运行Invoke-Command命令，输入Invoke-Command -ComputerName 192.168.1.3 -Credential administrator
前言 域内横向移动技术是红队作战在域内最基本技术之一，红队人员会利用该技术，以被攻陷的系统为跳板，通过已经收集的凭据和密码，来访问域内其他主机，扩大战果，最终目的是获取到dc的访问控制权限。...，通过它可以访问、配置、管理和监视几乎所有的Windows资源，比如用户可以在远程计算机器上启动一个进程；设定一个在特WMI允许脚本语言（例如VBScript或Windows PowerShell）在本地和远程管理...3、被横行主机信任网络中的主机（Set-Item WSMan:localhost\client\trustedhosts -value *，或直接指定信任单个主机） 查看本地是否运行winRM服务 netstat...，它允许应用程序实例化和访问远程计算机上COM对象的属性和方法，就像使用基于DCERPC的DCOM协议在本地计算机上的对象一样，有关每个COM（和DCOM）对象的标识，实现和配置的信息存储在注册表中，并与一些重要的标识符相关联...在powershell中我们可以使用 get-CimInstance来列出本地COM程序列表 远程DCOM对象的实例表现如下： 客户端计算机从远程计算机请求实例化由CLSID表示的对象。
该工具的目的是简化网络渗透测试的任务操作，并提供一个多功能的渗透测试平台，该工具目前仅支持在Windows操作系统上运行，这也符合内部威胁模拟攻防的常见要求。...数据过滤模块的核心实现思想是在远程计算机上执行最少的必要代码，为了完成这个任务，该工具将把所有的敏感数据下载到loot目录并在本地解析它们。...如果指定了NTLM，相应的工具将会创建一个线程并使用SharpKatz运行SetThreadToken（如果指定了NTLM散列）。...工具使用样例 该工具支持在内存中执行大量的C#程序： Kerberos密码喷射并扫描本地管理员访问： 该项目支持扫描JEA节点，将分析非默认命令的源代码，并检查节点是否未配置为no-language模式...： 使用一个NT哈希扫描本地管理员密码复用： 大批量转储Lsass进程，并将其保存到loot文件夹： 在某些使用Kerberos的场景下，可能会要求用户同步DC时钟并设置DNS： net time \\
也可以运行其他命令，比如运行下面的at命令来查看系统上的计划任务列表，如果显示出了任务列表信息，那么可能是本地管理员。...列出域管理员 对于发现域管理员账号，可以在共享里使用本地的Windows命令。运行以下两条命令可以用来找出这些“域群组”的成员。...beacon 的 net 模块可以在系统上从一个没有特权的关联中查询本地组和用户。...Administrator TEAMSSIX\Daniel TEAMSSIX\Enterprise Admins TEAMSSIX\Domain Admins PowerView 模块 PowerView 使用下面的命令能够在一个主机上找到本地管理员...文件大小在 2 MB 多，因此直接运行powershell-import导入该文件会报错，这里可以选择使用 beacon 中的 upload 命令或者在当前会话的 File Browser 图形界面中上传该文件
条件： 启动Task Scheduler服务 2、psexec PsTools工具之一，在指定的一台或多台计算机上运行应用程序 条件： 需要开放ADMIN$共享 3、WMIC 功能强大，可做系统管理、远程主机信息获取...条件： 启动WMI服务，开放135端口 本地安全策略的“网络访问: 本地账户的共享和安全模式”应设为“经典-本地用户以自己的身份验证” 4、wmiexec 使用VBS脚本调用WMI来模拟psexec的功能...，基本上psexec能用的地方，这个脚本也能够使用。...条件： 启动WMI服务，开放135端口 本地安全策略的“网络访问: 本地账户的共享和安全模式”应设为“经典-本地用户以自己的身份验证” 5、powershell remoting 实现在目标主机远程执行程序后...终于在GitHub上面找到了一个smbexec的c++参考资料，作为工具改进模版 模版下载地址： https://github.com/sunorr/smbexec 总结 这篇文章共列举了六种远程执行程序的方法
指定较新的版本将导致脚本失败。 注意 在 username和 password参数都存储在注册表中的纯文本。确保脚本完成后运行清除命令，以确保主机上仍没有存储凭据。...HTTP 401 /凭据被拒绝 HTTP 401错误表示身份验证过程在初始连接期间失败。...要检查的一些事情包括： 确保防火墙未设置为阻止已配置的WinRM侦听器端口 确保在主机变量所设置的端口和路径上启用了WinRM侦听器 确保该winrm服务正在Windows主机上运行并配置为自动启动 连接被拒绝错误...这些通常表示在尝试与主机上的WinRM服务进行通信时出现错误。...当将SSH密钥身份验证与Ansible结合使用时，远程会话将无权访问用户的凭据，并且在尝试访问网络资源时将失败。这也称为双跳或凭据委派问题。
之后，浏览器打开克隆站点地址，如果目标存在漏洞，就可以被利用了，同时在CS中也会观察到主机上线。...当我们想在 Windows 命令行下指定一个本地的用户时，可以通过输入 .\本地用户名或者 计算机名\本地用户名来指定本地的用户账户，其中.表示计算机名。...包括： 用户和用户组的信息 本地计算机上的特权列表 限制（删除用户和用户组的权限） 参考凭证（支持单点登录） 一直保存在内存中，直到系统重启 以下是令牌窃取的过程： 使用 ps 列出进程 使用 steal_token...home, sent: 8 bytes 再次查看 uid 发现变成了原来的 SYSTEM 权限，此时 WIN-P2AASSD1AF1 主机上的文件也拒绝访问了。...演示 我在本地搭建了这样的一个环境。 ? 首先使 Win1 主机上线，接着在 Linux1 主机上通过 SSH 连接到 Linux2 主机。
捍卫者心中的问题是“这是怎么发生的？”。 攻击通常从向一个或多个用户发送鱼叉式网络钓鱼电子邮件开始，使攻击者能够让他们的代码在目标网络内的计算机上运行。...您可能会认为，使用已发布的补丁程序阻止管理员将凭据放入组策略首选项中，这将不再是问题，尽管在执行客户安全评估时我仍然在 SYSVOL 中找到凭据。...减轻： 在用于管理 GPO 的每台计算机上安装 KB2962486，以防止将新凭据放置在组策略首选项中。 删除 SYSVOL 中包含密码的现有 GPP xml 文件。...当服务使用显式凭据启动时，凭据会加载到 LSASS 中，以便服务在这些凭据的上下文中运行。对此计算机具有管理员权限（或本地系统）的人可以从 LSASS 转储凭据，并可以重复使用这些凭据。...GPO 包括以下设置： 拒绝从网络访问此计算机：本地帐户、企业管理员、域管理员 拒绝通过远程桌面服务登录：本地帐户、企业管理员、域管理员 拒绝本地登录：企业管理员、域管理员 注意：首先使用服务器配置进行测试
您也不应该使用包含明文密码的脚本来更改本地管理员密码，因为这些脚本往往放置在易于访问的位置，例如 SYSVOL（以利用组策略）。...使用“拒绝从网络访问此计算机”和“拒绝通过远程桌面服务登录”设置在组策略中配置此 SID 可防止本地帐户通过网络连接（对于工作站，请在部署到服务器之前仔细测试）。...此外，与其他一些本地帐户密码管理解决方案一样，密码在使用后不会自动更改。 可以在环境中配置扩展权限，这可能允许未经授权的用户访问某些计算机上的 LAPS 密码。...Microsoft 建议只有默认管理员本地帐户是本地管理员组的成员，并且 LAPS 管理该帐户。 虚拟环境中的 LAPS： 在不改变状态的物理计算机上配置时，LAPS 运行良好。...这一点， 由于 LAPS 没有（明显的）选项来强制 LAPS 客户端在启动时更改密码，因此需要运行一个脚本来清除 ms-Mcs-AdmPwdExpirationTime 属性，以便在 LAPS 客户端运行时
目前，虽然微软还未修复该漏洞，但已发布了一个微密码，可拒绝远程攻击者泄漏本地文件以及限制在本机上的活动。...安全功能之间的冲突 MOTW是一项Windows系统自带的安全功能，即IE在运行请求提升本地权限的程序或脚本之前的验证功能。 微软的解释是：添加MOTW的网页允许网页内容按照来自安全区域的规则运行。...因此，由于脚本与活动内容权限相同，无法进行提权或访问本机资源的行为。...Kolsek还发现，使用IE下载的MHT文件所具有的权限与Edge检索的权限不同，后者在访问控制列表中额外添加了两个条目： S-1-15-3-3624051433-2125758914-1423191267...Kolsek表示，Edge正在使用该功能进一步加强已保存文件的安全性，以防止在低完整性沙箱中出现执行恶意代码的行为。
401.1 未经授权：访问由于凭据无效被拒绝。 401.2 未经授权: 访问由于服务器配置倾向使用替代身份验证方法而被拒绝。 401.3 未经授权：访问由于 ACL 对所请求资源的设置被拒绝。...401.7 未经授权：由于 Web 服务器上的 URL 授权策略而拒绝访问。 403 禁止访问：访问被拒绝。 403.1 禁止访问：执行访问被拒绝。 403.2 禁止访问：读取访问被拒绝。...403.12 禁止访问：服务器证书映射器拒绝了客户端证书访问。 403.13 禁止访问：客户端证书已在 Web 服务器上吊销。 403.14 禁止访问：在 Web 服务器上已拒绝目录列表。...404.1 文件或目录未找到：网站无法在所请求的端口访问。 注意 404.1 错误只会出现在具有多个 IP 地址的计算机上。...对此对象的访问被拒绝。 0179 应用程序初始化错误。初始化 Application 对象时发生错误。 0180 禁止的对象使用。Application 对象中不能保存内部对象。
104 无法在中断时请求独占的信号灯。 105 此信号灯的前一个所有权已结束。 107 由于没有插入另一个软盘，程序停止。 108 磁盘在使用中，或被另一个进程锁定。 109 管道已结束。...Kerberos票证授予票证（TGT）被拒绝，因为该设备不符合访问控制限制 4821 ----- Kerberos服务票证被拒绝，因为用户，设备或两者都不符合访问控制限制 4822...存储IPsec策略的本地缓存副本 5459 ----- PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本 5460 -----...PAStore引擎在计算机上应用了本地注册表存储IPsec策略 5461 ----- PAStore引擎无法在计算机上应用本地注册表存储IPsec策略 5462 ---...----- PAStore引擎在计算机上加载了本地存储IPsec策略 5472 ----- PAStore引擎无法在计算机上加载本地存储IPsec策略 5473 ----
4799 已枚举启用安全性的本地组成员身份 4800 工作站已锁定 4801 工作站已解锁 4802 屏幕保护程序被调用 4803 屏幕保护程序被解雇了 4816 RPC在解密传入消息时检测到完整性违规...4818 建议的中央访问策略不授予与当前中央访问策略相同的访问权限 4819 计算机上的中央访问策略已更改 4820 Kerberos票证授予票证（TGT）被拒绝，因为该设备不符合访问控制限制 4821...引擎在计算机上应用了Active Directory存储IPsec策略的本地缓存副本 5459 PAStore引擎无法在计算机上应用Active Directory存储IPsec策略的本地缓存副本 5460...PAStore引擎在计算机上应用了本地注册表存储IPsec策略 5461 PAStore引擎无法在计算机上应用本地注册表存储IPsec策略 5462 PAStore引擎无法在计算机上应用某些活动...引擎在计算机上加载了本地存储IPsec策略 5472 PAStore引擎无法在计算机上加载本地存储IPsec策略 5473 PAStore引擎在计算机上加载了目录存储IPsec策略 5474 PAStore
和winrm.vbs：系统内置的用于配置WinRM的命令行工具，基于VBS脚本并使用了WinRM Scritping API winrs.exe：基于命令行的工具，此工具作为客户端使用，用于远程连接运行...-a[llow]d[elegate] - 指定可以将用户凭据用于访问远程共享，例如，不是目标终结点所在的计算机上创建的远程共享。...远程计算机上的旧安装可能不支持压缩，因此默认情况下处于禁用状态。 -[use]ssl - 在使用远程终结点时使用 SSL 连接。...不过，WinRM只允许当前域用户或者处于本机TrustedHosts列表中的远程主机进行访问。...，调用该命令在本地启动一个calc.exe进程。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
