搜索

[10434] 2016-08-26_Mimikatz小实验：黄金票据+dcsync

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2016-08-26_Mimikatz小实验：黄金票据+dcsync M i m i k a t z 小 实 验 ： 黄 金 票 据 + d c s y n c d a w n e r   F r e e B u f   2 0 1 6 - 0 8 - 2 6 这 篇 博 文 是 为 了 解 释 下 这 篇 博 文 是 为 了 解 释 下 B e n j a m i n   D e l p y （ （ @ g e n t i l k i w i ） 在 这 条 推 特 上 写 的 东 西 ， 看 官 们 且 耐 住 性 子 。 ） 在 这 条 推 特 上 写 的 东 西 ， 看 官 们 且 耐 住 性 子 。 F r e e B u f 科 普 时 间 科 普 时 间 k r b t g t 账 户 ： 每 个 域 控 制 器 都 有 一 个 “ k r b t g t ” 的 用 户 账 户 ， 是 K D C 的 服 务 账 户 ， 用 来 创 建 票 据 授 予 服 务 （ T G S ） 加 密 的 密 钥 。 黄 金 票 据 （ G o l d e n   T i c k e t ） ： 简 单 来 说 ， 它 能 让 黑 客 在 拥 有 普 通 域 用 户 权 限 和 k r b t g t   h a s h 的 情 况 下 ， 获 取 域 管 理 员 权 限 。 d c s y n c ： m i m i k a t z 中 的 功 能 ， 可 以 有 效 地 “ 假 冒 ” 一 个 域 控 制 器 ， 并 可 以 向 目 标 域 控 制 器 请 求 帐 户 密 码 数 据 。 下 面 根 据 下 面 根 据 @ g e n t i l k i w i 的 描 述 ， 的 描 述 ， 我 会 做 一 个 实 验 。 我 会 做 一 个 实 验 。 获 取 域 管 理 权 限 获 取 域 管 理 权 限 首 先 ， 我 以 较 低 的 权 限 运 行 了 m i m i k a t z ， 这 个 权 限 为 W i n d o w s 工 作 站 的 本 地 用 户 ， 也 就 是 我 d e m o 域 成 员 。 在 这 里 ， 我 们 需 要 生 成 一 张 黄 金 票 据 （ G o l d e n   T i c k e t ） ， 利 用 它 来 获 得 域 管 理 权 限 。 然 后 ， 咱 们 再 使 用 m i m i k a t z 的 d c s y n c 功 能 ， 从 域 控 制 器 获 取 h a s h 。 作 为 一 个 新 登 录 的 本 地 用 户 ， 本 来 是 没 有 票 据 的 ：
然 后 我 手 动 创 建 了 一 张 域 管 理 的 黄 金 票 据 ： 使 用 这 张 票 据 ：
然 后 我 的 低 权 限 本 地 用 户 ， 就 被 提 升 到 域 管 理 权 限 了 ： 利 用 利 用 d c s y n c 功 能 获 取 功 能 获 取 h a s h 然 后 我 通 过 D R S R 协 议 ， 从 域 控 制 器 获 取 用 户 u s e r 0 1 的 h a s h ：  
我 们 把 L M 和 N T L M 的 h a s h ， 同 这 篇 博 文 里 的 h a s h 对 比 下 ， 发 现 它 们 是 相 同 的 。 k e r b e r o s : : g o l d e n 命 令 中 所 有 的 参 数 （ k r b t g t 、 d o m a i n 、 d o m a i n   a d m i n u s e r n a m e 、 d o m a i n   S I D ） ， 都 可 以 通 过 这 里 的 方 式 获 取 ， 简 单 来 说 就 是 提 取 并 解 析 A c t i v e   D i r e c t o r y   数 据 库 （ N T D S . D I T ） 的 副 本 内 容 。 @ g e n t i l k i w i 告 诉 我 ， 只 要 d o m a i n   a d m i n   u s e r n a m e 和 R I D 是 域 管 理 组 的 一 部 分 ， 那 也 是 可 以 被 伪 造 的 。 伪 造 的 信 息 大 约 可 以 生 效 2 0 分 钟 左 右 ， 在 此 期 间 不 会 被 系 统 检 查 到 。 如 果 我 们 没 有 足 够 的 权 限 （ 比 如 域 管 理 ） 来 查 询 带 D R S R 的 域 控 制 器 ， 我 们 会 得 到 e r r o r   5 （ 权 限 不 足 ） 的 提 示 ：
你 在 对 k r b t g t   N T L M   h a s h 进 行 更 改 的 时 候 ， 也 会 得 到 这 个 错 误 。 但 在 这 里 ， p t t 命 令 看 起 来 像 是 成 功 了 ： 你 需 要 注 意 的 是 ， 除 非 用 户 k r b t g t 的 密 码 被 改 了 （ 默 认 不 会 更 改 ） ， 不 然 k r b t g t   N T L M   h a s h 绝 不 会 改 变 。 所 以 ， 即 使 你 拿 到 的 是 非 常 早 的 n t d s . d i t 副 本 ， 也 可 以 被 用 于 恢 复 h a s h 。 检 测 黄 金 票 据 的 规 则 检 测 黄 金 票 据 的 规 则 该 票 据 通 过 a s n 1 编 码 存 储 在 文 件 里 ：
@ g e n t i l k i w i 本 来 做 了 一 个 Y A R A 规 则 （ m i m i k a t z _ k i r b i _ t i c k e t ） 来 检 测 这 样 的 票 据 ： 但 是 我 用 的 m i m i k a t z   v 2 . 1 ， 使 用 了 另 一 种 a s n 1 编 码 ， 这 条 规 则 就 失 效 了 。 然 后 @ g e n t i l k i w i 就 更 新 了 一 条 更 通 用 的 规 则 ， 大 家 可 以 使 用 它 来 做 检 测 ：
简 单 的 小 细 节 简 单 的 小 细 节 此 外 ， 因 为 我 使 用 了 k e r b e r o s : : g o l d e n 的 选 项 / t i c k e t ， 票 据 文 件 是 在 磁 盘 上 创 建 生 成 的 。 但 是 如 果 我 使 用 了 / p t t 选 项 ， 它 并 不 会 写 入 磁 盘 。 @ g e n t i l k i w i 还 告 诉 我 ， 如 果 你 使 用 k e r b e r o s : : d c s y n c 去 提 升 到 域 管 理 权 限 ， 是 不 会 记 录 事 件 日 志 的 。   * 参 考 来 源 ： D S ， F B 小 编 d a w n e r 编 译 ， 未 经 许 可 禁 止 转 载 阅 读 原 文 r u l e   m i m i k a t z _ k i r b i _ t i c k e t {           m e t a :               d e s c r i p t i o n           =   " K i R B i t i c k e t   f o r   m i m i k a t z "               a u t h o r                     =   " B e n j a m i n D E L P Y   ( g e n t i l k i w i ) ;   D i d i e r   S t e v e n s "         s t r i n g s :               $ a s n 1                       =   {   7 6   8 2   ? ?   ? ?   3 0 8 2   ? ?   ? ?   a 0   0 3   0 2   0 1   0 5   a 1   0 3   0 2   0 1   1 6   }               $ a s n 1 _ 8 4                 =   {   7 6   8 4   ? ?   ? ?   ? ? ? ?   3 0   8 4   ? ?   ? ?   ? ?   ? ?   a 0   8 4   0 0   0 0   0 0   0 3   0 2   0 1   0 5   a 1 8 4   0 0   0 0   0 0   0 3   0 2   0 1   1 6   }         c o n d i t i o n :               $ a s n 1   a t   0   o r   $ a s n 1 _ 8 4   a t   0     }

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理