实战录：记一次红队实战

小离@绝影小组
小离@绝影小组

Gcow安全团队

2026年8月14日 21:50
天津

在小说阅读器读本章

去阅读

实战录：记一次红队实战

Hello，我是 xiaolichan，很久没写文章了，没什么好文章可以写写，这次就写写一篇比较有意思的红队实战。本文仅供安全技术交流与研究，请严格遵守相关法律法规，切勿用于非法用途，所产生的影响都与笔者和本公众号无关。

环境如下，此次实战发生在 2025年4月，那时候没有 CertiGhost / ResetNightmare / CVE-2025-33073。

•攻击路径：ADCS ESC11•入口点：普通用户权限•EDR：Cortex•客户要求：不能打 DC 以及高危资产

C2 这里没用 Cobalt Strike，用的是商用产品 OutFlank，配套有 OutFlank C2 + ToolSet + Payload Generator，含金量我就不说了，懂得都懂。

0x01 - Callback - 入口点

•Machine Name：P3\\$•Account：HK\\ee•其中一台 DC IP：172.152•其中一个 DA：ade@hk

0x02 - Recon - ADCS

•有 Cortex，开新进程比较麻烦了，就不用 earlybird 了，因此 Certify 使用了 shellcode 方式 load 进去（thread）。•BloodHound 也是同样方法 Load。•certify + bloodhound 都做了 obfuscate。•使用 OC2 的 exec_dotnet 失败了，可能触发了当前 Cortex 莫名其妙的规则。

如图所示，有 ESC6 和 ESC11，ESC6 我试了，走不了捷径，因此转而尝试 ESC11。

ADCS Info

•CA：sA•DNS：s1.s.com•CS：CN=sA, DC=s, DC=com•IP：172.2

0x03 - Recon - Target

客户不给打 DC，那么只能另寻路子了，找到个高权限组的用户，可以重置整个域用户的组，针对该组里面的用户。

这里看到 I4\\$@HK 这台机器上有 ME@HK 的 Session，ME@HK 是 IT@HK 的组成员，这个组对域内任何用户都有 resetpassword 权限（打码太麻烦了，没放图）。

因此我们现在要想办法横向到 I4\\$@HK 这台机器上，但是 I4\\$@HK 这台隔离了 Internet，是不出网资产（使用后续的 wspcoerce 进行探测是否出网即可），因此还要准备很多前骤功夫。

0x04 - 前骤 1 - Add DNS Record

达成 ESC11 的第一个前提条件，是需要一台 VPS + 内网添加一个 DNS 记录，如下，使用 Outflank 的 BOF 去添加。

如图，添加信息：

•DNS Type：A•TTL：360•A Record：nd.hk•IP：14

为什么加 DNS？ 因为如果不加 DNS，后续的 Coerce 需要用 Hostname 去触发，否则会触发不了 NTLM Callback。

0x04 - 前骤 2 - 选择内网跳板

•因为有 Cortex，有基本常识的都知道，你用公开的 Coerce tools，基本都会被拦截，比如 PetitPotam 这些，这些对于 Cortex 来说很容易检测，毕竟是固定的 RPC named pipes (ncacn_np) / UUID (ncacn_ip_tcp)。•这里使用了 wspcoerce，特点就是通过 SMB 协议进行触发回连（非传统 DCERPC 那样），如果想知道为什么 Opsec 的具体可以看 GitHub，但是缺点就是，因为这个是 SMB，无法像 PetitPotam 触发 webdav http 协议转到 ldap 进行提权。•综上所述，不考虑提权，直接考虑 ESC11 感染一台出网机器。•这里选择了一台幸运观众进行。

如图所示，使用 wspcoerce 的 BOF 对出网机器 IS\\$@HK 进行 coerce attack，回连到刚刚创建的 DNS 记录 nd.hk。

VPS 有反应，接下来到下一步。

0x04 - 前骤 3 - 感染作为内网跳板

插曲：准备到这一步时候，IS\\$@HK 这台下班关机了，只能换一台，这次选择了机器名为 I54\\$@HK。和刚刚上面一样，不同的是不用 responder 了，这里用 proxychains + ntlmrelayx，使其回弹到内网的 ESC11。

如图，一气呵成，WSPCoerce 直接让 I54\\$@HK 回连到 nd.hk，接着可以看到 I54\\$@HK 的证书下来了，然后使用 certipy 认证 AD 获取 TGT，TGT 还原出 NTLM。

有了机器账户 + NTLM，接下来可以横向了，先生成一张银票，forge 用户名使用前面收集到的域管之一的 ade，生成 ade.ccache。

横向移动

OPSEC 的横向移动方法，按照 Outflank 给的建议，就是修改一个指定服务的 binpath，这样既不用创建，也不用 call cmd。

proxychains 代理整个 /bin/bash，然后 wmiexec-pro 先 enum，确保前面的步骤没错并且能横向。

Combo 连招：SMB 传文件 + WMI 修改 binpath 然后执行（被修改的服务这里不透露太多，可以自个问问 AI 哪个停止了没啥影响的服务）。

Callback

0x04 - 前骤 4 - 停止 445

相信很多人第一时间想到是 PortBender，用那个立马就被 EDR 踢出去了，因为那个要用到第三方驱动。

这里使用的是 SpecterOps 的 Nick Powers 在 x33fcon 上介绍的一个非常 Opsec 的方法，只需简简单单几个步骤，即可停止掉 445。

没错，我的名字也出现在了别人的 PPT 里面。

事不宜迟，直接用。

然后加转发，本地 445 转发到 VPS 的 445，转发没问题，证明 OK（时间不对是因为有些图是后面写报告时候补的）。

0x05 - 攻击目标机器

•出网机器 I54\\$@HK 有了，现在可以攻击 0x01 提到的目标机器 I4\\$@HK 并且获取 ME@HK 了。

然后此时 I4\\$ 会触发回连到 I54\\$ 的 445，I54\\$ 的 445 转发到 VPS 的 445。

证书来！ I4.pfx，后面还原 NTLM 那些就不截图了。

0x06 - 获取 ME@HK

•横向移动过程略，主要是用 smb pipe 上线。

进程列表找到我们要的 ME@HK 了。

但是我们当前是 System 权限，两个方法导出那个凭据：

1.Lsass Dump2.利用现有的 ADCS，指定一个 ME 相关的用户进程，注入过去执行 Certify 申请证书，Certify 会走 Kerberos，底层通过 SSPI 完成，因此不需要输入用户密码，即刻获取证书。

这里我用第二个方法，先做 shellcode，然后输出证书到 C:\\windows\\temp\\a.txt。

注入，方法的话是 Outflank 自带的 Lockpos 方法，实测能过 Cortex，并且 ME 的证书下来了。

也是和前面同样的方法获取 NTLM，这里截图略。

0x07 - GOAL

后面这里改了个管理员 CG（管理员名字是客户指定的），然后登录进去 ADFS 算 win win 了。

ADFS，选了个 AWS 登录过去。

AWS，admin rights。

至此，整个 RedTeam 项目完成。

References

[1]: http://outflank.nl/
[2]: https://specterops.io/blog/2024/08/01/relay-your-heart-away-an-opsec-conscious-approach-to-445-takeover/?source=rss----f05f8696e3cc---4#implementation-summary
[3]: https://www.youtube.com/watch?v=iBqOOkQGJEA