滲透測試深度分析：空密碼Administrator賬戶引發的安全風暴

---

0x01 測試背景

在內網滲透測試中，對Windows主機 192.168.1.98 使用 enum4linux 進行枚舉：

enum4linux -u 'Administrator' -p '' -a 192.168.1.98

關鍵發現：Administrator賬戶空密碼可登錄，且主機存在高危暴露點。

---

0x02 關鍵發現與風險分析

1. 致命身份驗證漏洞

[+] Server 192.168.1.98 allows sessions using username 'Administrator', password ''

• 風險：空密碼的Administrator賬戶可直接登錄，攻擊者可完全控制系統（OS版本：Windows 10/Server 2016+）。
• 原因：未啟用密碼策略（Minimum Password Length: 0, Password Complexity: Disabled）。

2. 敏感共享目錄暴露

共享列表：

D           Disk    (可訪問)
E           Disk    (可訪問)
IPC$        IPC     (遠程IPC)
Users       Disk    (可訪問)

• 高危文件（E盤發現疑似攻擊痕跡）：

  cobalt_payload.exe    // Cobalt Strike后門
  smb.exe               // 自定義SMB攻擊工具
  smb98.txt             // 滲透日志
  

• 風險：攻擊者可通過空密碼訪問共享，上傳惡意工具或竊取數據（如微信圖片、WPS文件）。

3. 用戶與組權限問題

• 用戶列表：

  Administrator (RID 500)       // 管理員權限
  Guest (RID 501)               // 默認啟用
  WDAGUtilityAccount (RID 504)  // Windows Defender沙盒賬戶
  

• 關鍵組關系：

  Administrators組包含: ZH-20191205SHUI\Administrator
  Guests組包含: ZH-20191205SHUI\Guest
  

• 風險：Guest賬戶未禁用，可能被用于權限提升。

4. 安全策略缺失

Password Policy:Complexity: Disabled  Minimum Length: 0  

• 后果：允許任意弱密碼，暴力破解難度極低。

---

0x03 滲透路徑推演

攻擊者可能利用的路徑：

1. 空密碼登錄 → 訪問共享目錄 → 上傳惡意程序（如cobalt_payload.exe）。
2. IPC$共享利用：通過空會話枚舉用戶/組信息，規劃橫向移動。
3. 打印機服務漏洞：暴露5個打印機接口（如Lenovo M7626DNA），可能用于驅動攻擊。
4. 敏感數據竊取：
   • E:\微信圖片_20240111170517.png
   • D:\bak軟件和驅動（勿動）（含驅動級后門風險）

---

0x04 運維加固方案

立即補救措施

1. 密碼策略：

   # 啟用密碼復雜度并設置最小長度
   net accounts /MINPWLEN:10
   net accounts /UNIQUEPW:5
   secedit /configure /cfg %windir%\inf\defltbase.inf /db defltbase.sdb /verbose
   

2. 禁用高危賬戶：

   net user Guest /active:no
   net user Administrator /active:no  # 創建新管理員后執行
   

3. 共享權限最小化：

   net share D /DELETE
   net share E /DELETE
   icacls C:\Users /deny Everyone:(F)  # 限制Users目錄權限
   

深度防御建議

• 日志監控：審計4624/4625登錄事件，告警空密碼登錄行為。
• 漏洞掃描：定期掃描SMB協議漏洞（如MS17-010）。
• 應用白名單：限制C:\和D:\根目錄的可執行文件運行。
• 清除可疑文件：

  del E:\cobalt_payload.exe, E:\smb.exe, E:\smb2.exe, E:\smb3.exe
  

---

0x05 總結

本次滲透暴露了內網安全的三大頑疾：

1. 默認賬戶配置（空密碼Administrator）
2. 過度共享（開放磁盤根目錄）
3. 安全策略缺失（無密碼復雜度要求）

運維箴言：

內網安全的本質是"零信任"。
管理員賬戶必須強密碼 + 多因素認證，共享目錄遵循"按需授權"，安全策略需定期審計。

---

附錄：滲透時間線

• 2025-06-24 02:54：攻擊者在E盤植入smb3.exe（橫向移動工具）
• 2025-06-30 20:56：本次枚舉檢測到攻擊痕跡
  響應建議：全盤掃描后門，檢查JianyingPro Drafts（剪映草稿）等目錄是否被篡改。