搜索

[8046] 2014-05-26_五月，渗透师不得不知的微软更新

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2014-05-26_五月，渗透师不得不知的微软更新 五 月 ， 渗 透 师 不 得 不 知 的 微 软 更 新 c s 2 4   F r e e B u f   2 0 1 4 - 0 5 - 2 6 5 月 ， 微 软 在 1 3 日 发 布 月 度 安 全 更 新 ， 其 中   有 K B 2 8 7 1 9 9 7 和   K B 2 9 2 8 1 2 0   两 个 知 识 库 文 章 K n o w l e d g e a s e d （ 而 K B 2 8 7 1 9 9 7 甚 至 不 是 S e c u r i t y   B u l l e t i n ） 。 对 于 无 论 是 作 为 攻 击 的 渗 透 测 试 人 员 还 是 作 为 防 守 的 管 理 员 都 不 容 忽 视 这 两 个 更 新 。 对 于 无 论 是 作 为 攻 击 的 渗 透 测 试 人 员 还 是 作 为 防 守 的 管 理 员 都 不 容 忽 视 这 两 个 更 新 。 K B 2 8 7 1 9 9 7 针 对 大 名 鼎 鼎 的 P T H （ p a s s   t h e   h a s h 攻 击 方 式 ） ，   K B 2 9 2 8 1 2 0 针 对 G P P （ G r o u p   P o l i c y   P r e f e r e n c e ） 可 参 考 f r e e b u f 以 前 的 报 道 。 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 7 8 2 9 . h t m l 下 面 看 看 安 全 研 究 人 员 C r a i g 对 此 分 析 。 K B 2 8 7 1 9 9 7 这 个 被 称 为 “ P T H 杀 手 ” 的 更 新 ， 将 使 本 地 帐 号 不 再 可 以 用 于 远 程 接 入 系 统 ， 不 管 是   n e t w o r k   l o g o n   还 是   i n t e r a c t i v e   l o g i n ， 这 就 包 括 像 使 用   P S E X E C 工 具 甚 至 I P C 远 程 浏 览   C $   ， 从 表 面 上 看 这 就 有 效 的 降 低 了 一 些 攻 击 场 景 下 的 威 胁 。 例 如 一 台 机 器 被 攻 陷 后 ， d u m p 出 所 有 h a s h ， 找 到 本 地 管 理 员 的 h a s h ， 再 拿 着 去 攻 击 网 络 内 其 他 使 用 相 同 密 码 的 机 器 ， 往 往 整 个 网 络 就 这 样 被 控 制 下 来 了 。 然 而 ， 在   C r a i g   的 测 试 中 发 现 ， 所 有 以 上 的 情 况 都 是 没 说 错 ， 但 是 唯 独 默 认 的   A d m i n i s t r a t o r   ( S I D   5 0 0 ) 帐 号 例 外 ， 请 注 意 把 a d m i n i s t r a t o r 改 名 了 ， 它 的 S I D 仍 然 是 5 0 0 ， 只 要 它 还 是   S I D   5 0 0 那 么 以 前 的 攻 击 方 法 还 是 有 效 。 所 以 作 为 防 守 方 的 管 理 员 应 该 要 禁 用 默 认 的   l o c a l   a d m i n 帐 号 ， 然 后 重 新 新 建 常 规 的   l o c a l   u s e r 帐 号 ， 再 把 它 加 进 去 管 理 员 组 。 如 果 管 理 员 做 到 这 样 了 ， 那 么 黑 客 d u m p 到 的 本 地 h a s h 将 不 再 在 网 络 重 放 中 有 效 ， 不 管 是 h a s h 还 是 实 际 的   c r e d e n t i a l s 。 W i n d o w s 7 默 认 是 禁 用   A d m i n i s t r a t o r 帐 号 的 ， 但 是   C r a i g   发 现 往 往 在 有 些 企 业 环 境 里 ， 这 个   A d m i n i s t r a t o r 帐 号 又 会 被 启 用 起 来 ， 只 是 改 了 个 名 字 ，   也 就 是 说 仍 然 是 S I D   5 0 0 ， 那 么 这 个 补 丁 将 帮 不 了 你 。 C r a i g 在 M S F 和 p o w e r s h e l l 里 用 W M I 和 p s e x e c _ c o m m a n d 测 试 过 ， 都 有 同 样 的 结 果 — — 所 有   l o c a l   a c c o u n t 访 问 都 被 d e n y 了 ， 除 了 S I D   5 0 0 。   D o m a i n   h a s h e s 和 S I D   5 0 0   的 h a s h 仍 然 可 以   p a s s   t h e   h a s h 。 在 下 图 可 以 看 到 仍 然 可 以 在 测 试 的 域 环 境 里 一 个 成 员 中 执 行 P S E X E C ， 使 用 的 就 是 一 个 S I D 还 是 5 0 0 的 帐 号 ， 虽 然 它 已 经 名 为 r e n a m e d A d m i n ，
如 下 图 所 示 针 对   r e n a m e d A d m i n ，   p a s s   t h e   h a s h 攻 击 仍 然 有 效 ， 但 是 r d p t e s t 就 不 行 了 。 下 图 你 可 以 看 到 r d p t e s t 在 本 地 管 理 员 组 ， 但 是 已 经 不 是 S I D   5 0 0 了 。 m i m i k a t z 提 到   K B 2 8 7 1 9 9 7 不 得 不 说 的 还 有   m i m i k a t z ， 它 通 常 已 经 攻 陷 了 管 理 员 用 R D P 连 接 过 系 统 后 ， 就 可 以 用   m i m i k a t z 拿 到 管 理 员 的 明 文 密 码 了 。 在   K B 2 8 7 1 9 9 7 补 丁 以 前 ， 即 便 管 理 员 是 正 确 的 退 出 R D P 连 接 ， 而 不 只 是 关 掉 连 接 窗 口 ， 仍 然 可 以 随 时 使 用 m i m i k a t z 拿 到 明 文 密 码 。   K B 2 8 7 1 9 9 7 补 丁 以 后 ， 只 要 你 是 正 常 的 l o g   o f f 你 的 R D P 连 接 ， 那 么 就 会 清 除 内 存 中 的   c r e d e n t i a l s ， 但 是 如 果 比 只 是 关 掉 连 接 的 窗 口 ， 那 么 m i m i k a t z 的 攻 击 仍 然 是 有 效 的 。   C r a i g 的 测 试 发 现 ， 系 统 并 不 会 立 即 清 除 内 存 中 的 c r e d e n t i a l s ， 但 是 大 约 3 0 秒 左 右 c r e d e n t i a l s 就 没 有 了 。 针 对 C r a i g 的 这 个 说 法 ， 小 编 发 现 在 C r a i g 测 试 几 天 后 ，   m i m i k a t z 就 发 布 了 一 个 更 新 的 版 本 m i m i k a t z   2 . 0   a l p h a
h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / r e l e a s e s /   ， 并 且 更 新 里 说 明 可 以 应 对   K B 2 8 7 1 9 9 7 。 “ P a s s - T h e - e K e y s   n o w   a l s o   w o r k i n g   o n   W i n d o w s   7 / 8   i f   K B 2 8 7 1 9 9 7   i n s t a l l e d ” 是 不 是 生 活 顿 时 又 充 满 了 希 望 呢 ！ K B 2 9 2 8 1 2 0 再 说 说 G P P ， 来 自 官 方 说 法 是 ” 某 些 组 策 略 首 选 项 可 以 存 储 密 码 。 此 功 能 将 被 删 除 ， 因 为 通 过 这 种 方 式 存 储 的 密 码 不 安 全 “ 。 以 下 组 策 略 首 选 项 将 不 再 允 许 保 存 用 户 名 和 密 码 ： 1 ， 驱 动 器 映 射 2 ， 本 地 用 户 和 组 3 ， 计 划 任 务 4 ， 服 务 5 ， 数 据 源 这 将 影 响 环 境 中 依 赖 于 这 些 首 选 项 中 包 含 的 密 码 的 任 何 现 有 组 策 略 对 象   ( G P O )   的 行 为 。 此 外 ， 它 还 会 阻 止 通 过 使 用 此 功 能 创 建 新 的 组 策 略 首 选 项 。 对 于 “ 驱 动 器 映 射 ” 、 “ 本 地 用 户 和 组 ” 和 “ 服 务 ” ， 您 也 许 能 够 通 过   W i n d o w s   中 其 他 更 加 安 全 的 功 能 实 现 相 似 的 目 标 。 对 于 “ 计 划 任 务 ” 和 “ 数 据 源 ” ， 您 将 无 法 达 到 通 过 不 安 全 的 组 策 略 首 选 项 密 码 功 能 所 能 实 现 的 目 标 。 C r a i g 测 试 发 现 如 果 打 完 这 个 补 丁 后 ， 再 去 之 前 创 建 的   a d m i n   a c c o u n t ， 双 击 他 就 会 出 行 一 个 警 告 消 息 点 继 续 就 会 看 到 密 码 仍 然 在 那 里 ， 但 是 已 经 不 能 被 修 改 了 。 密 码 部 分 已 经 灰 了 。
当 再 新 建 帐 号 时 ， 已 经 不 能 再 设 置 密 码 了 。 原 文 ： h t t p : / / w w w . p w n a g 3 . c o m / 2 0 1 4 / 0 5 / w h a t - d i d - m i c r o s o f t - j u s t - b r e a k - w i t h . h t m l 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理