搜索

[15521] 2020-06-21_技术讨论之Exchange后渗透分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-06-21_技术讨论之Exchange后渗透分析 技 术 讨 论 之 E x c h a n g e 后 渗 透 分 析 K r i s t o n   F r e e B u f   2 0 2 0 - 0 6 - 2 1 上 回 我 们 说 到 ， 通 过 上 回 我 们 说 到 ， 通 过 r u l e r 可 以 给 已 知 用 户 名 、 口 令 的 用 户 增 加 规 则 ， 从 而 在 使 用 可 以 给 已 知 用 户 名 、 口 令 的 用 户 增 加 规 则 ， 从 而 在 使 用 O u t l o o k 连 接 连 接 E x c h a n g e 邮 箱 服 务 器 的 主 机 上 做 到 任 意 代 码 执 行 。 那 邮 箱 服 务 器 的 主 机 上 做 到 任 意 代 码 执 行 。 那 么 问 题 来 了 ， 如 果 不 知 道 该 用 户 的 口 令 ， 能 否 控 制 他 们 的 主 机 呢 ？ 么 问 题 来 了 ， 如 果 不 知 道 该 用 户 的 口 令 ， 能 否 控 制 他 们 的 主 机 呢 ？ 数 据 包 分 析 数 据 包 分 析 首 先 需 要 明 白 r u l e r 的 具 体 实 现 过 程 和 原 理 ， 到 底 是 如 何 给 其 他 用 户 增 加 规 则 、 修 改 主 页 、 发 送 f o r m 的 。 但 是 大 致 上 我 们 可 以 猜 测 是 给 E x c h a n g e 服 务 器 对 应 的 接 口 发 送 了 几 个 数 据 包 做 到 的 。 这 些 数 据 包 发 送 到 了 哪 个 接 口 ， 需 要 从 接 口 处 获 得 什 么 作 为 返 回 ， 以 便 进 行 下 一 次 的 请 求 。 因 此 需 要 对 r u l e r 的 源 码 进 行 阅 读 同 时 结 合 对 它 发 数 据 包 的 分 析 弄 清 楚 整 个 的 流 程 。 采 用 F i d d l e r 对 r u l e r 的 数 据 包 进 行 解 密 （ 试 过 B u r p S u i t e ， 但 是 它 对 N T L M 认 证 的 支 持 不 好 ， 会 造 成 认 证 失 败 ） 在 F i d d l e r 中 进 行 如 下 操 作 ， 最 后 勾 选     就 能 够 对 发 送 的 流 量 进 行 解 密 。 T o o l s O p t i o n s H T T P S C a p t u r e   H T T P S   C O N N E C T s D e c r y p t   H T T P S   t r a f f i c r u l e r 自 带 了 p r o x y 选 项 ， 只 需 设 置 p r o x y 为 F i d d l e r 监 听 的 8 8 8 8 端 口 就 能 成 功 抓 取 到 对 应 流 量 当 通 过 r u l e r 命 令     查 看 某 用 户 的 收 件 箱 主 页 时 ， 收 发 数 据 包 的 具 体 动 作 如 下 ， 共 有 6 个 数 据 包 ， 并 且 认 证 的 方 式 是     身 份 认 证 。 当 用 户 访 问 受 限 资 源 时 ， 服 务 器 会 返 回 4 0 1 状 态 码 要 求 进 行 身 份 认 证 ， 身 份 认 证 成 功 之 后 会 进 行 6 个 请 求 ， 首 先 请 求 了     页 面 ， 接 着 在 获 取 了 对 应 邮 箱 的     之 后 向 对 应 的 m a p i 接 口 发 送 了 m a p i 请 求 ， 获 得 请 求 结 果 。       C V E - 2 0 1 8 - 8 5 8 1 一 个 非 常 经 典 的 漏 洞 ， 网 上 分 析 该 漏 洞 的 文 章 也 较 多 。 通 过 该 漏 洞 能 允 许 任 意 用 户 伪 装 成 E x c h a n g e 服 务 器 上 的 其 他 任 何 人 。 通 过 向 S O A P 请 求 向 E x c h a n g e 服 务 器 发 送 请 求 能 让 E x c h a n g e 服 务 器 向 制 定 的 I P 地 址 发 送 N T L M   h a s h ， 该 h a s h 值 可 以 被 我 们 用 来 重 新 与 E x c h a n g e 服 务 器 进 行 交 互 ， 并 且 该 h a s h 值 是 在   上 运 行 的   ， 权 限 很 大 。 这 说 白 了 就 是 一 种 中 间 人 攻 击 ， 使 用 管 理 员 权 限 的 令 牌 去 对 其 他 的 用 户 账 户 进 行 相 应 的 设 置 了 。 最 初 的 攻 击 方 式 其 一 是 通 过 N T L M 中 继 读 到 登 录 域 控 的 任 意 用 户 的 N T L M h a s h ， 这 样 就 能 够 登 录 到 该 用 户 主 机 执 行 任 意 命 令 。 其 二 是 通 过 N T L M 中 继 以 E x c h a n g e   S e r v e r 的 权 限 向 E x c h a n g e   S e r v e r 发 送 S O A P 请 求 ， 将 某 一 用 户 的 收 件 箱 委 托 到 当 前 已 经 获 取 用 户 名 及 口 令 的 账 户 上 。 这 样 就 能 以 当 前 已 经 获 取 用 户 名 及 口 令 的 账 户 读 取 其 他 用 户 的 邮 件 了 。 网 上 大 多 数 的 攻 击 脚 本 都 采 用 的 上 面 提 到 的 两 种 攻 击 方 法 。 另 辟 蹊 径 另 辟 蹊 径 很 多 的 漏 洞 随 着 时 间 会 渐 渐 淡 出 人 们 的 生 活 ， 这 个 周 期 通 常 需 要 一 两 年 ， 当 厂 商 提 出 某 种 新 的 漏 洞 利 用 缓 解 方 式 之 后 ， 有 些 漏 洞 便 无 法 再 使 用 了 。 如 何 抓 住 厂 D e c r y p t   H T T P S   t r a f f i c - - p r o x y   v a l u e       I f   y o u   n e e d   t o   u s e   a n   u p s t r e a m   p r o x y .   W o r k s   w i t h   h t t p s : / / u s e r : p a s s @ i p : p o r t   o r   h t t p s : / / i p : p o r t h o m e p a g e   d i s p l a y H T T P   B a s i c a u t o d i s c o v e r / a u t o d i s c o v e r . x m l M a i l b o x I d N T A u t h o r i t y S y t e m p y t h o n   w m i e x e c . p y   - h a s h   L M h a s h : N T h a s h   u s e r n a m e @ i p a d d r e s s p y t h o n   w m i e x e c . p y   - h a s h e s   : N T h a s h   u s e r n a m e @ i p a d d r e s s
商 完 善 产 品 “ 空 窗 期 ” ， 利 用 漏 洞 或 者 某 种 特 性 ， 做 更 多 的 事 情 ， 是 渗 透 测 试 人 员 在 每 一 次 红 队 行 动 中 需 要 思 考 的 问 题 。 下 载 其 他 用 户 的 邮 件 下 载 其 他 用 户 的 邮 件 通 过 高 权 限 的 用 户 t o k e n 以 及 S O A P 请 求 ， 也 能 够 下 载 其 他 用 户 的 邮 件 。 S O A P 请 求 的 内 容 需 参 考 微 软 的 文 档 。 最 后 做 到 的 效 果 就 是 通 过 p y t h o n 编 写 的 脚 本 中 继 p u b s u b s c r i p t i o n 的 请 求 ， 继 而 修 改 其 他 用 户 收 件 箱 文 件 夹 的 权 限 为     。 修 改 文 件 夹 权 限 的 关 键 在 于 通 过 已 经 获 取 的 账 户 用 户 名 及 口 令 登 录 ， 能 够 读 取 其 他 用 户 收 件 箱 中 的 邮 件 。 读 取 邮 件 的 代 码 需 要 用     进 行 编 写 ， 使 用     开 发 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / e x c h a n g e / c l i e n t - d e v e l o p e r / e x c h a n g e - w e b - s e r v i c e s / g e t - s t a r t e d - w i t h - e w s - c l i e n t - a p p l i c a t i o n s # c r e a t e - y o u r - f i r s t - e w s - a p p l i c a t i o n 给 其 他 用 户 添 加 给 其 他 用 户 添 加 R u l e 规 则 规 则 通 过 之 前 的 抓 包 我 们 发 现 r u l e r 与 e x c h a n g e 进 行 交 互 的 方 式 仍 然 是 仍 然 是 H T T P   B a s i c   A u t h 的 方 法 的 方 法 。 这 样 利 用     的 漏 洞 就 能 以 管 理 员 的 权 限 成 功 通 过 认 证 。 希 望 能 够 结 合 中 继 的 请 求 认 证 方 式 ， 给 其 他 的 用 户 增 加 r u l e 规 则 。 因 为 r u l e r 的 作 者 自 己 实 现 了 一 套 M A P I 的 规 则 ， 代 码 全 部 由 g o l a n g 编 写 ， 并 且 代 码 量 很 大 。 权 衡 了 一 下 工 作 量 ， 还 是 用 g o 语 言 重 写 r e l a y N T L M 更 容 易 一 些 ， 通 过 N T L M 认 证 之 后 给 其 他 用 户 添 加 规 则 。 首 先 要 弄 清 楚 的 是 这 6 个 请 求 之 间 的 逻 辑 关 系 ， 即 在 发 送 后 一 个 请 求 之 前 需 要 从 前 一 个 请 求 当 中 获 取 什 么 信 息 。 执 行 r u l e r 并 加 上     参 数 除 了 获 取     的 请 求 之 外 一 共 有 五 个 请 求 1 . 最 开 始 的 请 求 是 获 取 C o n t e x t 2 . 第 二 个 请 求 是 做 R O P L o g i n 3 . 第 三 个 请 求 是 打 开 I n b o x 4 . 第 四 个 请 求 是 获 得 （ 设 置 ） R u l e s 5 . 最 后 一 个 请 求 是 关 闭 连 接 前 两 个 请 求 是 发 送 用 户 名 密 码 与 E x c h a n g e 进 行 连 接 ， 关 键 的 函 数 有 这 样 几 个 ， 最 开 始 的 包 发 送 到     进 行 认 证 ， 获 取 u s e r D N 。 获 取 了 u s e r D N 之 后 才 能 进 行 认 证 登 录 。 c o n n e c t g e t M a p i H T T P M A P I D i s c v o e r a u t o d i s c o v e r g e t   u s e r D N ，   u s e r D N 是 用 来 认 证 登 录 的 调 用     与 E x c h a n g e 进 行 登 录 交 互 认 证 ， 这 个 过 程 发 送 了 两 个 数 据 包 ， 分 别 在     函 数 以 及     当 中 实 现 。 m a p i . A u t h e n t i c a t e A u t h e n t i c a t e H T T P s e n d M a p i C o n n e c t R e q u e s t H T T P A u t h e n t i c a t e F e t c h M a i l b o x E d i t o r C # E W S   M a n a g e d   A P I C V E - 2 0 1 8 - 8 5 8 1 - - v e r b o s e $   . / r u l e r   - - n o c a c h e   - - i n s e c u r e   - - v e r b o s e   - - u s e r n a m e   u s e r 3   - - e m a i l   u s e r 3 @ i n t e r n e t . l o c a l   h o m e p a g e   d i s p l a y P a s s w o r d : [ + ]   R e t r i e v i n g   M A P I / H T T P   i n f o [ * ]   A u t o d i s c o v e r   s t e p   2   -   U R L :   h t t p s : / / i n t e r n e t . l o c a l / a u t o d i s c o v e r / a u t o d i s c o v e r . x m l [ * ]   M A P I   U R L   f o u n d :     h t t p s : / / e x c h a n g e 2 0 1 6 . i n t e r n e t . l o c a l / m a p i / e m s m d b / ? M a i l b o x I d = 8 3 4 4 d 7 e 4 - b e 0 4 - 4 7 d 9 - b a 3 7 - 4 a 1 4 1 8 5 a 2 2 b 5 @ i n t e r n e t . l o c a l [ * ]   M A P I   A d d r e s s B o o k   U R L   f o u n d :     [ * ]   U s e r   D N :   / o = F i r s t   O r g a n i z a t i o n / o u = E x c h a n g e   A d m i n i s t r a t i v e   G r o u p   ( F Y D I B O H F 2 3 S P D L T ) / c n = R e c i p i e n t s / c n = 4 a 2 2 8 8 1 a 8 4 c 9 4 8 3 7 9 4 2 3 6 d 1 1 d 3 8 e 9 0 9 8 - u s e r 3 [ * ]   G o t   C o n t e x t ,   D o i n g   R O P L o g i n [ * ]   A n d   w e   a r e   a u t h e n t i c a t e d [ * ]   O p e n n i n g   t h e   I n b o x [ + ]   G e t t i n g   e x i s t i n g   e n d p o i n t [ + ]   N o   e n d p o i n t   s e t [ * ]   A n d   d i s c o n n e c t i n g   f r o m   s e r v e r M a i l b o x I d a u t o d i s c o v e r / a u t o d i s c o v e r . x m l m a p i . A u t h e n t i c a t e s e n d M a p i C o n n e c t R e q u e s t H T T P A u t h e n t i c a t e F e t c h M a i l b o x
调 用     获 取 E x c h a n g e 服 务 器 上 当 前 账 户 的 文 件 夹 信 息 ， 通 常 不 同 的 文 件 夹 有 不 同 的 F o l d e r I D ， 这 个 过 程 中 发 送 了 一 个 数 据 包 。 m a p i . g e t F o l d e r G e t F o l d e r G e t F o l d e r F r o m I D 接 下 来 根 据 要 实 现 的 功 能 进 行 调 用 研 究 ， 对 于 g e t r u l e s 的 功 能 ， 构 造 好 g e t r u l e s 的 请 求 ， 这 个 过 程 只 发 送 了 一 个 数 据 包 。 d i s p l a y R u l e s p r i n t R u l e s m a p i . F e t c h R u l e s 发 送 数 据 包 断 开 连 接 ， 经 过 实 验 ， 这 个 数 据 包 最 后 也 可 以 舍 弃 掉 ， 断 不 断 开 无 所 谓 ， 入 了 就 是 入 了 。 m a p i . D i s c o n n e c t 长 连 接 的 模 拟 长 连 接 的 模 拟 在 修 改 程 序 攻 击 脚 本 的 过 程 中 遇 到 了 长 连 接 的 问 题 ， 因 为 H T T P   B a s i c 认 证 需 要 在 同 一 个 T C P 连 接 中 发 送 和 接 受 数 据 ， 所 以 两 次 请 求 的 过 程 中 必 须 保 证 使 用 的 是 同 一 个 T C P 连 接 。 用 p y t h o n 进 行 长 连 接 请 求 用 的 是     包 当 中 的     和     类 。 通 过 这 两 个 类 生 成 长 连 接 发 送 P O S T 和 G E T 请 求 。 在 g o l a n g 当 中 需 要 类 似 的 方 法 保 持 连 接 并 发 送 P O S T 和 G E T 数 据 包 ， 搜 索 了 一 段 时 间 发 现 调 用     类 当 中 的     方 法 能 够 发 送 请 求 。 并 且 如 果 将     类 变 成 全 局 变 量 就 能 实 现 每 次 发 送 数 据 都 通 过 同 一 个 T C P 连 接 。 C o o k i e 设 置 设 置 g o 语 言 当 中 也 能 对 C o o k i e 进 行 设 置 ， 它 也 用 一 个     类 ， 初 始 化 的 时 候 提 供 一 个     变 量 作 为 参 数 ， 长 连 接 中 会 自 动 根 据 返 回 头 中 的     值 设 置     中 的   并 在 下 一 次 请 求 中 携 带     。 m a p i . g e t F o l d e r h t t p . c l i e n t H T T P S C o n n e c t i o n H T T P C o n n e c t i o n h t t p . C l i e n t D o C l i e n t v a r   t r   * h t t p . T r a n s p o r t v a r   c l i e n t   * h t t p . C l i e n t h t t p . C l i e n t c o o k i e j a r S e t - C o o k i e c o o k i e j a r C o o k i e C o o k i e         t r   =   & h t t p . T r a n s p o r t {                 T L S C l i e n t C o n f i g :   & t l s . C o n f i g { I n s e c u r e S k i p V e r i f y :   t r u e } ,         }         j a r ,   _   : =   c o o k i e j a r . N e w ( n i l )         c l i e n t   =   & h t t p . C l i e n t { T r a n s p o r t :   t r ,   J a r :   j a r }
是 否 有 办 法 通 过 C o o k i e 的 设 置 减 少 需 要 中 继 的 请 求 数 量 ？ 在 测 试 的 过 程 中 打 印 出     中 的 键 值 对 ， 查 看 每 次 请 求 过 程 中 发 送 到 服 务 器 上 的 c o o k i e 值 。 经 过 实 验 发 现 每 次 请 求 和 返 回 会 加 上 一 个     的 C o o k i e ，     前 面 的 数 字 表 示 请 求 的 数 据 包 顺 序 值 ，     后 面 的 内 容 是 随 机 生 成 的 4 个 字 节 进 行 编 码 后 的 结 果 ， 这 个 内 容 不 是 和 用 户 帐 号 绑 定 的 ， 每 次 生 成 的 字 节 内 容 都 不 一 样 。 前 面 的 数 字 表 示 整 个 M a p i 请 求 进 行 到 了 第 几 阶 段 ， 一 整 套 的 M a p i 请 求 共 有 5 次 ， 这 个 数 字 会 从 0 增 长 到 4 。 减 少 或 者 跳 过 其 中 的 步 骤 会 导 致 认 证 失 败 ， 增 加 r u l e 规 则 的 话 必 须 得 完 成 前 4 次 交 互 （ 最 后 一 次 交 互 断 开 连 接 可 以 不 要 ） 。 但 在 但 在 有 了 C o o k i e 的 值 之 后 ， 只 要 在 客 户 端 设 置 好 了 C o o k i e 就 不 用 在 请 求 的 过 程 中 带 上     ， 也 就 是 说 不 用 中 继 5 次 N T L M 认 证 了 。 一 次 中 继 之 后 获 得 c o o k i e ， 就 能 够 用 这 次 获 得 的 c o o k i e 进 行 下 面 的 4 次 请 求 。 修 改 其 他 用 户 的 修 改 其 他 用 户 的 H o m e P a g e 接 收 到 的 请 求 包 含 了 U s e r A g e n t ， 不 包 含 C o o k i e 。 U s e r A g e n t 当 中 有 使 用 的 O u t l o o k 版 本 以 及 . N E T 版 本 、 W i n d o w s 版 本 、 解 析 h t m l 的 i e 库 版 本 。 其 中 T r i d e n t 标 签 在 I E 8 之 后 都 存 在 ， 并 且 是 使 用 的 I E 浏 览 器 版 本 号 减 4 。 也 就 是 说 修 改 了 用 户 H o m e P a g e 之 后 可 以 获 得 对 方 使 用 的     软 件 版 本 信 息 。 修 改 h o m e p a g e 后 在 主 页 代 码 插 入 漏 洞 利 用 代 码 ， 通 过 I E 中 存 在 的 漏 洞 获 取 用 户 权 限 。 攻 击 效 果 展 示 攻 击 效 果 展 示 攻 击 的 过 程 是 通 过 p y t h o n 脚 本 让 E x c h a n g e 服 务 器 发 送 p u s h _ s u b s c r i p t i o n 请 求 ， 同 时 用 g o l a n g 脚 本 在 本 机 启 动 中 继 服 务 器 ， 监 听 端 口 获 得 H T T P 请 求 的 h e a d e r s ， 中 继 服 务 器 会 将 请 求 重 新 转 发 到 E x c h a n g e 服 务 器 上 ， 实 现 任 意 账 户 规 则 的 添 加 。 h t t p s : / / w w w . b i l i b i l i . c o m / v i d e o / B V 1 k T 4 y 1 E 7 J j 如 果 需 要 中 继 添 加 规 则 的 g o 语 言 代 码 可 以 私 信 我 。 防 御 办 法 防 御 办 法 将 O f f i c e 更 新 到 最 新 版 本 文 件 O f f i c e 账 户 O f f i c e 更 新 更 新 了 之 后 删 除 了 执 行 应 用 程 序 以 及 脚 本 的 功 能 ， 同 时 在 f o r m 表 单 中 无 法 执 行 相 应 的 “ 宏 ” 代 码 了 。 * 本 文 作 者 ： 本 文 作 者 ： K r i s t o n ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 c o o k i e j a r u ,   _   : =   u r l . P a r s e ( M A P I _ U R L ) f o r   _ ,   c o o k i e   : =   r a n g e   c l i e n t . J a r . C o o k i e s ( u ) {         f m t . P r i n t f ( " % v   =   % v n " ,   c o o k i e . N a m e ,   c o o k i e . V a l u e ) } M a p i S e q u e n c e - - M a p i S e q u e n c e   =   1 - V Q j i Z g = = A u t h o r i z a t i o n $   n c a t   - l v v   - p   8 0 0 0 N c a t :   V e r s i o n   7 . 8 0   (   h t t p s : / / n m a p . o r g / n c a t   ) [ . . . ] G E T   /   H T T P / 1 . 1 A c c e p t :   * / * A c c e p t - L a n g u a g e :   z h - H a n s - C N , z h - H a n s ; q = 0 . 5 A c c e p t - E n c o d i n g :   g z i p ,   d e f l a t e U s e r - A g e n t :   M o z i l l a / 4 . 0   ( c o m p a t i b l e ;   M S I E   7 . 0 ;   W i n d o w s   N T   1 0 . 0 ;   W O W 6 4 ;   T r i d e n t / 7 . 0 ;   . N E T 4 . 0 C ;   . N E T 4 . 0 E ;   M i c r o s o f t   O u t l o o k   1 6 . 0 . 4 2 6 6 ) H o s t :   1 9 2 . 1 6 8 . 1 1 0 . 1 0 0 : 8 0 0 0 C o n n e c t i o n :   K e e p - A l i v e O u t l o o k
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理