3）使用此NTLM支持PowerShell Docker镜像到Linux的PS-Remote，您可以从Linux到Windows进行PS远程到Windows。
为了使Ansible与Windows主机通信并使用Windows模块，Windows主机必须满足以下要求：
近期看了一篇不错的横向移动的文章，觉得不错就简单翻译了一下(谷歌翻译哈哈哈哈！) 原文地址：https://posts.specterops.io/offensive-lateral-movement-1744ae62b14f
这是我23年11月份在知道创宇404实验室内部技术分享中讲到的一种最新 bypassUAC 的方法，该漏洞最初由 splinter_code 在23年9月份公布并提交至 UACME 项目。在当时测试过的 Windows11、Windows10 以及 Windows7 的各个版本中都成功实现了 bypass。
横向移动是从一个受感染的宿主移动到另一个宿主的过程。渗透测试人员和红队人员通常通过执行 powershell.exe 在远程主机上运行 base64 编码命令来完成此操作，这将返回一个信标。问题在于攻击性 PowerShell 不再是一个新概念，即使是中等成熟的商店也会检测到它并迅速关闭它，或者任何半体面的 AV 产品都会在运行恶意命令之前将其杀死。横向移动的困难在于具有良好的操作安全性 (OpSec)，这意味着生成尽可能少的日志，或者生成看起来正常的日志，即隐藏在视线范围内以避免被发现。这篇博文的目的不仅是展示技术，但要显示幕后发生的事情以及与之相关的任何高级指标。我将在这篇文章中引用一些 Cobalt Strike 语法，因为它是我们主要用于 C2 的语法，但是 Cobalt Strike 的内置横向移动技术是相当嘈杂，对 OpSec 不太友好。另外，我知道不是每个人都有 Cobalt Strike，所以在大多数示例中也引用了 Meterpreter，但这些技术是通用的。
横向的手法从简单的远程桌面协议（rdp）到漏洞利用，手法不断在改变，要对抗的设备产品也不断地变化，有个技术主管问我，红蓝的快乐在于什么？为什么我钟情在红蓝。我想中快乐就是来自于对抗吧。
在使用Kerberos身份验证的网络中，必须在内置计算机帐户（如NetworkService或LocalSystem）或用户帐户下为服务器注册SPN。对于内置帐户，SPN将自动进行注册。但是，如果在域用户帐户下运行服务，则必须为要使用的帐户手动注册SPN。因为域环境中每台服务器都需要在Kerberos身份验证服务注册SPN，所以我们可以直接向域控制器进行查询我们需要的服务的SPN，就可以找到我们需要使用的服务资源在哪台机器上。Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个域中的计算机上安装多个服务实例，则每个实例都必须具有自己的SPN。如果客户端可能使用多个名称进行身份验证，则给定的服务实例可以具有多个SPN。例如，SPN总是包含运行服务实例的主机名称，所以服务实例可以为其主机的每个名称或别名注册一个SPN。
Tips : 微软介绍服务器核心时说道其降低的硬件要求、磁盘占用量较小，减小了更新需求因此攻击面更小。 Tips : 在设计上服务器核心中没有桌面,虽然维护支持传统的业务应用程序和基于角色的工作负荷所需的功能，但服务器核心没有传统的桌面界面。 相反，服务器核心旨在通过命令行、PowerShell 或 GUI 工具进行远程管理 (如 RSAT 或 Windows 管理中心) 。
说到GIF动图，大家可能第一反应是手机微信里那各式各样的表情包了，用表情包斗图是现在人们的一种沟通方式。然而，GIF动图到了黑客手里，就不仅是一种“沟通方式”了。
内网渗透 | Kerberos 协议与 Kerberos 认证原理 内网渗透 | Kerberos 协议相关安全问题分析与利用
虽然 Azure 在某些方面利用 Azure Active Directory，但 Azure AD 角色通常不会直接影响 Azure（或 Azure RBAC）。本文详细介绍了一个已知配置（至少对于那些深入研究过 Azure AD 配置选项的人来说），Azure Active Directory 中的全局管理员（又名公司管理员）可以通过租户选项获得对 Azure 的控制权。这是“按设计”作为“打破玻璃”（紧急）选项，可用于（重新）获得 Azure 管理员权限，如果此类访问权限丢失。 在这篇文章中，我探讨了与此选项相关的危险，它当前是如何配置的（截至 2020 年 5 月）。 这里的关键要点是，如果您不仔细保护和控制全局管理员角色成员资格和关联帐户，您可能会失去对所有 Azure 订阅中托管的系统以及 Office 365 服务数据的积极控制。 注意： 围绕此问题的大部分研究是在 2019 年 8 月至 2019 年 12 月期间进行的，自那时以来，Microsoft 可能已经在功能和/或能力方面进行了更改。
Jenkins是领先的开源自动化服务器，在开发团队中很受欢迎。最近，已经观察到以大型Jenkins服务器为目标来部署加密矿工的对手。他们还使用Jenkins发起了针对性的违规行为，以维护对开发人员环境的访问。有许多记录良好的博客文章，讨论了通过漏洞利用，Web控制台和漏洞利用后的利用以及对Jenkins的访问。
lsarelayx是一个系统范围的NTLM中继工具，主要用于中继目标主机中基于NTLM的认证传入连接。lsarelayx将会中继任何包含了SMB的传入认证请求。由于lsarelayx可以挂钩现有的应用程序身份验证流，因此该工具还将尝试在中继完成后为原始身份验证请求提供服务。这种模式可以防止目标应用程序/协议显示错误，并使终端用户通过lsarelayx主机进行身份验证时能够正常工作。
在 Windows 系统环境中，存在许多需要用户进行身份认证的场景，比如 Outlook 登录、提升授权（用户账户控制）或者锁屏需要解锁时，通过模拟这类场景，很容易让用户上当并且不易被发现。
WinRM 作为 Windows 操作系统的一部分，是一项允许管理员在系统上远程执行管理任务的服务。这样的服务当然不会被攻击者错过，本篇文章我们就来讲讲 WinRM 在横向渗透中的使用。
NTLM中继是一种众所周知的技术，主要用于在网络内的服务器上建立某种立足点或用于权限提升，这种攻击在没有为LDAP和SMB协议启用签名的网络中是可行的，此外使用高权限的帐户对服务器和工作站进行身份验证的域管理员可能会给攻击者提供完整域信息泄露的可能性，因为他们的凭据可以通过LSASS或使用Remote Potato技术进行转储
WinRM 用于Windows远程管理，他允许管理员远程执行系统命令。通过HTTP(5985) 或 HTTPS SOAP(5986)进行执行，支持Kerberos以及NTLM身份验证以及基本身份验证。使用此服务需要管理员票据。
在 Active Directory 的默认配置中，可以在其 WebClient 服务运行时远程接管工作站 (Windows 7/10/11) 和可能的服务器（如果安装了桌面体验）。简而言之，这是通过以下方式完成的；
然而，有一种可以绕过这个问题的方法，就是使用 NTLM（NT LAN Manager）协议进行身份验证。下面，我将通过一个 Python 示例，展示如何使用 NTLM 协议安全地进行远程管理。
Kerberos是一种支持票证身份验证的安全协议。如果客户端计算机身份验证请求包含有效的用户凭据和服务主体名称 (SPN)，则 Kerberos 身份验证服务器将授予一个票证以响应该请求。然后，客户端计算机使用该票证来访问网络资源。在内部网络中，SPN扫描通过 查询向域控制器执行服务发现。这对于红队而言，可以帮助他们识别正在运行重要服务的主机，如终端、交换机、微软SQL等，并隐藏他们。此外，SPN的识别也是kerberoasting攻击的第一步。
Cmdlets 用于服务器的管理方面主要体现在4个方面：服务、日志、进程、服务器管理器。
lsarelayx 是系统范围的 NTLM 中继工具，旨在将传入的基于 NTLM 的身份验证中继到运行它的主机。lsarelayx 将中继任何传入的身份验证请求，其中包括 SMB。由于 lsarelayx 挂钩到现有的应用程序身份验证流，该工具还将在中继完成后尝试为原始身份验证请求提供服务。这将防止目标应用程序/协议显示错误，并为最终用户针对 lsarelayx 主机进行身份验证正常工作。
在Windows 2000之后微软引入了一个选项，用户可以通过Kerberos在一个系统上进行身份验证，并在另一个系统上工作，这种技术主要通过委派机制来实现，无约束委派通过TGT转发技术实现，而这也是我们将本文中讨论的内容
攻击者可以通过多种方式获得 Active Directory 中的域管理员权限。这篇文章旨在描述一些当前使用的比较流行的。此处描述的技术“假设破坏”，即攻击者已经在内部系统上站稳脚跟并获得了域用户凭据（也称为后利用）。
前不久在使用mimikatz抓取hash的时候遇到了报错，本着追根溯源的原则去查看了mimikatz抓取密码的原理。在学习的过程中发现了mimikatz的每种报错都有不同的原因，本文就记录一下自己的学习过程，从mimikatz的防御角度出发来分析如何防御mimikatz抓取密码。
SCShell是无文件横向移动工具，它依赖ChangeServiceConfigA来运行命令。该工具的优点在于它不会针对SMB执行身份验证。一切都通过DCERPC执行。无需创建服务，而只需通过ChangeServiceConfigAAPI 远程打开服务并修改二进制路径名即可（所以要事先知道目标上的服务名称）。支持py和exe两种文件类型。
SPN(ServicePrincipal Names)服务主体名称，是服务实例(如：HTTP、SMB、Exchange等服务)的唯一标识符。Kerberos身份验证使用SPN将服务实例与服务登录帐户相关联。如果在整个林或域中的计算机上安装多个服务实例，则每个实例都必须具有自己的 SPN。如果客户端使用多个名称进行身份验证，则给定服务实例可以具有多个SPN。SPN 始终包含运行服务实例的主机名，因此服务实例可以为其主机的每个名称或别名注册SPN。一个用户账户下可以有多个SPN，但一个SPN只能注册到一个账户。如果想使用 Kerberos 协议来认证服务，那么必须正确配置SPN。
Hot Potato是Stephen Breen发现的Windows权限提升技术的代号，这种技术实际上是两个已知的windows问题的结合，如nbns欺骗和ntlm中继，以及在目标主机上本地运行的假wpad代理服务器的实现。
Azure 攻击原语，以便更好地了解系统的工作原理、可以滥用哪些特权和权限、可能存在哪些限制以及在真实环境中存在哪些攻击路径。我一直对允许以下攻击的攻击保持警惕：
PowerProxy是一款功能强大的PowerShell Socks代理工具，该工具带有反向代理功能，可以帮助广大安全研究人员更加轻松地完成某些特定场景下的渗透测试任务。
MSOLSpray是一款针对微软在线账号（Azure/O365）的密码喷射与安全测试工具，在该工具的帮助下，广大研究人员可以直接对目标账户执行安全检测。支持检测的内容包括目标账号凭证是否有效、账号是否启用了MFA、租户账号是否存在、用户账号是否存在、账号是否被锁定或账号是否被禁用等情况。
CRT全称为“CrowdStrike Reporting Tool for Azure”，是一款针对Azure的CrowdStrike安全报告工具。该工具会在Azure AD/O365 租户中查询以下配置，并帮助广大研究人员寻找一些跟权限和配置有关的安全信息，以帮助组织更好地保护Azure环境的安全性。
一般想知道哪一台是域控知道自己内网的DNS就可以了，一般域控安装都有安装DNS有些不止一台，其次是通过扫描获取开放端口为389机器或者使用NLTEST命令查看。最后就是各种网络查看查看域控是哪台主机
AS-REP Roasting是一种对用户账号进行离线爆破的攻击方式。但是该攻击方式利用比较局限，因为其需要用户账号设置 "Do not require Kerberos preauthentication(不需要kerberos预身份验证) " 。而该属性默认是没有勾选上的。
在企业环境中部署 Active Directory 证书服务 (AD CS) 可以允许系统管理员利用它在不同目录对象之间建立信任。但是，它可能允许红队操作员对 AD CS 的 Web 界面进行 NTLM 中继攻击，以破坏网络。Web 界面用于允许用户获取证书（Web 注册），通过 HTTP 协议，不支持签名并接受 NTLM 身份验证。
Microsoft PowerShell Gallery 代码存储库上的软件包命名策略过于宽松，这将为大规模供应链攻击奠定基础。
假设当前你正在进行某项渗透测试任务，其中Azure基础架构也包含在你的测试范围内，并且你恰好可以访问Azure订阅上一个具有“贡献者（Contributor）”权限的域帐户。虽说在实际场景中，贡献者权限并没有这么容易获取到。但在我的渗透测试工作中，我也经常看到贡献者权限会被分发给一些开发人员。如果你够幸运的话，一些管理员可能会添加域用户组作为订阅的贡献者。或者，我们也可以假设是从低权限用户一步步提升到贡献者帐户的。
所谓的"无文件落地攻击"是指恶意程序文件不直接落地到目标系统的磁盘空间中的一种攻击手法，常用于逃避传统的安全检测机制，本篇文章将就此进行简要介绍几种目前比较流行的无文件落地攻击手法。
了解为什么您不应该将 SYSTEM 令牌用于沙盒令牌。具体来说，我将描述当您混合使用 SYSTEM 用户和SeImpersonatePrivilege时的意外行为，或者更具体地说，如果您删除SeImpersonatePrivilege。
本文转载自：https://www.cnblogs.com/backlion/p/10843067.html
“用指尖改变世界” 📷 系统管理工具和合法协议原本是为了给系统管理员、信息安全专业人员、开发人员和程序员的日常工作提供灵活性和高效性而设计的。然而，当被黑客、网络犯罪分子和其他恶意行为者使用时，它们可以使恶意软件融入正常的网络流量，规避传统的安全机制，同时留下很少的痕迹。 从2017年发生一些安全事件来看，系统管理工具和合法协议的意外暴露或者处于其他不安全状态，都可能带来大家昂贵的后果。 以下是我们为大家带来的一些在2017年发生的安全事件中被普遍滥用的工具和协议，以及与之相对应的预防措施： PowerSh
BackupOperatorToolkit是一款针对域安全的强大工具，该工具引入了多种不同的技术，可以帮助广大研究人员从Backup Operator用户权限提权至域管理员权限。
在我们获得用户名口令后，尝试远程登陆目标主机并执行程序，结合实际环境做了如下测试.
近日，腾讯云安全运营中心监测到，微软发布了Exchange多个高危漏洞的风险通告，涉及漏洞编号为CVE-2021-26855,CVE-2021-26857,CVE-2021-26858,CVE-2021-27065，可造成SSRF、任意文件写、代码执行等后果。 为避免您的业务受影响，腾讯云安全建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。 漏洞详情 在此次公告中披露了以下漏洞： CVE-2021-26855： 为Exchange中的一个服务器端请求伪造（SSRF）
由于每台服务器都需要注册用于Kerberos身份验证服务的SPN，因此这为在不进行大规模端口扫描的情况下收集有关内网域环境的信息提供了一个更加隐蔽的方法。
在Windows Server 2019中，Microsoft为其屏蔽虚拟机安全控制改进了弹性和冗余的问题，该Shielded VMs于Windows Server 2016提出。
这是微软2018年上半年发布的安全更新导致的CredSSP报错，这个更新涉及服务端、客户端，简单说，要么都别装，要么都装，一个装、一个不装就会有问题。跟"身份验证错误，要求的函数不受支持，CredSSP"类似的还有“远程计算机需要网络级别身份验证,而您的计算机不支持该验证。请联系您的系统管理” "The remote computer requires Network Level Authentication, which your computer does not support. For assistance, contact your system administrator or technical support." ，还有其他类似的：
APT-Hunter是Windows事件日志的威胁猎杀工具，它由紫色的团队思想提供检测隐藏在海量的Windows事件日志中的APT运动，以减少发现可疑活动的时间，而不需要有复杂的解决方案来解析和检测Windows事件日志中的攻击，如SIEM解决方案和日志收集器。
密码安全问题一直都受到个人和企业的关注。对于个人而言，或许仅仅只是个人隐私的被公开，而对于企业而言则可能会是灾难性的。为了避免出现这种情况，越来越多的企业都开始使用一些不可逆，且强度高的加密算法来加密其账户密码。但一些安全意识薄弱的企业或个人，仍在使用可逆加密存储其账户密码。一旦使用可逆加密，即使你的密码设置的非常长也可以被攻击者轻易的破解。
大多数渗透测试人员都听说过哈希传递(Pass The Hash)攻击。该方法通过找到与账户相关的密码散列值(通常是 NTLM Hash)来进行攻击。在域环境中，用户登录计算机时使用的大都是域账号，大量计算机在安装时会使用相同的本地管理员账号和密码，因此，如果计算机的本地管理员账号和密码也是相同的，攻击者就能使用哈希传递攻击的方法登录内网中的其他计算机。同时，通过哈希传递攻击攻击者不需要花时间破解哈希密在Windows网络中，散列值就是用来证明身份的（有正确的用户名和密码散列值，就能通过验证），而微软自己的产品和工具显然不会支持这种攻击，于是，攻击者往往会使用第三方工具来完成任务。在Windows Server2012R2及之后版本的操作系统中，默认在内存中不会记录明文密码，因此，攻击者往往会使用工具将散列值传递到其他计算机中，进行权限验证，实现对远程计算机的控制。
领取专属 10元无门槛券
手把手带您无忧上云
