域渗透-横向移动手法总结
内容提要
内网渗透中的域内横向移动技术使攻击者能够通过被攻陷的系统访问其他主机，扩大控制范围。常见方法包括PTH（pass-the-hash）和PsExec，攻击者可利用哈希值绕过身份验证，甚至控制整个内网。此外，WMI等工具也可用于隐蔽执行远程命令。
关键要点
-
内网渗透中的域内横向移动技术使攻击者能够通过被攻陷的系统访问其他主机，扩大控制范围。
-
常见的横向移动方法包括PTH（pass-the-hash）和PsExec，攻击者可利用哈希值绕过身份验证。
-
PTH攻击利用LM Hash和NTLM Hash直接访问远程主机，无需提供明文密码。
-
PsExec是Windows自带工具，可以在远程计算机上执行命令，需开放445端口。
-
WMI（Windows Management Instrumentation）工具可隐蔽地执行远程命令，且不记录操作日志。
-
使用mimikatz工具可以获取哈希值并进行PTH攻击。
-
CrackMapExec工具可对C段中的主机进行批量PTH攻击。
-
Invoke-WmiCommand和Invoke-WMIMethod是PowerShell模块，可用于远程执行命令。
-
MS08-067和EternalBlue是Windows系统中的已知漏洞，可被利用进行远程代码执行。
延伸解读
横向移动技术的风险
域内横向移动技术如PTH和PsExec虽然有效，但也存在被检测的风险。攻击者在使用这些技术时，可能会留下日志痕迹，蓝队可以通过分析这些日志追踪攻击路径。因此，实施这些技术时需谨慎，避免过于频繁的操作，以降低被发现的概率。
工具选择与隐蔽性
在内网渗透中，选择合适的工具至关重要。WMI工具因其隐蔽性较强，通常不会在日志中留下痕迹，适合需要低调操作的场景。而PsExec虽然使用广泛，但因其创建服务的特性，容易被监控系统捕捉到。因此，攻击者应根据目标环境选择合适的工具。
补丁与防御措施
虽然微软对PTH攻击进行了补丁，但仍有部分账户如Administrator可以被利用。企业应定期更新系统补丁，并加强对管理员账户的管理，限制其使用场景。此外，监控445端口和WMI服务的活动，可以有效降低被攻击的风险。
延伸问答
什么是域内横向移动技术？
域内横向移动技术是攻击者利用被攻陷的系统访问其他主机，从而扩大控制范围的手段。
PTH攻击的原理是什么？
PTH攻击利用LM Hash和NTLM Hash直接访问远程主机，无需提供明文密码，从而绕过身份验证。
PsExec工具的主要功能是什么？
PsExec是Windows自带的工具，可以在远程计算机上执行命令，需开放445端口。
WMI工具在远程执行命令时有什么优势？
WMI工具可以隐蔽地执行远程命令，且不记录操作日志，具有更好的隐蔽性。
如何使用mimikatz进行PTH攻击？
使用mimikatz可以获取哈希值并进行PTH攻击，具体命令包括privilege::debug和sekurlsa::pth。
CrackMapExec工具的用途是什么？
CrackMapExec可以对C段中的主机进行批量PTH攻击，方便攻击者进行大规模渗透测试。
