C:\Program Files (x86)\VMware\VMware vCenter Converter Standalone\plink.exe
除了krbtgt服务帐号外，域控上还有个可利用的账户：目录服务还原模式（DSRM）账户，这个密码是在DC安装的时候设置的，所以一般不会被修改。但是微软对DSRM帐号进行了限制，只允许在控制台登录。可以通过修改注册表的方式，将如下注册表键值： HKLM\System\CurrentControlSet\Control\Lsa\DSRMAdminLogonBehavior 中的DSRMAdminLogonBehavior改为2，就可以通过网络验证并登录到DC。这样DSRM账户就可以看做一个本地管理员帐号。可以通过导出的HASH结合PTH方式，持续控制DC，即使域内用户密码都进行了修改也可以利用。
然后关机做自定义镜像 → 假如基于此镜像买4台机器，在其中1台机器的TAT上执行以下代码可以重启其他3台机（具体化代码中的密码、IP）
点评：破解 windows 7登陆密码主要解决两个问题： 1.PE或DOS认不到硬盘2.net user 命令不成功SATA的硬盘可能会让你的PE找不到，方法是修改BIOS中的SATA设定，找到后把后面的AHCI改成RAD(好像是这个名，基本就是上下选择，选择不是AHCI的那个值)，有些硬盘值可能
在2015年的黑帽大会和DEFCON上，我曾谈过黑客会如何从域用户提权到域管理。 密码的难题 每台Windows主机有一个内置的Administrator账户以及相关联的密码。大多数组织机构为了安全，可能都会要求更改密码，虽然这种方法的效果并不尽如人意。标准的做法是利用组策略去批量设置工作站的本地Administrator密码。 但是这样又会出现另一个问题，那就是所有的电脑都会有相同的本地Administrator密码。也就是说，如果获取了一个系统的Administrator认证凭据，黑客就可以获取他们
2.确保数据库处于mount，非open状态，并且在加载前先以immediate方式关闭。如：
本文仅供学习参考，其中涉及的一切资源均来源于网络，请勿用于任何非法行为，否则您将自行承担相应后果，我不承担任何法律及连带责任。
在开机时，按下F8进入”带命令提示符的安全”模式 输入”NET USER+用户名+123456/ADD”可把某用户的密码强行设置为”123456″
哈希传递（Pass The Hash）攻击，该方法通过找到与账户相关的密码散列值（通常是 NTLM Hash）来进行攻击。
1、物理服务器通过Console接口登录，云服务器通过vnc登录，点击重启按钮，将服务器进行重启。
psexec 是 windows 下非常好的一款远程命令行工具。psexec的使用不需要对方主机开机3389端口，只需要对方开启admin共享或 c (该共享默认开启，依赖于445端口)。但是，假如目标主机开启了防火墙(因为防火墙默认禁止445端口的连接)，psexec也是不能使用的，会提示找不到网络路径。由于psexec是windows提供的工具，所以杀毒软件会将其添加到白名单中。
Impacket 工具包是红队人员内网横向使用频率最多的工具包之一，而Impacket 是一个标准 Python 类库，用于对 SMB1-3 或 IPv4 / IPv6 上的 TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP 等协议进行低级编程访问。在 impacket 工具包中用到最多的协议就是 smb 协议，SMB 是一种网络协议，也称为服务器消息块协议，它被用于在客户端和服务器之间进行通信，它 还可以用来共享文件，打印机和其他一些网络资源。其次就是 MSRPC，MSRPC 或 Microsoft 远程过程调用是 DCE / RPC 的修改版本，它是由 Microsoft 创建的，用于在 Windows 中无缝创建客户端/服务器模型，Windows Server 域协议完全基于 MSRPC。
内网中的机器： 1.在域中，分为高权限(域控)、低权限(域成员) 2.域控的密码和用户能够登陆所有加入域的机器。 3.不在域中：互相有联系，但是是平级。
在默认情况下，任何普通用户都能通过su命令切换到root用户。众所周知，root对于系统拥有至高无上的权限！因此，任何用户不在允许范围内切换到root都会威胁着整个系统的安全。增加指定用户才能su到root的系统管理设置相当于又给系统安全提升了一道安全屏障。 一、目标： 1. 只有指定用户才能su到root； 2. root在无需输入密码的情况下依然能够随时su到各普通用户； 3. 普通用户之间无法随意su，只能用已设置账户su到其他账户，其他账户不能su到已设置账户。 二、操作步骤 1.将指定能够su到root的用户附加至wheel组。默认情况下root是属于wheel组的。例如：将用户Geeklp附加至wheel组，命令如下：
免责声明：本公众号发布的文章均转载自互联网或经作者投稿授权的原创，文末已注明出处，其内容和图片版权归原网站或作者本人所有，并不代表安全+的观点，若有无意侵权或转载不当之处请联系我们处理，谢谢合作！
1、进入救援模式(winpe)，导航到系统盘system32目录下，重命名osk.exe为osk_bak.exe，后续还需要改回来
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，Plink，DCOM，Kerberos_TGS，GPO&DACL， 域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。
Kekeo是MimiKatz的作者Benjamin用C语言写的针对Kerberos协议进行攻击的工具。它可以发起Kerberos请求，并将请求的票据导入内存中，从而模拟针对Kerberos协议各个阶段发起攻击，以方便安全研究员进行研究和学习。然而由于种种原因，并且其功能其实也没有Rubeus工具强大，导致Kekeo并没有很大范围的被使用。以下简要的讲述Kekeo的一些简单用法，本文的目的是希望大家对Kekeo工具有一个简单的了解。
C:\Users\Administrator\Desktop\Server.exe
文档结尾有介绍不自建vncserver设置仅在1上显示，使Windows GPU机器控制台vnc能使用的办法
使用命令：sudo apt-get install subversion
1、按“win+R”打开运行，在运行输入框里面输入“gpedit.msc”，如下图所示：
在实战中，拿到一台Windows服务器权限，如果可以直接获取Windows明文密码的话，就可以更容易深入挖掘。本文分享几个获取Windows明文密码的技巧，简单直接且有效。
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，Plink，DCOM，Kerberos_TGS，GPO&DACL， 域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。 前提条件：已取得webserver服务器普通域用户权限 简单使用ms14-058提权后，得到sysytem权限
在内网渗透过程中，当获取到某个管理员用户的密码 hash 值却无法解密时，可以通过哈希传递攻击（Pass The Hash）对内网其他机器进行横向渗透。
GPP是指组策略首选项（Group Policy Preference），GPP通过操作组策略对象GPO（Group Policy Object）对域中的资源进行管理。
参考https://cloud.tencent.com/developer/article/2295502 设置仅在2显示（注意：仅在2是独显，仅在1是非独显，仅在2的话控制台vnc不可用，仅在1的话控制台vnc可用，具体设置什么以业务为准）
Administrator 原意为管理人或行政官员或遗产管理人，在计算机名词中，它的意思是系统超级管理员或超级用户。但是在Windows系统中此用户名只在安全模式中使用。
修改操作系统密码,导致SQL不能启动的解决办法: 方法一. 我的电脑–控制面板–管理工具–服务–右键 MSSQLSERVER–属性–登陆–登陆身份–选择"本地系统帐户"
大家好，这里是 渗透攻击红队 的第 71 篇文章，本公众号会记录一些红队攻击的案例，不定时更新！请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！
作为网络工程师，华为服务器大家应该都摸过吧，大家在接触的过程中是否有过忘记了服务器登录密码或 IP 地址的情况？
如果当前账号权限被系统认为是本地管理员权限，那么就可以执行很多管理员才能做的事，接下来就来看一下这样的一个过程是如何工作的，其中会涉及到以下要点：
这里使用的impacket工具包里的，微软自带的psexec不能使用hash进行传递
新建配置文件my.ini放在E:\mysql-5.7.17-winx64，内容如下：
win+R键 弹出运行框里输入 cmd 点击确认或者右下角开始程序里面的点开运行
(顺便说下v5默认值， IP：192.168.2.100，用户：Administrator，密码：Admin@90000)
如果这里我们假设服务B为krbtgt，服务A为我们控制的一个账号。配置服务A到服务B的约束性委派或者基于资源的约束性委派，那么我们控制的账户就可以获取KDC（Key Distribution Centre）服务的ST服务票据(也就是TGT认购权证)。于是我们就可以伪造任何权限用户的TGT认购权证，来打造一个变种的黄金票据了
为了光驱没盘符，禁用了光驱，导致密码模块3个选项（平台自动生成密码、显性指定密码、保留镜像设置）不论怎么设置，最终cloudbase-init都生成了随机密码（跟镜像里配置的注册表自动登录的原始密码不匹配）而无法自动登录
本篇继续阅读学习《内网安全攻防：渗透测试实战指南》，本章系统的介绍了域内横向移动的主要方法，复现并剖析了内网域方面最重要、最经典的漏洞，同时给出了相应的防范方法
PsExec 主要用于大批量 Windows 主机的维护，在域环境下效果尤其好。（因为 PsExec 是 Windows 提供的工具，所以杀毒软件将其列入白名单中）
通过winrm、自动化助手tat无法达到在系统内部执行命令的效果时，可以尝试这种办法：
在每个域控机器下都有一个DSRM帐户，为DC的本地管理员账户，这个帐户的作用就是用来设定登陆服务还原模式 AD 节点的系统管理员密码，意思就是可以从新设置DC管理员的密码，在红队作战中，如果我们拿到了DSRM帐户的密码，就算哪天域管权限丢失,我们也可以把域内任意用户的密码同步到 DSRM 账户上[这里包括了 dc 本地的 admainistrator 用户],而后再利用 DSRM 账户 ipc 连到 dc 上把域管权限拿回来。
rpm –qa |grep samba # -q query –a all #
① sysdm.cpl远程页签或者SystemPropertiesRemote.exe，勾选网络级别身份验证
IPC(Internet Process Connection) 共享"命名管道"的资源，是为了实现进程间通信而开发的命名管道。IPC可以通过验证用户名和密码获取相应权限。通过IPC、D、E……)和系统目录共享(Admin)。
每次提交代码都要输入用户名密码，十分麻烦，教大家怎么让Git记住密码。 Https记住密码 永久记住密码 git config --global credential.helper store 会在用户主目录的.gitconfig文件中生成下面的配置。 [credential] helper = store 如果没有--global，则在当前项目下的.git/config文件中添加。 当然，你也可以直接复制上面生成的配置到配置文件中。 临时记住密码 默认记住15分钟： git config –glob
当我们已经获取了远程系统的凭证（明文密码或 hash）时，可以直接通过3389远程登录进去收集信息、进行下一步的渗透，但是这样做的话会在系统上留下我们的操作记录，而且有可能邂逅管理员。大部分情况下，一个cmdshell 已经可以满足我们继续渗透的需求，所以不到万不得已的时候最好不要远程桌面连接(mstsc)，而是通过远程执行命令的方式继续开展工作。本文整理了一些远程执行命令的姿势，测试环境如下：
随着人们的安全意识的逐步加强，企业内部的Windows服务器口令越来越复杂了，经常会遇到提权到windows服务器，获取了用户的密码hash，但是cmd5官网或者本地猜解都拿不到明文密码的情况。这时候就需要用到内网哈希传递技术了。哈希传递利用了NTLM认证的缺陷，使用用户的密码哈希值来进行NTLM认证。如果目标机器与获取hash值的机器的密码相同，就可以直接使用hash来远程登录Windows主机了。
本地帐户Local Accounts存储在本地的服务器上。这些帐户可以在本地服务器上分配权限，但只能在该服务器上分配。默认的本地帐户是内置帐户(如administrator、guest等)，在安装Windows时自动创建。Windows安装后，无法删除默认的本地帐户。此外，默认的本地帐户不提供对网络资源的访问。默认的本地帐户用于根据分配给该帐户的权限来管理对本地服务器资源的访问。默认的本地帐户和后期创建的本地帐户都位于“用户”文件夹中。
在上一节 《记一次Vulnstack靶场内网渗透（四）》中，我们玩过了vulnstack 3这个靶场，通过信息收集、Joomla CMS漏洞利用、权限提升、以及域渗透最终拿下了域控并获得域控中的一份重要文件。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
即时通信 IM
对象存储
