搜索

[21876] 2021-04-16_[内网攻防]域控权限维持

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-04-16_[内网攻防]域控权限维持 [ 内 网 攻 防 ] 域 控 权 限 维 持 转 自 安 全 先 师   L e m o n S e c   2 0 2 1 - 0 4 - 1 6   在 我 们 取 得 域 控 账 号 密 码 后 ， 防 止 密 码 被 改 失 去 权 限 会 使 用 隐 蔽 后 门 一 系 列 手 段 来 维 持 我 们 取 得 的 域 控 权 限 。 把 恶 意 文 件 在 我 们 取 得 域 控 账 号 密 码 后 ， 防 止 密 码 被 改 失 去 权 限 会 使 用 隐 蔽 后 门 一 系 列 手 段 来 维 持 我 们 取 得 的 域 控 权 限 。 把 恶 意 文 件 放 在 放 在 W i n d o w s 启 动 项 目 录 中 是 最 简 单 的 方 式 ， 但 是 隐 蔽 性 差 ， 较 主 流 的 域 控 权 限 维 持 方 法 通 常 有 三 种 ， 分 别 是 ： ① 启 动 项 目 录 中 是 最 简 单 的 方 式 ， 但 是 隐 蔽 性 差 ， 较 主 流 的 域 控 权 限 维 持 方 法 通 常 有 三 种 ， 分 别 是 ： ① G o l d e n T i c k e t 、 ② 、 ② S k e l e t o n   K e y 、 ③ 组 策 略 、 ③ 组 策 略 ( G r o u p   P o l i c y ) 。 。 0 x 0 0   G o l d e n   T i c k e t                     G o l d e n   T i c k e t ( 黄 金 票 据 )     ， 黄 金 票 据 是 伪 造 票 据 授 予 票 据 （ T G T ） ， 也 被 称 为 认 证 票 据 。 m i m i k a t z 工 具 把 G o l d e n   T i c k e t 的 这 种 特 性 称 为 “ 万 能 票 据 ” 。                     K r b t g t 账 号 用 来 创 建 票 据 授 予 服 务 加 密 的 密 钥 , 该 账 号 在 创 建 域 控 制 器 时 由 系 统 自 动 创 建 , 并 且 其 密 码 随 机 分 配 。 K e r b e r o s 黄 金 票 据 是 有 效 的 T G T   K e r b e r o s 票 据 ， 因 为 它 是 由 域 K e r b e r o s 帐 户 （ K R B T G T ） 加 密 和 签 名 的   。 T G T 仅 用 于 向 域 控 制 器 上 的 K D C 服 务 证 明 用 户 已 被 其 他 域 控 制 器 认 证 。 T G T 被 K R B T G T 密 码 散 列 加 密 并 且 可 以 被 域 中 的 任 何 K D C 服 务 解 密 的 。                     利 用 k r b t g t 用 户 和 H a s h 伪 造 票 据 授 予 票 据 ( T G T ) , 冒 充 任 意 用 户 身 份 无 限 制 地 访 问 整 个 域 中 的 机 器 且 还 可 以 提 升 为 域 管 理 员 。 黄 金 票 据 的 条 件 要 求 ：                     接 下 来 , 我 们 对 G o l d e n   T i c k e t 进 行 利 用 测 试 。 这 里 域 控 制 器 为   , 域 内 主 机 为 。 具 体 步 骤 如 下 。 1 . 域 管 理 域 管 理                     查 找 域 管 理 员 执 行 效 果 如 下   1 . 域 名 称 [ A D   P o w e r S h e l l 模 块 ： （ G e t - A D D o m a i n ） . D N S R o o t ]     2 . 域 的 S I D   值 [ A D   P o w e r S h e l l 模 块 ： （ G e t - A D D o m a i n ） . D o m a i n S I D . V a l u e ]     3 . 域 的 K R B T G T 账 户 N T L M 密 码 哈 希   4 . 伪 造 用 户 名 S e r v e r   2 0 0 8   R 2   S p 1     1 9 2 . 1 6 8 . 2 3 9 . 1 3 8   d c . p e n t e s t l a b . c o m S e r v e r   2 0 0 8   R 2     1 9 2 . 1 6 8 . 2 3 9 . 1 3 3   z h a n g s a n - p c . p e n t e s t l a b . c o m n e t   g r o u p   " d o m a i n   a d m i n s "   / d o m a i n
              2 . 域 域 S I D                     执 行     命 令 ， 删 除 结 果 中 S I D 的 最 后 部 分 ， 获 取 域 S I D 得 到 的 效 果 如 下 。 如 果 我 们 有 P s T o o l s , 那 么 也 可 以 使 用 P s G e t s i d . e x e 获 取 S I D 。 3 . N T L M   H a s h                     获 取 k r b t g t 账 户 的 N T L M   H a s h 需 要 拥 有 访 问 域 控 制 器 的 权 限 。 使 用 交 互 方 式 或 远 程 方 式 登 录 域 控 制 器 后 , 使 用 m i m i k a t z 来 提 取 k r b t g t 账 户 的 N T L M   H a s h , 命 令 如 下 : 或 者 获 取 k r b t g t 账 户 信 息 执 行 效 果 如 下 。 w h o a m i   / u s e r p r i v i l e g e : : d e b u g m i m i k a t z   #   l s a d u m p : : 1 s a   / i n j e c t   / n a m e : k r b t g t m i m i k a t z   #   1 s a d u m p : : d c s y n c   / d o m a i n . p e n t e s t l a b . c o m   / u s e r : k r b t g t
4 . P a s s - t h e - T i c k e t 攻 击 攻 击                     伪 造 G o l d e n   T i c k e t 进 行 P a s s - t h e - T i c k e t 攻 击 ， 伪 造 项 主 要 包 括 以 下 3 个 。                     生 成 需 要 模 拟 用 户 的 票 据 。 以 模 拟 域 管 理 a d m i n 用 户 为 例 , 执 行 的 命 令 如 下 :                     生 成 a d m i n 用 户 的 票 据 ， 执 行 效 果 如 下 。 1 . D o m a i n : p e n t e s t l a b . c o m 2 . S I D : S - 1 - 5 - 2 1 - 2 5 4 0 1 7 0 5 9 1 - 2 9 1 7 2 9 3 5 5 7 - 2 3 2 2 1 9 4 1 7 0 3 . H a s h : d 1 d d 8 2 2 b 2 5 3 f 6 4 c b a 7 1 6 3 e 0 5 0 9 2 1 9 d 3 3 m i m i k a t z   #   k e r b e r o s : : g o l d e n   / u s e r : a d m i n   / d o m a i n : p e n t e s t l a b . c o m   / s i d : S - 1 - 5 - 2 1 - 2 5 4 0 1 7 0 5 9 1 - 2 9 1 7 2 9 3 5 5 7 - 2 3 2 2 1 9 4 1 7 0   / k r b t g t : d 1 d d 8 2 2 b 2 5 3 f 6 4 c b a 7 1 6 3 e 0 5 0 9 2 1 9 d 3 3   / a d m i n : a d m i n . t c k   / p t t
5 . 验 证 成 功 验 证 成 功                     测 试 获 得 的 域 管 理 权 限 , 相 关 命 令 如 下 :                     访 问 C 盘 目 录 文 件 ， 执 行 效 果 分 别 如 下 。 以 域 管 理 权 限 执 行 c m d . e x e ， 执 行 效 果 分 别 如 下 。 d i r   d c . p e n t e s t l a b . c o m c $ P * * e c . e x e   d c . p e n t e s t l a b . c o m   c m d . e x e
0 x 0 1   S k e l e t o n   K e y                       S k e l e t o n   K e y 与 上 篇 G o l d e n   T i c k e t 均 不 需 要 域 控 重 启 即 能 生 效 。 S k e l e t o n   K e y 被 安 装 在 6 4 位 的 域 控 服 务 器 上 , 支 持 W i n d o w s S e r v e r 2 0 0 3 到 W i n d o w s   S e r v e r 2 0 1 2     R 2 , 能 够 让 所 有 域 用 户 使 用 同 一 个 万 能 密 码 进 行 登 录 ， 现 有 的 所 有 域 用 户 使 用 原 密 码 仍 能 继 续 登 录 ， 注 意 并 不 能 更 改 用 户 权 限 ， 这 里 需 要 注 意 的 是 重 启 将 失 效 。 其 被 称 为 万 能 钥 匙 , 是 一 种 域 控 制 器 权 限 维 持 工 具 。 它 无 须 破 解 域 用 户 的 任 何 密 码 , 进 行 此 攻 击 时 , 需 要 运 行 在 6 4 位 操 作 系 统 的 域 控 制 器 中 , 并 且 拥 有 域 管 理 员 权 限 。                       我 们 在 域 控 制 器 上 运 行 m i m i k a t z . e x e , 执 行     命 令 , 这 会 将 K e r b e r o s 加 密 降 级 到 R C 4 _ H M A C _ M D 5 , 并 以 内 存 更 新 的 方 式 将 主 密 码 修 补 到   l s a s s . e x e   进 程 ， m i m i k a t z 的 默 认 S k e l e t o n   K e y 设 置 为 m i m i k a t z ， 使 用 主 机 名 链 接 。 这 使 得 所 有 用 户 可 同 时 使 用 万 能 钥 匙 修 补 D C 使 用 " 主 密 码 ”   （ 又 名 万 能 钥 匙 ） 以 及 他 们 自 己 通 常 使 用 的 密 码 进 行 身 份 验 证 。 1 . 域 环 境 域 环 境 域 控 制 器 : 主 机 名 ： d c . p e n t e s t l a b . c o m 系 统 版 本 ： S e r v e r   2 0 0 8   R 2   S p 1 I P 地 址 ： 1 9 2 . 1 6 8 . 2 3 9 . 1 3 8 m i m i k a t z   #   m i s c : : s k e l e t o n
用 户 名 ： a d m i n 密 码 ： 1 q a z # E D C 域 成 员 服 务 器 : 主 机 名 ： z h a n g s a n - p c . p e n t e s t l a b . c o m 系 统 版 本 ： S e r v e r   2 0 0 8   R 2   S p 1 I P 地 址 ： 1 9 2 . 1 6 8 . 2 3 9 . 1 3 3 用 户 名 ： z h a n g s a n 密 码 ： 1 q a z ! Q A Z 2 . L S A   P r o t e c t i o n                       从 W i n d o w s   8 . 1 （ 和 S e r v e r   2 0 1 2   R 2 ） 开 始 ， M i c r o s o f t 引 入 了 一 项 称 为 L S A 保 护 的 功 能 。 此 功 能 基 于 P P L 技 术 ， 它 是 一 种 纵 深 防 御 的 安 全 功 能 ， 旨 在 “ 防 止 非 管 理 员 非 P P L 进 程 通 过 打 开 进 程 之 类 的 函 数 串 改 P P L 进 程 的 代 码 和 数 据 ” 。 防 止 对 进 程   l s a s s . e x e   的 代 码 注 入 ， 这 样 一 来 就 无 法 使 用   m i m i k a t z   对   l s a s s . e x e   进 行 注 入 ， 相 关 操 作 也 会 失 败 。 开 启 L S A 保 护 策 略 操 作 如 下 图 所 示 。                       但 是 L S A 保 护 不 能 完 全 抵 御 这 些 攻 击 ， 它 让 M i m i k a t z 提 取 凭 证 变 得 更 困 难 一 些 。 域 控 存 在 L S A 保 护 时 ， 攻 击 者 需 要 做 一 些 额 外 的 操 作 。 攻 击 者 有 几 种 选 择 ： 删 除 R u n A s P P L 注 册 表 项 并 重 新 启 动 （ 这 可 能 是 最 糟 糕 的 方 法 ， 因 为 您 将 丢 失 内 存 中 的 所 有 凭 据 ）
通 过 修 改 E P R O C E S S 内 核 结 构 ， 在 L S A S S 进 程 上 禁 用 P P L 标 志 。 直 接 读 取 L S A S S 过 程 存 储 器 的 内 容 ， 而 不 使 用 打 开 的 过 程 函 数 。 3 . 注 意 事 项 注 意 事 项 内 存 攻 击 技 术 , 域 控 制 器 重 新 启 动 后 , 主 密 码 将 失 效 , 这 时 需 重 新 执 行 攻 击 。 S k e l e t o n   K e y 只 是 给 所 有 账 户 添 加 了 一 个 万 能 密 码 ， 无 法 修 改 账 户 的 权 限 。 对 于 S e r v e r   2 0 1 2   R 2 以 上 系 统 版 本 ， 需 要 m i m i d r v . s y s 文 件 。 4 . 安 装 安 装 K e y                       在 域 控 制 器 上 安 装 S k e l e t o n   K e y , 相 关 命 令 如 下 : 在 域 控 制 器 上 安 装 S k e l e t o n   K e y ， 执 行 效 果 如 下 图 所 示 。 5 . 验 证 成 功 验 证 成 功                       域 内 主 机 使 用 S k e l e t o n   K e y 登 录 。 此 时 不 需 要 知 道 域 管 理 员 a d m i n 密 码 , 使 用 主 密 码 m i m i k a t z 即 可 建 立 磁 盘 映 射 , 查 看 域 控 制 器 中 C 盘 的 文 件 。 执 行 的 命 令 如 下 : 查 看 域 控 C 盘 目 录 文 件 执 行 效 果 如 下 图 所 示 。 m i n i k a t z   #   p r i v i l e g e : : d e b u g m i m i k a t z   #   m i s c : : s k e l e t o n n e t   u s e   d c . p e n t e s t l a b . c o m   m i m i k a t z   / u s e r : a d m i n d i r   d c . p e n t e s t l a b . c o m c
  如 果 想 更 改 主 密 码 为 其 他 密 码 , 可 以 自 行 修 改 m i m i k a t z 源 码 中 的 S k e l e t o n   K e y 模 块 。 6 . 防 御 措 施 防 御 措 施 重 启 服 务 器 ， 使 得 被 注 入 到   l s a s s . e x e   进 程 主 密 码 失 效 。 域 管 理 员 用 户 要 设 置 强 密 码 ， 确 保 恶 意 代 码 不 会 在 域 控 制 器 中 执 行 。 在 所 有 域 用 户 中 启 用 双 因 子 认 证 ， 例 如 智 能 卡 认 证 。 启 动 应 用 程 序 白 名 单 （ 例 如   A p p L o c k e r ） ， 以 限 制   m i m i k a t z   在 域 控 制 器 中 的 运 行 。 0 x 0 2   G r o u p   P o l i c y               组 策 略 ( G r o u p   P o l i c y ) 是 微 软 W i n d o w s   N T 家 族 操 作 系 统 的 一 个 特 性 ， 它 可 以 控 制 用 户 帐 户 和 计 算 机 帐 户 的 工 作 环 境 。 组 策 略 提 供 了 操 作 系 统 、 应 用 程 序 和 活 动 目 录 中 用 户 设 置 的 集 中 化 管 理 和 配 置 。 组 策 略 的 其 中 一 个 版 本 名 为 本 地 组 策 略 本 地 组 策 略 （ 缩 写 “ L G P O ” 或 “ L o c a l G P O ” ） ， 这 可 以 在 独 立 且 非 域 的 计 算 机 上 管 理 组 策 略 对 象 。             域 组 策 略 和 执 行 脚 本 存 放 在 域 控 制 器 的 S Y S V O L 目 录 下 所 有 域 用 户 均 可 访 问 它 们 , 但 只 有 高 权 限 用 户 有 修 改 权 限 。 在 登 录 域 时 , 域 账 号 会 查 询 并 执 行 属 于 自 己 的 域 组 策 略 及 执 行 脚 本 。 在 域 组 策 略 中 ， 我 们 可 以 添 加 计 划 任 务 等 让 域 内 主 机 执 行 目 标 文 件 。               按 照 以 上 的 思 路 , 如 果 低 权 限 用 户 具 备 S Y S V O L 目 录 的 修 改 权 限 ， 就 可 以 进 行 域 控 制 器 的 权 限 维 持 。               接 下 来 , 我 们 对 组 策 略 后 门 进 行 测 试 , 具 体 步 骤 如 下 。 1 . 域 共 享 文 件 域 共 享 文 件                       查 看 域 控 制 器 共 享 文 件 , 此 时 执 行 如 下 命 令 : m i m i k a t z
                      查 看 域 控 制 器 共 享 文 件 执 行 效 果 如 下 图 所 示 。 2 . 修 改 权 限 修 改 权 限                       在 域 控 制 器 的 S Y S V O L 目 录 下 添 加 z h a n g s a n 用 户 的 控 制 权 限 , 添 加 控 制 权 限 如 下 图 所 示 。 w h o a m i n e t   v i e w   d c . p e n t e s t l a b . c o m d i r   d c . p e n t e s t l a b . c o m S Y S V O L
3 . 验 证 成 功 验 证 成 功                       向 域 控 制 器 的 S Y S V O L 目 录 内 写 人 文 件 并 进 行 文 件 目 录 和 类 型 的 查 看 , 此 时 执 行 的 命 令 如 下 :                       写 入 并 查 看 文 件 目 录 和 类 型 执 行 效 果 如 下 图 所 示 。                       到 这 一 步 ， 已 证 明 普 通 用 户 z h a n g s a n 拥 有 了 对 域 控 制 器 S Y S V O L 目 录 读 写 的 权 限 。 之 后 ， 我 们 可 以 修 改 组 策 略 , 实 现 隐 蔽 后 门 。 e c h o   " d e m o "   >   d c . p e n t e s t l a b . c o m S Y S V O L a l i c e . t x t d i r   d c . p e n t e s t l a b . c o m S Y S V O L t y p e   d c . p e n t e s t l a b . c o m S Y S V O L a l i c e . t x t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理