从‘上线’到‘控域’：用CobaltStrike插件+MS14-058实战内网横向移动全记录

从权限提升到域控突破CobaltStrike在内网渗透中的高阶应用当安全研究人员从外网突破进入内网后真正的挑战才刚刚开始。面对复杂的域环境、层层防护的内部网络如何高效地进行横向移动成为渗透测试的关键环节。CobaltStrike作为一款成熟的商业渗透测试工具其强大的插件体系和灵活的模块化设计为安全人员提供了从单点突破到全域控制的完整解决方案。1. 环境搭建与基础配置在开始内网渗透之前确保测试环境配置正确至关重要。一个典型的域环境渗透测试需要至少三台主机攻击机、普通域成员服务器和域控制器(DC)。推荐测试环境配置攻击机(Kali Linux)192.168.1.100域成员服务器(Windows Server 2012)192.168.1.101域控制器(Windows Server 2016)192.168.1.102在Kali上启动CobaltStrike团队服务器./teamserver 192.168.1.100 yourpassword连接客户端时需要注意的几个关键点使用正确的IP和端口默认50050验证SSL证书指纹是否匹配设置合理的Sleep时间建议初始值为60s提示在实际渗透中建议使用CDN或云函数隐藏真实C2服务器IP避免被快速定位。2. 权限提升与插件应用当普通主机上线后获取System权限是横向移动的第一步。CobaltStrike自带的Elevate插件功能有限需要加载第三方插件扩展攻击面。常用提权插件对比插件名称适用系统成功率隐蔽性MS14-058Windows 7/2008高低MS16-032Windows 7/10中中JuicyPotatoWindows Server高高RoguePotatoWindows 10中高加载插件后执行提权操作elevate ms14-058 listener_name成功提权后应立即进行以下操作转储内存凭证使用Mimikatz收集网络拓扑信息检查本地防火墙规则查找域内共享资源3. 凭证获取与信息收集获取域内凭证是横向移动的核心。CobaltStrike内置的Mimikatz模块可以高效提取各类凭证信息。执行凭证转储的几种方式直接运行Mimikatzmimikatz sekurlsa::logonpasswords使用内置命令logonpasswords通过UI界面Access → Run Mimikatz收集到的信息应重点关注域管理员账户服务账户凭证保存的RDP凭据浏览器保存的密码信息收集命令速查表命令功能描述域环境专用net view /domain列出域内所有计算机是net group Domain Admins /domain查看域管理员列表是ipconfig /all查看网络配置否systeminfo获取系统详细信息否nltest /domain_trusts查看域信任关系是4. 横向移动技术实战获得足够凭证后可以开始向域内其他主机扩展。CobaltStrike提供了多种横向移动方法各有适用场景。常用横向移动技术对比技术协议所需权限隐蔽性适用场景PsexecSMB管理员低域环境WinRMHTTP/5985管理员中较新系统WMIRPC管理员高所有WindowsScheduled TaskRPC用户中无管理员权限使用Psexec进行横向移动的典型流程在Targets视图中选择目标主机右键选择Jump → Psexec选择正确的监听器和凭证设置合适的服务名称和显示名称执行并等待新会话建立对于更隐蔽的横向移动可以考虑spawnas DOMAIN\user password listener_name5. 域控突破与权限维持接近域控制器是整个内网渗透的高潮阶段。此时需要特别注意操作的安全性和隐蔽性。域控突破的几种路径利用域管理员凭证直接连接通过域内服务器中继攻击利用域服务漏洞如Zerologon滥用域信任关系成功控制域控后应立即采取权限维持措施创建黄金票据(Golden Ticket)部署域持久化后门捕获域组策略修改权限导出域内所有用户哈希生成黄金票据的命令示例mimikatz kerberos::golden /user:Administrator /domain:domain.com /sid:S-1-5-21-... /krbtgt:hash /ticket:golden.kirbi在实际渗透测试中每个操作都应记录详细日志包括执行时间使用的方法和技术获取的凭证和权限影响的系统范围内网渗透是一项需要耐心和细致的工作CobaltStrike提供的自动化功能和可视化界面大大提高了效率但真正的核心在于测试人员对域环境的理解和临场应变能力。