五、DMZ

DMZ称为“隔离区”，也称“非军事化区”。是为了解决安装防火墙后外部网络不能访问内部网络服务器的问题，而设立的一个非安全系统与安全系统之间的缓冲区。

• 这个缓冲区位于企业内部网络和外部网络之间的小网络区域内，在这个小网络区域内可以放置一些必须公开的服务器设施，如企业Web服务器、FTP服务器和论坛等。

• 另一方面，通过这样一个DMZ区域，更加有效地保护了内部网络，因为这种网络部署，比起一般的防火墙方案，对攻击者来说又多了一道关卡。

DMZ的屏障功能

（1）内网可以访问外网

内网的用户需要*地访问外网。在这一策略中，防火墙需要执行NAT。

（2）内网可以访问DMZ

此策略使内网用户可以使用或者管理DMZ中的服务器。

（3）外网不能访问内网

这是防火墙的基本策略了，内网中存放的是公司内部数据，显然这些数据是不允许外网的用户进行访问的。如果要访问，就要通过VPN方式来进行。

（4）外网可以访问DMZ

DMZ中的服务器需要为外界提供服务，所以外网必须可以访问DMZ。同时，外网访问DMZ需要由防火墙完成对外地址到服务器实际地址的转换。

（5）DMZ不能访问内网

如不执行此策略，则当入侵者攻陷DMZ时，内部网络将不会受保护。

（6）DMZ不能访问外网

此条策略也有例外，比如我们的例子中，在DMZ中放置邮件服务器时，就需要访问外网，否则将不能正常工作。

六、相关名词解释

1、SAM

SAM(安全账户管理器)，SAM是用来存储Windows操作系统密码的数据库文件，为了避免明文密码泄漏，SAM文件中保存的是明文密码经过一系列算法处理过的Hash值，被保存的Hash分为LM Hash、NTLMHash。在用户在本地或远程登陆系统时，会将Hash值与SAM文件中保存的Hash值进行对比。在后期的Windows系统中，SAM文件中被保存的密码Hash都被密钥SYSKEY加密。

SAM文件在磁盘中的位置在C:\windows\system32\config\sam

SAM文件在Windows系统启动后被系统锁定，无法进行移动和复制

2、Hash

Windows系统为了保证用户明文密码不会被泄漏，将明文密码转换为Hash值进行身份验证，被保存在SAM或ntds.dit中。

获取Hash方法

1.使用卷影副本将SAM文件导出，配合SYSKEY利用mimikatz等工具获得NTLM Hash

2.使用mimikatz等工具读取lsass.exe进程，获取Hash

3.配合其他漏洞和手法获取net-NTLM Hash 4.net-NTLM Hash可以使用Responder或Inveigh等工具获取

3、ntds.dit

ntds.dit是AD中的数据库文件，它被保存在域控制器c:\windows\system32\ntds\NTDS.DIT位置。活动目录的数据库文件（ntds.dit）包含有关活动目录域中所有对象的所有信息，其中包含所有域用户和计算机帐户的密码哈希值。该文件在所有域控制器之间自动同步，它只能被域管理员访问和修改。

4、Kerberos

Kerberos是一种网络认证协议，对个人通信以安全的手段进行身份认证。其设计目标是通过密钥系统为客户机/服务器应用程序提供强大的认证服务。 它允许某实体在非安全网络环境下通信，向另一个实体以一种安全的方式证明自己的身份。该认证过程的实现不依赖于主机操作系统的认证，无需基于主机地址的信任，不要求网络上所有主机的物理安全，并假定网络上传送的数据包可以被任意地读取、修改和插入数据。在以上情况下， Kerberos 作为一 种可信任的第三方认证服务，是通过传统的密码技术(如:共享密钥)执行认证服务的。

协议内容

• AS：认证服务器
• KDC：密钥分发中心
• TGT：票据授权票据，票据的票据
• TGS：票据授权服务器

5、SMB

SMB(Server Message Block)被称为服务器消息块，又叫网络文件共享系统(CIFS)。在Windows2000中，SMB除了基于NBT实现，还可以直接通过445端口实现。

主要功能

使网络上的机器能够共享计算机文件、打印机、串行端口和通讯等资源。

6、IPC(进程间通信)

指至少两个进程或线程间传送数据或信号的一些技术或方法。

7、WMI

WMI(Windows管理规范)，由一系列对Windows Driver Model的扩展组成，它通过仪器组件提供信息和通知，提供了一个操作系统的接口。在渗透测试过程中，攻击者往往使用脚本通过WMI接口完成对Windows操作系统的操作，远程WMI连接通过DCOM进行。例如：WMIC、Invoke-WmiCommand、Invoke-WMIMethod等。另一种方法是使用Windows远程管理（WinRM）。

七、内网渗透常用端口

• 53
  DNS服务，在使用中需要用到TCP/UDP 53端口，AD域的核心就是DNS服务器，AD通过DNS服务器定位资源
  
• 88
  Kerberos服务，在使用中需要用到TCP/UDP 88端口，Kerberos密钥分发中心(KDC) 在该端口上侦听Ticket请求
  
• 135
  135端口主要用于使用RPC协议并提供DCOM服务。
  
• 137
  NetBIOS-NS(名称服务)，在使用中需要用到TCP/UDP 137端口
  
• 139
  Session Server(会话服务),在使用中需要用到TCP/UDP 139端口，允许两台计算机建立连接
  
• 389
  LDAP服务(轻量级目录访问协议)，在使用中需要用到TCP/UDP 389端口，如果需要使用SSL，需要使用636端口，
• 445
  主要用于共享文件夹或共享打印，存在较多漏洞，如MS08-067、MS17-010
  
• 3268
  Global Catalog(全局编录服务器)，如果需要使用SSL，需要用到3269端口，主要用于用户登录时，负责验证用户身份的域控制器需要通过防火墙，来向“全局编录”查询用户所隶属的通用组
  

八、常用工具和方式

1.渗透框架

• Cobalt Strike
• Empire
• NiShang
• Metasploit
• Powersploit

2.信息收集

• Netsess.exe
• Powerview
• Bloodhound
• Nmap

3.权限提升

• Powerup
• UACME
• 假冒令牌:

1.Incognito

2.Powershell – Invoke-TokenManipulation.ps1

3.Cobalt Strike – steal_token

4.口令爆破

• Hydra
• John
• Hashcat

5.凭据窃取

• Mimikatz
• Procdump
• QuarksPwDump
• LaZagne.exe

windows工具:

mimikatz

wce

Invoke-WCMDump

mimiDbg

LaZagne

nirsoft_package

QuarksPwDump

fgdump

linux工具:

LaZagne

mimipenguin

6.横向渗透

• psexec
• wmi

(1)wmic (2)wmiexec.vbs (3)Invoke-WMIMethod

• WinRM
• DCOM
• WCE
• 组策略种马

7.MIMT

• Responder
• Impacket
• Invoke-Inveigh.ps1
• Cain

8.Bypass AV

• Invoke-Obfuscation
• Veil
• shellcode loder
• reflect dll inject