如何定位每一台域机器对应的 IP 是多少

前言

大家好，这里是 渗透攻击红队 的 RedTeam 系列文章，我是 saulGoodman ，本文仅用于技术讨论与研究，如因此产生的一切不良后果与文章作者无关！

这一期内网渗透培训重点教：如何在内网里更隐蔽的渗透，从而绕过一些防护设备、如何在内网里精确的获取我们想要的机器、文件、人物信息、如何在内网里长期潜伏并且实施进行长期后渗透。

以下是整个培训的目录，有想法的兄弟可以在文章末尾联系我！

定位每一台域机器对应的 IP 是多少

当我们通过常规 Web 信息搜集，搜集到了目标的一堆子域名，并且成功打进了目标内网后，为了确定内网里每一台域机器对应的 IP 是多少，首先可以提取当前域内完整 SPN 记录, 排序去重后过滤出机器名列表：

setspn -Q */* | findstr "CN=" > C:\windows\temp\host.txt

然后本地 linux 去过滤得到机器名：

awk -F "," '{print $1}' host.txt | awk -F "=" '{print $2}' > hosts.txt

最后来到当前 Windows 跳板机器上循环 Ping 得到机器 IP：

c:\windows\temp>cmd /c for /f "delims=" %i in (C:\windows\temp\hosts.txt) do @ping -w 3 -n 1 %i | findstr /c:"[1" >> C:\windows\temp\final.txt

这样就确定了每一台机器对应的 IP，若想要控某一台机器那就很方便了！

大家要知道在内网里乱横向信息搜集、乱扫描是毫无意义的！且容易被发现导致送人头，在这里可以把之前外网渗透时搜集到的目标子域名进行内网 host 碰撞，这样能够精确的知道每一台机器对应的是什么系统！

host 碰撞获取内外网对应资产

为了更好的定位内外网的资产对应关系，可以使用 win 自带的命令来帮我们获取：（Ping 的到的 IP 不一定就一定存活）

for /f "delims=" %i in (domain.txt) do @ping -w 1 -n 1 %i | findstr /c:"[10." /c:"[192." /c:"[172." >> out.txt

就这样我成功的掌握了当前内网里大部分机器 IP 对应的外网资产到底是什么系统，这样就很清晰的知道目标是什么什么了。

当然我也搜集了一些其他信息，通过扫一个 B 段哪些机器开放了 53 端口的 DNS ip，接着就可以拿着这些 ip 进行暴力枚举，具体能找到多少，需要看字典，枚举完成后会自动存到 csv 搜集 当然也可以通过工具：（如果当前机器出网的话也会枚举出公网 IP，个人建议找一台不出网的机器使用）

dnsbrute.exe -domain aaa.com -dict domain.txt -rate 1000 -retry 1 -server xxx.xxx.xxx.xxx:53

这样我又成功的拿到了一些内网资产包括一些隐藏资产，知道了这些资产的大概位置，对下一步具体该怎么更高效的搞也是有一定参考意义的，总的来讲，知道这些以后会让整个后渗透过程变得的更有针对性，也不至于搞着搞着就迷失放飞自我了，尤其当内网规模特别大的时候。

DNS 确定每一台域机器对应的 IP 是多少

当然也可以通过 DNS 来提取域内的机器对应的 IP：(前提是拿到 DC)