---

内网分布图

DMZ同于存放不得不给外网访问的设备，与内网独立区分开，中间有一道防火墙，因此攻破web服务器并提权并不代表攻破了内网，还需要一系列操作才能攻到内网。当然，有部分公司的内网就处于web服务器，这样攻击成功web服务器就相当于攻击内网。

内网基本概念

局域网：
局域网（Local Area Network, LAN），又称内网，是指在某一区域内由多台计算机互联成的计算机组。严格来说是封闭型的，不与外网连接。

工作组：
在一个网络内，可能有成百上千台电脑，如果这些电脑不进行分组，都列在“网上邻居”内，可想而知会有多么乱。为了解决这一问题，早在Windows 9x/NT/2008就引用了“工作组”这个概念，将不同的电脑一般按功能分别列入不同的组中，如财务部的电脑都列入“财务部”工作组中，人事部的电脑都列入“人事部”工作组中。你要访问某个部门的资源，就在“网上邻居”里找到那个部门的工作组名，双击就可以看到那个部门的电脑了。

域环境：
与工作组的“松散会员制”有所不同，“域”是一个相对严格的组织。“域”指的是服务器控制网络上的计算机能否加入的计算机组合。
实行严格的管理对网络安全是非常必要的。在对等网模式下，任何一台电脑只要接入网络，就可以访问共享资源，如共享ISDN上网等。尽管对等网络上的共享文件可以加访问密码，但是非常容易被破解。在由Windows 9x构成的对等网中，数据是非常不安全的。
在“域”模式下，至少有一台服务器负责每一台联入网络的电脑和用户的验证工作，相当于一个单位的门卫一样，称为“域控制器（Domain Controller，简写为DC）”。“域控制器”中包含了由这个域的账户、密码、属于这个域的计算机等信息构成的数据库。当电脑联入网络时，域控制器首先要鉴别这台电脑是否是属于这个域的，用户使用的登录账号是否存在、密码是否正确。如果以上信息不正确，域控制器就拒绝这个用户从这台电脑登录。不能登录，用户就不能访问服务器上有权限保护的资源，只能以对等网用户的方式访问Windows共享出来的资源，这样就一定程度上保护了网络上的资源。
一般情况下，域控制器集成了DNS服务，可以解析域内的计算机名称（基于TCP/IP），解决了工作组环境不同网段计算机不能使用计算机名互访的问题。
想把一台电脑加入域，仅仅使它和服务器在“网上邻居”能够相互看到是远远不够的，必须要由网络管理员进行把这台电脑加入域的相关操作。

域控制器DC：
域控制器（Domain Controller，DC）是一台服务器，管理网络和身份安全，有效地充当用户验证和授权进入域内 IT 资源的门卫。域控制器在微软目录服务术语中尤其重要，作为验证 Windows 用户身份的主要方式，以便让他们访问 Windows 系统、应用程序、文件服务器和网络。它们还托管 Active Directory 服务。

活动目录（Active Directory）（AD）：
是面向Windows Standard Server、Windows Enterprise Server以及 Windows Datacenter Server的目录服务。（Active Directory不能运行在Windows Web Server上，但是可以通过它对运行Windows Web Server的计算机进行管理。）
Active Directory存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息。Active Directory使用了一种结构化的数据存储方式，并以此作为基础对目录信息进行合乎逻辑的分层组织。

工作组和域环境的优缺点

工作组优势在于对中小型局域网，可以快速的进行分组并通过网上邻居发现并输入用户名和密码凭证来进行简单的资源共享，打印共享等服务，操作简单。劣势就是每一台计算机都是独立的个体，难以实现统一的管理和身份的验证。而域环境就能解决工作组存在的这一个痛点，通过对用户权限以及组策略的限制实现，从而实现对每台计算机的管理。

内网常用命令

net user ------> 本机用户列表
net localhroup administrators ------> 本机管理员[通常含有域用户]
net user /domain ------> 查询域用户
net group /domain ------> 查询域里面的工作组
net group “domain admins” /domain ------> 查询域管理员用户组
net localgroup administrators /domain ------> 登录本机的域管理员
net localgroup administrators workgroup\user001 /add ----->域用户添加到本机
net group “Domain controllers” -------> 查看域控制器(如果有多台)
ipconfig /all ------> 查询本机IP段，所在域等
net view ------> 查询同一域内机器列表
net view /domain ------> 查询域列表
net view /domain:domainname -----> 查看workgroup域中计算机列表

域的分类

单域

例如主公司和子公司都独自形成了一个域环境，称为单域，由此延伸出父域和子域。

父域和子域

父域可以管理子域。

域数和域森林

域的框架结构，很多分支形成了域森林。（字面意思）

Linux域渗透问题

由于AD控制器只能在win server上运行，所以大部分内网使用的都是Windows系统，Linux系统也可以使用LDAP环境才能使用对应的目录，且LDAP没有域好用。

内网安全流程

基本概念搞清楚->信息收集（存活主机，域控制器，网络架构，服务接口）->权限提升（能做的事情多了才能渗透内网时进行更多操作）->横向渗透（核心）->权限维持（为了后续利用）
注：权限提升和横向渗透可以调换步骤，两种思路，这种是先进内网主机再提权

小迪演示环境

fileserver:文件服务器
sqlserver:数据库服务器
webserver：网站服务器
剩下的是个人电脑
注：属于单域环境

信息收集

收集计算机版本任务服务
sysinfo：详细信息
net start：启动服务
tasklist：进程列表
schtasks：计划任务
网络信息：
ipconfig /all：判断存在域–dns（看主DNS后缀有没有数据）

net view /domain：判断存在域(有无信息返回)

net time /domain：判断主域（在域环境判断当前时间）(返回的OWA2010…是域控制器名)

netstat -ano：当前网络端口开放
nslookup：域名，追踪来源地址

用户信息：
系统默认常见用户：

Domain Admins：域管理员
Domain computers：域内机器
Domain controllers：域控制器
Domain guest：域访客，权限低
Domain user：域用户
Enterprise Admins：企业系统管理员用户（对域控制器有完全控制权）

相关用户收集操作命令：

whoami /all 用户权限
net config workstation 登录信息
net user 本地用户
net localgroup 本地用户组
net user /domain 获取域用户信息
net group /domain 获取域用户组信息
wmic useraccount get /all 涉及域用户详细信息
net group “Domain Admins” /domain 查询域管理员账户
net group “Enterprise Admins” /domain 查询管理员用户组
net group “Domain Controllers” /domain 查询域控制器

收集这些信息用于后续判断服务器角色，网络环境等做准备

注：有些命令会被域控制器拦截而无法运行，因此要提权到system权限，突破域控制器限制

mimikatz

使用该工具可以将用户密码的hash值和明文输出出来。（必须要高权限才能运行）

Lazagne(all)

支持Linux和Windows两种操作系统的脚本，运行可以爬取各类服务信息（WiFi）和密码

凭据信息政集操作演示

旨在收集各种密文，明文，口令等，为后续横向渗选做好测试准备
计算机用户#AS8，明文获取-mimixatz(xin)，mimipenguin(1inux)
计算机各种协议服务口令获取-Lazagne(all)，XenAzmer(win)
Netsh WLAN show profiles
Netah WLAN shox profile name="无线名称” key=clear
1.站点源码备份文件、数据库备份文件尊
2.各类数据库web管现入口，如PHPMyAdmin
3.浏览器保存密码、浏览器ceoxiea
4.其他用户会话、3389和ipes连接记录、回收站内容
5.windowa 保存的NIFI密码
6.网络内部的各种帐号和医码，如:Emai1、vPN、FTP、OA

探针主机域控架构服务操作演示

为后续机向思路做准备，针对应用，协议等各类攻击手法

探针域控制器名及地址信息
net time /domain nslookup ping

探针城内存活主机及地址信息
nbtscan 192.168.3.0/24第三方工具
for /L %I in (1, 1, 254) DO @ping -w 1 -n 1 192.168.3.%I | findstr “TTL=” 产品自带命令

nmap masscan 第三方PowerShell脚本nishang empire等

导入模块nishang
Import-Module .\nishang.psm1

设置执行策略
Set-Executionpolicy Remotesigned

获取模块nishang的命令的数
Get-Command -Module nishang

获取常规计算机信息
Get-Information

端口扫描(查看目录对应文件有演示语法，其他同理)
Invoke-PoxtScan -StaxtAddress 192.168.3.0 -EndAddress 192.168.3.100 -ResolveHost -ScanPort

其他功能:删除补丁，反弹she11，凭据获取等
探针城内主机角色及服务信息
利用开放端口服务及计算机名判断

核心业务机器:
1.高级管理人员、系统管理员、财务/人事/业务人员的个人计算机
2.产品管理系统服务器

---

总结

本文主要讲解内网常见名词概念和信息收集的方式方法，为接下来的内网渗透做前提准备，一个好的信息收集可以让渗透事半功倍。