0x00 前言自 2020 年 11 月份至 2021 年 10 月份，在这近一年的时间里，笔者更新了自己在学习内网过程中的 30 余篇笔记，并将笔记同步更新到了自己的公众号、博客、CSDN 等平台，特在此整理成合集发布出来。
建议收藏本文
2021-10-27
【内网学习笔记】30、跨域安全（完结）
0、前言常见的跨域攻击方法有以下几种：
i、利用常规的渗透方法，比如 Web 漏洞
ii、利用已知散列值进行哈希传递或票据传递，因为有可能域内的密码是通用的
iii、利用域信任关系
这里主要看第三种：域信任关系
当有多个域时，不同的域之间想
2021-10-22
【内网学习笔记】29、白银票据
0、前言白银票据（Sliver Ticket） 不同于黄金票据（Golden Ticket）
Kerberos 协议详解：https://teamssix.com/210923-151418.html
白银票据不与密钥分发中心 KDC
2021-10-09
【内网学习笔记】28、黄金票据
0、前言RT 在利用黄金票据（Golden Ticket）进行 PTP 票据传递时，需要先知道以下信息：
伪造的域管理员用户名
完整的域名
域 SID
krbtgt 的 NTLM Hash 或 AES-256 值
其中 krbtgt 用
2021-09-27
【内网学习笔记】27、Kerberos 域用户提权漏洞
0、前言在 2014 年微软修复了 Kerberos 域用户提权漏洞，即 MS14-068，CVE 编号为 CVE-2014-6324，该漏洞影响了 Windows Server 2012 R2 以下的服务器，该漏洞允许 RT 将任意用户权
2021-09-24
Kerberos 协议详解与利用
一、Kerberos 协议Kerberos 原意是希腊神话中看守冥界入口的恶犬刻耳柏洛斯，类似于「哈利波特·神秘魔法石」中守护魔法石的三头犬毛毛。
这里所讲的 Kerberos 是一种网络身份认证协议，个人猜测作者采用这个名字也正是为了体现
2021-09-23
【内网学习笔记】26、ntds.dit 的提取与散列值导出
0、前言在活动目录中，所有数据都保存在 ntds.dit 文件中，ntds.dit 是一个二进制文件，存储位置为域控的 %SystemRoot%\ntds.dit
ntds.dit 中包含（但不限于）用户名、散列值、组、GPP、OU 等与活
2021-09-09
【内网学习笔记】25、Exchange 邮件服务器
1、Exchange 的基本操作
在 Exchange 服务器上的 PowerShell 里进行以下操作
将 Exchange 管理单元添加到当前会话中
add-pssnapin microsoft.exchange*
查看邮件数据库
2021-09-08
【内网学习笔记】24、SPN 的应用
0、前言SPNWindows 域环境是基于微软的活动目录服务工作的，它在网络系统环境中将物理位置分散、所属部门不同的用户进行分组和集中资源，有效地对资源访问控制权限进行细粒度的分配，提高了网络环境的安全性及网络资源统一分配管理的便利性。
在
2021-09-07
【内网学习笔记】23、SMBExec 与 DCOM 的使用
1、SMBExec利用 SMBExec 可以通过文件共享（admin$、c$、ipc$、d$）在远程系统中执行命令，它的工作方式类似于 PsExec
C++ 版C++ 版项目地址：https://github.com/sunorr/smbe
2021-09-04
【内网学习笔记】22、PsExec 和 WMI 的使用
1、PsExecPsExec.exePsExec 在之前的文章里提到过一次，参见https://teamssix.com/210802-181052.html，今天来着重学习一下。
PsExec 是 PSTools 工具包里的一部分，其下载
2021-09-02
【内网学习笔记】21、哈希传递与票据传递
1、哈希传递哈希传递（Pass The Hash, PTH）顾名思义，就是利用哈希去登录内网中的其他机器，而不是通过明文密码登录的方式。
通过哈希传递，攻击者不需要花时间破解哈希值得到明文，在Windows Server 2012 R2及之
2021-09-01
【内网学习笔记】20、Hashcat 的使用
1、介绍Hashcat 是一款用于破解密码的工具，据说是世界上最快最高级的密码破解工具，支持 LM 哈希、MD5、SHA 等系列的密码破解，同时也支持 Linux、Mac、Windows 平台。
工具地址：https://hashcat.n
2021-08-31
【内网学习笔记】密码抓取
0、前言Windows 系统一般使用两种方法对用户的密码进行加密处理，在域环境中，用户的密码信息以哈希值的密文形式存储在 ntds.dit 二进制文件中，该文件位于 %SystemRoot%\ntds\ntds.dit 路径下，由于该文件一
2021-08-13
【内网学习笔记】19、IPC 与计划任务
0、前言在多层代理的环境中，由于网络限制，通常采用命令行的方式连接主机，这里学习下 IPC 建立会话与配置计划任务的相关点。
1、IPCIPC (Internet Process Connection) 是为了实现进程间通信而开放的命名管道
2021-08-02
【内网学习笔记】18、LLMNR 和 NetBIOS 欺骗攻击
0、前言如果已经进入目标网络，但是没有获得凭证，可以使用 LLMNR 和 NetBIOS 欺骗攻击对目标进行无凭证条件下的权限获取。
1、基本概念LLMNR本地链路多播名称解析（LLMNR）是一种域名系统数据包格式，当局域网中的 DNS 服
2021-07-29
【内网学习笔记】17、令牌窃取
0、前言令牌（Token）是指系统中的临时秘钥，相当于账户和密码，有了令牌就可以在不知道密码的情况下访问目标相关资源了，这些令牌将持续存在于系统中，除非系统重新启动。
1、MSF在获取到 Meterpreter Shell 后，使用以下命令
2021-07-29
【内网学习笔记】16、组策略凭据获取
0、前言SYSVOL 是活动目录里的一个用于存储域公共文件服务器副本的共享文件夹，在域中的所有域控之间进行复制，SYSVOL 在所有经过身份验证的域用户或者域信任用户具有读权限的活动目录域范围内共享，所有的域策略均存放在 C:\Window
2021-07-28