狩猎内网信息侦察工具Goddi怎么用

Goddi

Goddi 是 NetSPI 使用 Go 语言编写的工具,该工具有助于收集 Active Directory 域信息被认为是 BloodHound、ADInfo、PowerSploit 和 windapsearch 等其他几种常见工具的替代方案

Goddi 依赖对域控进行一系列自定义的 LDAP 查询来获取信息。此外,还支持通过 TCP/389 上的 StartTLS 与域控加密通信。Goodi 可检索以下类型的信息:

域用户

特权用户组的用户

密码未设置过期的用户

被锁定或禁用的用户

密码超过 45 天的用户

域计算机

域控

可信域关系

SPN

域组

域组织单位

域账户策略

域委派用户

域组策略对象(GPO)

技术分析

默认情况下,Windows 域控都支持基本的 LDAP 操作。只要有一个有效的域账户,即可通过 TCP/389 执行 LDAP 查询进行枚举

Goddi 非常简单易用,下图展示了如何进行枚举尝试:

狩猎内网信息侦察工具Goddi怎么用

那么,在网络流量中的情况呢?捕获网络流量,可以看到 Goddi 使用的是 LDAP 查询。通常来说,我们会看到许多 LDAP searchRequest 消息,包括基于要查询的数据类型的特定协议数据单元(PDU)。

例如,枚举域中的计算机列表,并提取每个计算机的一些属性,如下所示:

狩猎内网信息侦察工具Goddi怎么用

在 Wireshark 中解析流量,显示了 LDAP 的 filter 和 attributes:

狩猎内网信息侦察工具Goddi怎么用

如果使用 tshark 的话,也很方便。例如,用 tshark 提取发给域控查询的 LDAP searchRequest 请求。

狩猎内网信息侦察工具Goddi怎么用

检测模型

在流量中解析 LDAP 查询,并提供抽象层来获取记录类型。在 AWAKE 中发现此类侦察行为(MITRE ATT&CK ID:T1087、T1018、T1082、T1016、T1033)时,如下所示:

狩猎内网信息侦察工具Goddi怎么用

可视化明显地看出源 Windows 设备试图查询目标计算机的操作系统和工作站列表

建议

由于侦察行为的普遍性,检测侦察行为非常棘手。团队可以花费时间对侦察活动和正常域活动进行分类,比如基于频率、时间范围、发出请求的实体以及来自该实体的其他可疑行为。

从防御的角度看,建议收紧域控的 ACL 和权限。不幸的是,很多合法工具和服务也依赖于此

关于狩猎内网信息侦察工具Goddi怎么用就分享到这里啦,希望上述内容能够让大家有所提升。如果想要学习更多知识,请大家多多留意小编的更新。谢谢大家关注一下亿速云网站!

文章标题:狩猎内网信息侦察工具Goddi怎么用,发布者:亿速云,转载请注明出处:https://worktile.com/kb/p/29793

(0)
打赏 微信扫一扫 微信扫一扫 支付宝扫一扫 支付宝扫一扫
亿速云的头像亿速云认证作者
上一篇 2022年9月26日 上午1:44
下一篇 2022年9月26日 上午1:46

相关推荐

  • hyliteresources文件夹有什么作用

    hyliteresources是系统资源文件夹;该文件夹是用来存放系统SHELL资源文件的,可以进行内容删除,但是文件夹不要删除,所有可以从中读取出需要的资源的文件,可以称之为资源文件。 本教程操作环境:windows10系统、DELL G3电脑。 hyliteresources是什么文件夹 hyl…

    2022年9月6日
    76400
  • 电脑0x80070035找不到网络路径怎么解决

    解决0x80070035找不到网络路径的方法 方法一: 1、我们先单击“网络”,“打开网络和Internet设置” 2、接着我们选择下“网络和共享中心” 3、接着我们选择“更改高级共享设置” 4、接着我们勾选“启用共享以便可以访问网络的用户读取公用文件夹中的文件” 5、到了“网络和共享中心”,我们直…

    2022年9月15日
    1.5K00
  • mysql如何查询名列前茅条数据

    在mysql中,可以使用SELECT语句配合LIMIT子句来查询名列前茅条数据,语法为“SELECT *|字段名列表 FROM 表名 LIMIT 0,1;”。LIMIT子句可以指定查询结果从哪条记录开始显示,显示多少条记录,语法“LIMIT 初始位置,记录数”,而名列前茅条记录的位置是0;因此想要显…

    2022年9月24日
    1.1K00
  • windows会声会影如何导出视频高清

    会声会影导出视频高清的方法 1、首先我们要保证我们的源视频是高清的,否则无论如何操作都无法导出高清的视频。 2、接着我们在导入视频前要设置高清的项目环境,这样我们就能在高清的环境中编辑视频了。 3、点击左上角“设置”,选择“项目属性”。 4、根据我们需要的参数设置相应的项目格式。 5、当我们编辑完成…

    2022年9月15日
    50300
  • windows浩辰看图王cad中怎么统计相同块的数量

    浩辰看图王cad中统计相同块的数量: 1、首先我们打开一张cad图纸,然后进入“扩展工具” 2、接着点开其中的“快统计”功能。 3、然后使用鼠标左键点击其中想要统计的色块。 4、在其中可以设置不同的图像选项。 5、设置完成后,点击“统计”,就可以在块数量中看到统计结果了。 以上就是“windows浩…

    2022年9月21日
    55300
  • unity发布出来的安卓apk该如何加密

    Unity3D程序的安全问题 代码安全问题 Unity3D 程序的核心程序集文件 Assembly-CSharp.dll 是标准的 .NET 文件格式,附带了方法名、类名、类型定义等丰富的元数据信息,使用 DnSpy 等工具可以轻易地将其反编译和篡改,代码逻辑、类名和方法名等一览无余。代码逻辑一但被…

    2022年9月13日
    87200
  • mysql如何关闭事务

    mysql关闭事务的步骤:1、使用“win+r”键打开“运行”窗口,输入cmd并回车,打开cmd命令窗口;2、在cmd窗口中,执行“mysql -u root -p”命令并输入密码来登录mysql服务,进入MySQL界面;3、在MySQL命令界面中,执行“start transaction;”或者“…

    2022年9月24日
    1.2K00
  • HTML5导航标签指的是什么

    在HTML5中,nav标签是导航标签;nav的全称是navigation,意为导航,该标签定义导航链接的部分,用于表示HTML页面中的导航,该标签并不是所有的HTML文档都要使用,只是作为标注一个导航链接的区域。 本教程操作环境:windows10系统、HTML5版本、Dell G3电脑。 HTML…

    2022年8月31日
    55600
  • mysql查询慢的因素有哪些

    数据库查询流程 我们先来看下,一条查询语句下来,会经历哪些流程。 比如我们有一张数据库表 CREATE TABLE `user` ( `id` int(10) unsigned NOT NULL AUTO_INCREMENT COMMENT ‘主键’, `name` varchar(100) NOT…

    2022年9月2日
    53900
  • windows驱动精灵启动鼠标不动如何解决

    驱动精灵启动鼠标不动: 答:这是最新版的驱动精灵的bug。 这样的情况和电脑没有关系,是软件版本更新后造成的bug。 解决方法: 1、启动驱动精灵后,尝试拔出鼠标的USB接口,然后重新插入连接。 鼠标即可继续恢复正常使用。 2、强制重启电脑,重启时拔掉鼠标usb插口。 开机后再次插入连接即可。 驱动…

    2022年9月13日
    42800
站长微信
站长微信
电话联系

400-800-1024

工作日9:30-21:00在线

分享本页
返回顶部