搜索

[13583] 2018-12-27_网藤能力中心深入ExchangeServer在网络渗透下的利用方法

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2018-12-27_网藤能力中心深入ExchangeServer在网络渗透下的利用方法 网 藤 能 力 中 心   |   深 入 E x c h a n g e   S e r v e r 在 网 络 渗 透 下 的 利 用 方 法 原 创   C o d y   F r e e B u f   2 0 1 8 - 1 2 - 2 7 前 言 ： 前 言 ： 在 渗 透 测 试 中 ， 往 往 会 遇 到 企 业 内 网 环 境 中 使 用 的 一 些 常 用 组 件 ， 这 些 组 件 对 内 或 对 外 提 供 了 服 务 与 接 口 ， 也 给 渗 透 测 试 人 员 与 黑 客 提 供 了 新 的 可 尝 试 的 攻 击 面 ， 合 理 的 利 用 组 件 服 务 提 供 的 功 能 和 接 口 ， 可 以 帮 助 渗 透 测 试 人 员 完 成 信 息 收 集 、 环 境 侦 测 ， 甚 至 通 过 其 漏 洞 弱 点 、 配 置 缺 陷 、 功 能 滥 用 直 接 拿 下 权 限 ， 在 渗 透 测 试 与 后 渗 透 阶 段 达 到 事 半 功 倍 的 效 果 。   W i n d o w s   E x c h a n g e   S e r v e r ， 应 该 是 国 内 外 应 用 都 非 常 广 泛 的 邮 件 服 务 器 了 ， 本 文 将 围 绕 E x c h a n g e 展 开 ， 介 绍 在 渗 透 测 试 中 对 E x c h a n g e 服 务 器 的 攻 击 利 用 。 正 式 开 始 之 前 ， 我 们 先 对 E x c h a n g e 相 关 的 一 些 概 念 与 基 础 知 识 进 行 梳 理 简 介 ， 便 于 对 E x c h a n g e 有 简 单 初 步 的 了 解 。 本 文 实 验 环 境 本 文 实 验 环 境 : 域 环 境 ： f b . c o m 域 控 ： 1 0 . 0 . 8 3 . 9 3 ， m a s t e r d c ， W i n d o w s   2 0 1 2   R 2 E x c h a n g e 服 务 器 ： 1 0 . 0 . 8 3 . 9 4 ， t e s t 2 k 1 2 ， W i n d o w s   2 0 1 2   R 2 ， 安 装 E x c h a n g e   S e r v e r   2 0 1 3   S P 1 域 内 工 作 机 ： 1 0 . 0 . 8 3 . 8 0 ， t e s t w i n 7 ， W i n d o w s   7 ， 安 装 O u t l o o k   2 0 1 3   S P 1 一 、 初 识 一 、 初 识 E x c h a n g e M i c r o s o f t   E x c h a n g e   S e r v e r   i s   a   m a i l   s e r v e r   a n d   c a l e n d a r i n g   s e r v e r   d e v e l o p e d   b y   M i c r o s o f t .   I t   r u n s   e x c l u s i v e l y o n   W i n d o w s   S e r v e r   o p e r a t i n g   s y s t e m s .   — —   w i k i p e d i a 如 维 基 百 科 对 E x c h a n g e   S e r v e r 的 描 述 ， E x c h a n g e 是 由 微 软 推 出 的 用 于 企 业 环 境 中 部 署 的 邮 件 服 务 器 。 微 软 对 外 发 布 的 第 一 个 E x c h a n g e 版 本 是 E x c h a n g e   4 . 0 ， 最 开 始 E x c h a n g e 使 用 X . 4 0 0 目 录 服 务 ， 随 后 转 向 使 用 微 软 的 活 动 目 录 ， 最 开 始 的 时 候 微 软 还 提 供 了 M i c r o s o f t   E x c h a n g e   C l i e n t ， 即 E x c h a n g e 邮 件 客 户 端 ， 随 后 被 O u t l o o k 取 代 ， 时 至 今 日 ， 微 软 已 经 发 布 了 1 0 个 大 版 本 号 的 E x c h a n g e ， 今 年 1 0 月 份 ， 微 软 推 出 了 最 新 版 本 的 E x c h a n g e   S e r v e r   2 0 1 9 。 在 不 同 的 企 业 环 境 中 部 署 使 用 的 E x c h a n g e 版 本 不 一 ， 各 版 本 提 供 的 架 构 、 功 能 、 服 务 、 接 口 都 各 有 不 同 ， 本 文 将 以 E x c h a n g e   S e r v e r   2 0 1 3 为 例 展 开 叙 述 。 E x c h a n g e   S e r v e r 是 一 种 本 地 化 部 署 的 形 式 ， 除 此 之 外 还 有 以 S a a S 的 在 线 服 务 模 式 ， 这 两 种 部 署 模 式 即 各 种 文 档 或 资 料 中 常 说 的 E x c h a n g e   O n - p r e m i s e 和 E x c h a n g e   O n l i n e ， 另 外 ， E x c h a n g e 还 支 持 本 地 化 部 署 与 云 端 部 署 共 存 的 部 署 方 式 ， 即 混 合 部 署 （ E x c h a n g e   H y b r i d ） 。 1 . 邮 件 服 务 器 角 色 （ 邮 件 服 务 器 角 色 （ S e r v e r   R o l e ） ） E x c h a n g e 是 一 个 功 能 完 整 而 庞 大 的 邮 件 服 务 器 ， 实 际 上 E x c h a n g e 背 负 的 不 仅 仅 是 传 统 的 邮 件 收 发 处 理 、 邮 件 路 由 等 基 本 的 邮 件 功 能 ， 在 微 软 背 景 下 E x c h a n g e 与 活 动 目 录 域 服 务 、 全 局 编 排 目 录 及 其 他 微 软 相 关 服 务 和 组 件 也 有 着 众 多 联 系 。 E x c h a n g e 邮 件 服 务 器 在 企 业 环 境 中 使 用 占 比 非 常 高 ， 其 通 过 划 分 不 同 的 服 务 器 角 色 、 执 行 各 自 的 组 件 和 服 务 以 及 相 互 之 间 的 依 存 调 用 使 得 邮 件 处 理 形 成 一 个 强 大 、 丰 富 、 稳 定 、 同 时 又 复 杂 的 过 程 。 E x c h a n g e 在 逻 辑 上 分 为 三 个 层 次 ： 网 络 层 （ n e t w o r k   l a y e r ） 、 目 录 层 （ d i r e c t o r y   l a y e r ） 、 消 息 层 （ m e s s a g i n g   l a y e r ） ， 服 务 器 角 色 正 是 在 消 息 层 上 的 一 个 细 分 。 E x c h a n g e   S e r v e r   2 0 1 3 包 含 三 个 服 务 器 角 色 ， 我 们 往 前 推 进 一 个 版 本 到 E x c h a n g e   S e r v e r   2 0 1 0 ， 来 介 绍 E x c h a n g e 服 务 器
角 色 的 演 变 和 功 能 简 述 。 E x c h a n g e   S e r v e r   2 0 1 0 包 含 五 个 服 务 器 角 色 ， 分 别 是 邮 箱 服 务 器 （ m a i l b o x   s e r v e r ） 、 集 线 传 输 服 务 器 （ h u b   t r a n s p o r t s e r v e r ） 、 客 户 端 访 问 服 务 器 （ c l i e n t   a c c e s s   s e r v e r ） 、 边 缘 传 输 服 务 器 （ e d g e   t r a n s p o r t   s e r v e r ） 、 统 一 消 息 服 务 器 （ u n i f i e d   m e s s a g i n g   s e r v e r ） ， 除 了 边 缘 传 输 服 务 器 以 外 其 他 角 色 都 可 以 在 同 一 台 主 机 上 进 行 部 署 添 加 ， 其 中 邮 箱 服 务 器 、 集 线 传 输 服 务 器 、 客 户 端 访 问 服 务 器 是 核 心 服 务 器 角 色 ， 部 署 这 三 个 角 色 就 能 提 供 基 本 的 邮 件 处 理 功 能 。 邮 箱 服 务 器 （ 邮 箱 服 务 器 （ m a i l b o x   s e r v e r ） ） ： 该 角 色 是 提 供 托 管 邮 箱 、 公 共 文 件 夹 以 及 相 关 的 消 息 数 据 （ 如 地 址 列 表 ） 的 后 端 组 件 ， 是 必 选 的 服 务 器 角 色 。 客 户 端 访 问 服 务 器 （ 客 户 端 访 问 服 务 器 （ c l i e n t   a c c e s s   s e r v e r ） ） ： 接 收 和 处 理 来 自 于 不 同 客 户 端 的 请 求 的 中 间 层 服 务 器 角 色 ， 该 角 色 服 务 器 提 供 了 对 使 用 不 同 协 议 进 行 访 问 的 支 持 ， 每 个 E x c h a n g e 环 境 中 至 少 需 要 部 署 一 个 客 户 端 访 问 服 务 器 ， 客 户 端 访 问 服 务 器 提 供 了 对 以 下 不 同 接 口 访 问 E x c h a n g e 服 务 器 的 处 理 。 集 线 传 输 服 务 器 （ 集 线 传 输 服 务 器 （ h u b   t r a n s p o r t   s e r v e r ） ） ： 或 称 中 心 传 输 服 务 器 ， 该 服 务 器 角 色 的 核 心 服 务 就 是 M i c r o s o f t E x c h a n g e   T r a n s p o r t ， 负 责 处 理 M a i l   F l o w （ 这 又 是 E x c h a n g e 中 的 一 大 知 识 点 ， E x c h a n g e 管 理 员 需 要 通 过 M a i l F l o w 实 现 邮 件 出 站 与 进 站 配 置 ） 、 对 邮 件 进 行 路 由 、 以 及 在 E x c h a n g e 组 织 中 进 行 分 发 ， 该 服 务 器 角 色 处 理 所 有 发 往 属 于 本 地 邮 箱 的 邮 件 和 发 往 外 部 邮 箱 的 邮 件 ， 并 确 保 邮 件 发 送 者 和 接 收 者 的 地 址 被 正 确 解 析 并 执 行 特 定 策 略 （ 如 邮 件 地 址 过 滤 、 内 容 过 滤 、 格 式 转 换 等 ） ， 同 时 ， 还 可 以 进 行 记 录 、 审 计 、 添 加 免 责 声 明 等 ， 正 如 H u b   t r a n s p o r t 的 含 义 ， 该 服 务 器 角 色 相 当 于 一 个 邮 件 传 输 的 中 继 站 点 ， 每 个 E x c h a n g e 环 境 中 至 少 需 要 部 署 一 个 集 线 传 输 服 务 器 。 统 一 消 息 服 务 器 （ 统 一 消 息 服 务 器 （ u n i f i e d   m e s s a g i n g   s e r v e r ） ） ： 将 专 用 交 换 机 （ p r i v a t e   b r a n c h   e x c h a n g e / P B X ）   和 E x c h a n g e   S e r v e r 集 成 在 一 起 ， 以 允 许 邮 箱 用 户 可 以 在 邮 件 中 发 送 存 储 语 音 消 息 和 传 真 消 息 ， 可 选 角 色 。 边 缘 传 输 服 务 器 （ 边 缘 传 输 服 务 器 （ e d g e   t r a n s p o r t   s e r v e r ） ） ： 该 服 务 器 角 色 作 为 专 用 服 务 器 可 以 用 于 路 由 发 往 内 部 或 外 部 的 邮 件 ， 通 常 部 署 于 网 络 边 界 并 用 于 设 置 安 全 边 界 。 其 接 受 来 自 内 部 组 织 的 邮 件 和 来 自 外 部 可 信 服 务 器 的 邮 件 ， 然 后 应 用 特 定 的 反 垃 圾 邮 件 、 反 病 毒 策 略 ， 最 后 将 通 过 策 略 筛 选 的 邮 件 路 由 到 内 部 的 集 线 传 输 服 务 器 ， 可 选 角 色 。 在 E x c h a n g e   S e r v e r   2 0 1 3 中 ， 服 务 器 角 色 精 简 为 三 个 ， 分 别 是 邮 箱 服 务 器 、 客 户 端 访 问 服 务 器 和 边 缘 传 输 服 务 器 ， 其 中 邮 箱 服 务 器 角 色 和 客 户 端 访 问 服 务 器 角 色 通 常 被 安 装 在 同 一 台 服 务 器 中 。 邮 箱 服 务 器 邮 箱 服 务 器 ： 负 责 认 证 、 重 定 向 、 代 理 来 自 外 部 不 同 客 户 端 的 访 问 请 求 ， 主 要 包 含 客 户 端 访 问 服 务 （ C l i e n t   A c c e s s s e r v i c e ） 和 前 端 传 输 服 务 （ F r o n t   E n d   T r a n s p o r t   s e r v i c e ） 两 大 组 件 。 客 户 端 访 问 服 务 器 客 户 端 访 问 服 务 器 ： 托 管 邮 箱 、 公 共 文 件 夹 等 数 据 ， 主 要 包 含 集 线 传 输 服 务 （ H u b   T r a n s p o r t   s e r v i c e ） 和 邮 箱 传 输 服 务 （ M a i l b o x   T r a n s p o r t   s e r v i c e ） 两 大 组 件 服 务 。 边 缘 传 输 服 务 器 边 缘 传 输 服 务 器 ： 负 责 路 由 出 站 与 入 站 邮 件 、 策 略 应 用 等 。 在 E x c h a n g e   S e r v e r   2 0 1 6 和 2 0 1 9 中 ， 只 有 两 种 服 务 器 角 色 ， 分 别 是 邮 箱 服 务 器 和 边 缘 传 输 服 务 器 ， 所 有 关 键 角 色 和 组 件 都 融 入 到 邮 箱 服 务 器 中 。 2 . 客 户 端 客 户 端 / 远 程 访 问 接 口 和 协 议 远 程 访 问 接 口 和 协 议 邮 件 通 信 分 为 邮 件 发 送 和 邮 件 接 收 ， 其 中 邮 件 发 送 使 用 统 一 的 通 信 协 议 ， 即 S M T P ， 而 邮 件 的 收 取 则 有 多 种 协 议 标 准 ， 如 由 早 期 的 P O P 发 展 至 今 的 P O P 3 ， 如 今 使 用 广 泛 的 I M A P ， E x c h a n g e 开 发 了 私 有 的 M A P I 协 议 用 于 收 取 邮 件 ， 较 新 版 本 的 O u t l o o k 通 常 使 用 M A P I 与 E x c h a n g e 进 行 交 互 ， 除 此 之 外 早 期 的 O u t l o o k 还 使 用 称 为 O u t l o o k   A n y w h e r e 的 R P C 交 互 。 下 面 介 绍 E x c h a n g e 提 供 支 持 的 访 问 接 口 和 协 议 。 O u t l o o k   W e b   A p p （ （ O W A ） ） E x c h a n g e 提 供 的 W e b 邮 箱 ， 地 址 通 常 为   h t t p : / / D O A M I N / o w a / M A P I 访 问 P O P 3 和 I M A P 4 访 问 O u t l o o k   W e b   A p p 访 问 （ O W A ） O u t l o o k   A n y w h e r e 访 问 A u t o d i s c o v e r 自 动 发 现 服 务 可 用 性 服 务
E x c h a n g e   A d m i n i s t r a t i v e   C e n t e r （ （ E C P ） ） E x c h a n g e 管 理 中 心 ， 管 理 员 用 于 管 理 组 织 中 的 E x c h a n g e 的 W e b 控 制 台 ， 地 址 通 常 为   h t t p : / / D O M A I N / e c p / O u t l o o k A n y w h e r e （ （ R P C - o v e r - H T T P ， ， R P C / H T T P ） ） 前 身 为 R P C - o v e r - H T T P ， 随 后 在 E x c h a n g e   2 0 0 7 和 E x c h a n g e   2 0 1 0 中 被 重 命 名 为 O u t l o o k   A n y w h e r e 。 R P C - o v e r - H T T P 是 在 E x c h a n g e   2 0 0 3 被 提 出 的 ， 在 此 之 前 ， 外 网 用 户 使 用 E x c h a n g e 邮 箱 需 要 先 通 过 V P N 连 接 到 企 业 内 部 网 络 中 ， 随 后 微 软 在 O u t l o o k 中 推 出 新 特 性 O u t l o o k   A n y w h e r e ， 外 网 用 户 可 以 直 接 通 过 O u t l o o k   A n y w h e r e 连 接 使 用 E x c h a n g e 邮 箱 而 无 需 使 用 V P N ， 内 网 用 户 则 通 过 R P C 协 议 连 接 使 用 E x c h a n g e 。 从 E x c h a n g e   2 0 1 3 开 始 ， O u t l o o k 不 再 区 分 内 外 网 环 境 ， 统 一 使 用 O u t l o o k   A n y w h e r e ， 同 时 ， 不 需 要 开 放 单 独 的 R P C 端 口 。 O u t l o o k   A n y w h e r e 在 E x c h a n g e   S e r v e r   2 0 1 3 中 默 认 开 启 。 在 O u t l o o k 中 使 用 R P C - o v e r - H T T P 的 连 接 方 式 连 接 E x c h a n g e （ 在 协 议 中 显 示 为 R P C / H T T P ） ： M A P I （ （ M A P I - o v e r - H T T P ， ， M A P I / H T T P ） ） 一 种 O u t l o o k 与 E x c h a n g e 交 互 的 新 的 传 输 协 议 ， 于 E x c h a n g e   2 0 1 3   S P 1 和 O u t l o o k   2 0 1 3   S P 1 中 被 提 出 。 在 O u t l o o k 中 使 用 M A P I - o v e r - H T T P 的 连 接 方 式 连 接 E x c h a n g e （ 在 协 议 中 显 示 为 H T T P ） ：
E x c h a n g e A c t i v e S y n c （ （ E A S ， ， X M L / H T T P ） ） A c t i v e S y n c 是 一 种 允 许 用 户 通 过 移 动 设 备 或 其 他 便 携 式 设 备 访 问 和 管 理 邮 件 、 联 系 人 、 日 历 等 E x c h a n g e 功 能 的 同 步 协 议 ， 在 W i n d o w s 上 使 用 时 其 进 程 名 称 为 w c e s o m m . e x e 。 E x c h a n g e   W e b   S e r v i c e （ （ E W S ， ， S O A P - o v e r - H T T P ） ） E x c h a n g e 提 供 了 一 套 A P I 编 程 接 口 可 供 开 发 者 调 用 ， 用 于 访 问 E x c h a n g e 服 务 器 ， 与 邮 件 、 联 系 人 、 日 历 等 功 能 进 行 交 互 和 管 理 操 作 ， 在 E x c h a n g e   S e r v e r   2 0 0 7 中 被 提 出 。 微 软 基 于 标 准 的 W e b   S e r v i c e 开 发 E W S ， E W S 实 现 的 客 户 端 与 服 务 端 之 间 通 过 基 于 H T T P 的 S O A P 交 互 。 3 . E x c h a n g e 功 能 和 服 务 功 能 和 服 务 自 动 发 现 （ 自 动 发 现 （ A u t o d i s c o v e r ） ） A u t o d i s c o v e r 自 动 发 现 是 自 E x c h a n g e   S e r v e r   2 0 0 7 开 始 推 出 的 一 项 自 动 服 务 ， 用 于 自 动 配 置 用 户 在 O u t l o o k 中 邮 箱 的 相 关 设 置 ， 简 化 用 户 登 陆 使 用 邮 箱 的 流 程 。 如 果 用 户 账 户 是 域 账 户 且 当 前 位 于 域 环 境 中 ， 通 过 自 动 发 现 功 能 用 户 无 需 输 入 任 何 凭 证 信 息 即 可 登 陆 邮 箱 。 自 动 发 现 服 务 运 行 于 客 户 端 访 问 服 务 器 （ C l i e n t   A c c e s s   S e r v e r ） 上 ， 其 实 质 是 O u t l o o k 客 户 端 通 过 L D A P 查 询 、 D N S 查 询 等 ， 连 接 到 指 定 域 的 E x c h a n g e 的 客 户 端 访 问 服 务 器 （ C l i e n t   A c c e s s   S e r v e r ） 上 。 自 动 发 现 的 过 程 首 先 需 要 获 取 自 动 配 置 文 件 ， 然 后 根 据 配 置 文 件 进 行 连 接 和 配 置 ， 获 取 自 动 配 置 文 件 的 过 程 不 展 开 细 说 了 ， 简 单 来 说 它 将 找 到 提 供 自 动 发 现 服 务 的 客 户 端 访 问 服 务 器 、 访 问 / a u t o d i s c o v e r / a u t o d i s c o v e r . x m l 获 得 配 置 文 件 。 这 里 有 个 关 键 地 方 ， 即 正 确 配 置 D N S 解 析 ， 使 得 O u t l o o k 客 户 端 不 管 是 在 域 环 境 主 机 上 还 是 外 部 网 络 环 境 ， 都 可 以 正 确 找 到 自 动 发 现 服 务 所 在 的 服 务 器 。 配 置 名 称 a u t o d i s c o v e r 指 向 客 户 端 访 问 服 务 器 ： 配 置 a u t o d i s c o v e r 的 S R V 记 录 ： 域 用 户 在 加 入 域 的 主 机 上 使 用 O u t l o o k 自 动 发 现 功 能 ：
域 用 户 在 工 作 组 主 机 上 使 用 O u t l o o k 自 动 发 现 功 能 ： 全 局 地 址 列 表 全 局 地 址 列 表 （ （ G A L ） ） 地 址 列 表 （ A d d r e s s   L i s t ） 记 录 了 用 户 在 域 活 动 目 录 中 的 基 本 信 息 和 在 E x c h a n g e 中 的 邮 箱 地 址 ， 用 于 将 用 户 在 活 动 目 录 中 的 属 性 对 象 与 邮 件 地 址 形 成 关 联 。 在 E x c h a n g e 中 管 理 员 可 以 创 建 不 同 的 地 址 列 表 ， 用 于 方 便 管 理 维 护 组 织 ， 也 方 便 邮 箱 用 户 通 过 地 址 列 表 查 找 特 定 的 联 系 人 邮 箱 ， E x c h a n g e 默 认 会 创 建 一 些 内 置 的 地 址 列 表 ， 其 中 包 含 了 一 个 D e f a u l t G l o b a l   A d d r e s s   L i s t （ 默 认 全 局 地 址 列 表 ） ， 所 有 邮 箱 用 户 都 会 被 加 入 到 这 个 地 址 列 表 中 。 下 面 ， 我 们 进 入 正 题 这 里 我 们 将 会 用 到 两 个 知 名 度 最 高 的 E x c h a n g e 利 用 工 具 ， 一 个 是 S e n s e p o s t 用 G o 实 现 的 与 E x c h a n g e 进 行 命 令 行 交 互 的 工 具 R u l e r ， R u l e r 可 以 通 过 R P C / H T T P 或 者 M A P I / H T T P 的 方 式 与 E x c h a n g e 进 行 交 互 ， 只 要 拥 有 合 法 的 用 户 凭 证 ， 就
可 以 利 用 R u l e r 执 行 一 系 列 的 信 息 侦 察 、 定 向 攻 击 等 操 作 。 另 一 个 是 P o w e r s h e l l 实 现 的 M a i l S n i p e r ， 主 要 用 于 后 渗 透 阶 段 的 一 些 信 息 收 集 和 获 取 。 关 于 工 具 的 详 细 介 绍 与 用 法 可 以 去 G i t h u b 跟 F r e e b u f 上 自 行 查 找 。 二 、 发 现 二 、 发 现 E x c h a n g e 在 渗 透 测 试 中 ， 当 进 行 信 息 收 集 与 环 境 侦 察 时 ， 发 现 与 识 别 E x c h a n g e 及 其 相 关 服 务 ， 可 以 有 多 种 方 法 与 途 径 ， 或 者 说 ， 当 你 在 执 行 一 些 端 口 扫 描 、 名 称 查 询 等 过 程 时 ， 当 发 现 如 下 举 例 的 一 些 迹 象 和 扫 描 结 果 时 ， 你 应 该 意 识 到 ， 该 环 境 中 可 能 存 在 E x c h a n g e 组 件 。 1 . 端 口 与 服 务 端 口 与 服 务 E x c h a n g e 的 正 常 运 行 ， 如 上 一 章 节 所 列 举 的 ， 需 要 多 个 服 务 与 功 能 组 件 之 间 相 互 依 赖 与 协 调 ， 因 此 ， 安 装 了 E x c h a n g e 的 服 务 器 上 会 开 放 某 些 端 口 对 外 提 供 服 务 ， 不 同 的 服 务 与 端 口 可 能 取 决 于 服 务 器 所 安 装 的 角 色 、 服 务 器 进 行 的 配 置 、 以 及 网 络 环 境 与 访 问 控 制 的 安 全 配 置 等 。 通 过 端 口 发 现 服 务 ， 来 识 别 确 认 服 务 器 上 安 装 了 E x c h a n g e ， 是 最 常 规 也 是 最 简 易 的 方 法 。 如 下 是 执 行 了 一 次 端 口 扫 描 的 结 果 报 告 。 r o o t @ k a l i : ~ #   n m a p   - A   - O   - s V   - P n   1 0 . 0 . 8 3 . 9 4 S t a r t i n g   N m a p   7 . 7 0   (   h t t p s : / / n m a p . o r g   )   a t   2 0 1 8 - 1 2 - 2 4   1 4 : 1 4   C S T N m a p   s c a n   r e p o r t   f o r   1 0 . 0 . 8 3 . 9 4 H o s t   i s   u p   ( 0 . 0 0 0 4 3 s   l a t e n c y ) . N o t   s h o w n :   9 7 4   f i l t e r e d   p o r t s P O R T           S T A T E   S E R V I C E                         V E R S I O N 2 5 / t c p       o p e n     s m t p                               M i c r o s o f t   E x c h a n g e   s m t p d |   s m t p - c o m m a n d s :   t e s t 2 k 1 2 . f b . c o m   H e l l o   [ 1 0 . 0 . 8 3 . 1 1 ] ,   S I Z E   3 7 7 4 8 7 3 6 ,   P I P E L I N I N G ,   D S N ,   E N H A N C E D S T A T U S C O D E S ,   S T A R T T L S ,   X - A N O N Y M O U S T L S ,   A U T H   N T L M ,   X - E X P S   G S S A P I   N T L M ,   8 B I T M I M E ,   B I N A R Y M I M E ,   C H U N K I N G ,   X R D S T , | _   T h i s   s e r v e r   s u p p o r t s   t h e   f o l l o w i n g   c o m m a n d s :   H E L O   E H L O   S T A R T T L S   R C P T   D A T A   R S E T   M A I L   Q U I T   H E L P   A U T H   B D A T |   s m t p - n t l m - i n f o : |       T a r g e t _ N a m e :   F B |       N e t B I O S _ D o m a i n _ N a m e :   F B |       N e t B I O S _ C o m p u t e r _ N a m e :   T E S T 2 K 1 2 |       D N S _ D o m a i n _ N a m e :   f b . c o m |       D N S _ C o m p u t e r _ N a m e :   t e s t 2 k 1 2 . f b . c o m |       D N S _ T r e e _ N a m e :   f b . c o m | _     P r o d u c t _ V e r s i o n :   6 . 3 . 9 6 0 0 | _ s s l - d a t e :   2 0 1 8 - 1 2 - 2 4 T 0 6 : 1 7 : 4 2 + 0 0 : 0 0 ;   + 4 9 s   f r o m   s c a n n e r   t i m e . 8 0 / t c p       o p e n     h t t p                               M i c r o s o f t   I I S   h t t p d   8 . 5 | _ h t t p - s e r v e r - h e a d e r :   M i c r o s o f t - I I S / 8 . 5 | _ h t t p - t i t l e :   4 0 3   -   x B D x F B x D 6 x B 9 x B 7 x C 3 x C E x C A :   x B 7 x C 3 x C E x C A x B 1 x B B x B E x D C x B E x F 8 x A 1 x A 3 8 1 / t c p       o p e n     h t t p                               M i c r o s o f t   I I S   h t t p d   8 . 5 | _ h t t p - s e r v e r - h e a d e r :   M i c r o s o f t - I I S / 8 . 5 | _ h t t p - t i t l e :   4 0 3   -   x B D x F B x D 6 x B 9 x B 7 x C 3 x C E x C A :   x B 7 x C 3 x C E x C A x B 1 x B B x B E x D C x B E x F 8 x A 1 x A 3 … … 4 6 5 / t c p     o p e n     s m t p                               M i c r o s o f t   E x c h a n g e   s m t p d |   s m t p - c o m m a n d s :   t e s t 2 k 1 2 . f b . c o m   H e l l o   [ 1 0 . 0 . 8 3 . 1 1 ] ,   S I Z E   3 6 7 0 0 1 6 0 ,   P I P E L I N I N G ,   D S N ,   E N H A N C E D S T A T U S C O D E S ,   S T A R T T L S ,   X - A N O N Y M O U S T L S ,   A U T H   G S S A P I   N T L M ,   X - E X P S   G S S A P I   N T L M ,   8 B I T M I M E ,   B I N A R Y M I M E ,   C H U N K I N G ,   X E X C H 5 0 ,   X R D S T ,   X S H A D O W R E Q U E S T , | _   T h i s   s e r v e r   s u p p o r t s   t h e   f o l l o w i n g   c o m m a n d s :   H E L O   E H L O   S T A R T T L S   R C P T   D A T A   R S E T   M A I L   Q U I T   H E L P   A U T H   B D A T |   s m t p - n t l m - i n f o : |       T a r g e t _ N a m e :   F B |       N e t B I O S _ D o m a i n _ N a m e :   F B |       N e t B I O S _ C o m p u t e r _ N a m e :   T E S T 2 K 1 2 |       D N S _ D o m a i n _ N a m e :   f b . c o m |       D N S _ C o m p u t e r _ N a m e :   t e s t 2 k 1 2 . f b . c o m |       D N S _ T r e e _ N a m e :   f b . c o m | _     P r o d u c t _ V e r s i o n :   6 . 3 . 9 6 0 0 | _ s s l - d a t e :   2 0 1 8 - 1 2 - 2 4 T 0 6 : 1 7 : 3 7 + 0 0 : 0 0 ;   + 4 9 s   f r o m   s c a n n e r   t i m e . 5 8 7 / t c p     o p e n     s m t p                               M i c r o s o f t   E x c h a n g e   s m t p d |   s m t p - c o m m a n d s :   t e s t 2 k 1 2 . f b . c o m   H e l l o   [ 1 0 . 0 . 8 3 . 1 1 ] ,   S I Z E   3 6 7 0 0 1 6 0 ,   P I P E L I N I N G ,   D S N ,   E N H A N C E D S T A T U S C O D E S ,   S T A R T T L S ,   A U T H   G S S A P I   N T L M ,   8 B I T M I M E ,   B I N A R Y M I M E ,   C H U N K I N G , | _   T h i s   s e r v e r   s u p p o r t s   t h e   f o l l o w i n g   c o m m a n d s :   H E L O   E H L O   S T A R T T L S   R C P T   D A T A   R S E T   M A I L   Q U I T   H E L P   A U T H   B D A T |   s m t p - n t l m - i n f o : |       T a r g e t _ N a m e :   F B |       N e t B I O S _ D o m a i n _ N a m e :   F B |       N e t B I O S _ C o m p u t e r _ N a m e :   T E S T 2 K 1 2 |       D N S _ D o m a i n _ N a m e :   f b . c o m |       D N S _ C o m p u t e r _ N a m e :   t e s t 2 k 1 2 . f b . c o m |       D N S _ T r e e _ N a m e :   f b . c o m | _     P r o d u c t _ V e r s i o n :   6 . 3 . 9 6 0 0 | _ s s l - d a t e :   2 0 1 8 - 1 2 - 2 4 T 0 6 : 1 7 : 3 9 + 0 0 : 0 0 ;   + 4 9 s   f r o m   s c a n n e r   t i m e . … … 2 5 2 5 / t c p   o p e n     s m t p                               M i c r o s o f t   E x c h a n g e   s m t p d |   s m t p - c o m m a n d s :   t e s t 2 k 1 2 . f b . c o m   H e l l o   [ 1 0 . 0 . 8 3 . 1 1 ] ,   S I Z E ,   P I P E L I N I N G ,   D S N ,   E N H A N C E D S T A T U S C O D E S ,   S T A R T T L S ,   X - A N O N Y M O U S T L S ,   A U T H   N T L M ,   X - E X P S   G S S A P I   N T L M ,   8 B I T M I M E ,   B I N A R Y M I M E ,   C H U N K I N G ,   X E X C H 5 0 ,   X R D S T ,   X S H A D O W R E Q U E S T , | _   T h i s   s e r v e r   s u p p o r t s   t h e   f o l l o w i n g   c o m m a n d s :   H E L O   E H L O   S T A R T T L S   R C P T   D A T A   R S E T   M A I L   Q U I T   H E L P   A U T H   B D A T | _ s m t p - n t l m - i n f o :   E R R O R :   S c r i p t   e x e c u t i o n   f a i l e d   ( u s e   - d   t o   d e b u g ) | _ s s l - d a t e :   2 0 1 8 - 1 2 - 2 4 T 0 6 : 1 7 : 4 8 + 0 0 : 0 0 ;   + 5 0 s   f r o m   s c a n n e r   t i m e . … …
8 0 端 口 上 的 I I S 、 2 5 / 5 8 7 / 2 5 2 5 端 口 上 的 S M T P ， 及 其 其 上 详 细 的 指 纹 信 息 ， 可 以 帮 助 我 们 确 定 该 主 机 上 正 运 行 着 E x c h a n g e 服 务 。 2 . S P N s 名 称 查 询 名 称 查 询 端 口 扫 描 是 信 息 收 集 阶 段 最 常 用 的 手 段 ， 端 口 扫 描 通 过 与 目 标 主 机 之 间 的 T C P / U D P 协 议 交 互 ， 根 据 返 回 的 各 种 信 息 判 断 端 口 开 放 情 况 和 服 务 软 件 ， 这 需 要 直 接 的 与 目 标 主 机 进 行 通 信 ， 且 往 往 会 产 生 规 模 较 大 的 流 量 通 信 。 除 了 端 口 扫 描 之 外 ， 对 于 熟 悉 内 网 渗 透 的 同 学 来 说 ， 通 过 S P N 来 发 现 服 务 应 该 也 是 必 备 伎 俩 了 ， 这 种 方 法 在 W i n d o w s 环 境 中 尤 其 有 效 ， 因 为 其 不 需 要 与 各 个 主 机 进 行 通 信 ， 而 是 通 过 已 有 的 普 通 用 户 权 限 ， 查 询 活 动 目 录 数 据 库 ， 枚 举 得 到 S P N ， 从 而 获 知 各 个 主 机 上 运 行 着 哪 些 服 务 应 用 。 S P N （ S e r v i c e   P r i n c i p a l   N a m e ） ， 是 K e r b e r o s 认 证 中 不 可 缺 少 的 ， 每 一 个 启 用 K e r b e r o s 认 证 的 服 务 都 拥 有 一 个 S P N ， 如 文 件 共 享 服 务 的 S P N 为 c i f s / d o m a i n _ n a m e ， L D A P 服 务 的 S P N 为 l d a p / d o m a i n _ n a m e ， 在 K e r b e r o s 认 证 过 程 ， 客 户 端 通 过 指 定 S P N 让 K D C 知 晓 客 户 端 请 求 访 问 的 是 哪 个 具 体 服 务 ， 并 使 用 该 服 务 对 应 的 服 务 账 号 的 密 钥 来 对 最 终 票 据 进 行 加 密 。 关 于 K e r b e r o s 和 S P N 的 更 多 信 息 不 在 此 展 开 讲 ， 有 兴 趣 的 同 学 可 以 自 行 查 阅 资 料 。 在 活 动 目 录 数 据 库 中 ， 每 一 个 计 算 机 对 象 有 一 个 属 性 名 为 s e r v i c e P r i n c i p a l N a m e ， 该 属 性 的 值 是 一 个 列 表 ， 存 储 着 该 计 算 机 启 用 K e r b e r o s 认 证 的 每 一 个 服 务 名 称 。 安 装 在 W i n d o w s 域 环 境 中 的 E x c h a n g e 服 务 同 样 会 接 入 K e r b e r o s 认 证 ， 因 此 ， E x c h a n g e 相 关 的 多 个 服 务 ， 应 该 都 可 以 从 该 属 性 中 找 到 对 应 的 S P N 。 执 行 S P N 名 称 查 找 的 工 具 和 方 法 有 很 多 ， 这 里 直 接 以 域 内 的 一 台 工 作 机 ， 通 过 s e t s p n . e x e 查 询 获 得 。
可 以 看 到 ， e x c h a n g e R F R / e x c h a n g e A B / e x c h a n g e M D B / S M T P / S M T P S v c 等 ， 涉 及 S M T P 服 务 、 邮 件 地 址 簿 服 务 、 客 户 端 访 问 服 务 器 角 色 服 务 等 ， 都 是 E x c h a n g e 注 册 的 服 务 。 再 次 强 调 ， S P N 是 启 用 K e r b e r o s 的 服 务 所 注 册 的 便 于 K D C 查 找 的 服 务 名 称 ， 这 些 S P N 名 称 信 息 被 记 录 在 活 动 目 录 数 据 库 中 ， 只 要 服 务 安 装 完 成 ， 这 些 S P N 名 称 就 已 经 存 在 ， 除 非 卸 载 或 删 除 ， S P N 名 称 查 询 与 当 前 服 务 是 否 启 动 没 有 关 系 （ 如 E x c h a n g e 服 务 器 的 I M A P / P O P 等 部 分 服 务 默 认 是 不 启 动 的 ， 但 其 S P N 名 称 同 样 存 在 ） 。 除 此 之 外 ， 有 时 候 通 过 其 他 一 些 方 法 同 样 可 以 帮 助 探 测 确 认 E x c h a n g e 服 务 ， 如 发 现 O W A 、 E W S 接 口 、 自 动 发 现 服 务 、 D N S 域 名 记 录 等 等 ， E x c h a n g e 是 一 个 庞 大 复 杂 的 组 件 服 务 ， 各 种 配 置 信 息 和 公 开 服 务 都 可 以 帮 助 我 们 进 行 信 息 收 集 。
三 、 三 、 E x c h a n g e 接 口 接 口 与 服 务 利 用 与 服 务 利 用 上 文 提 到 ， E x c h a n g e 提 供 了 多 种 客 户 端 邮 箱 接 口 和 服 务 接 口 ， 对 于 渗 透 测 试 人 员 而 言 ， 这 些 接 口 就 是 踏 入 E x c h a n g e 内 部 的 第 一 道 关 卡 ， 提 供 服 务 的 接 口 需 要 有 效 的 用 户 凭 证 信 息 ， 显 然 ， 用 户 名 与 密 码 破 解 是 摆 在 面 前 的 第 一 个 尝 试 。 在 企 业 域 环 境 中 ， E x c h a n g e 与 域 服 务 集 合 ， 域 用 户 账 户 密 码 就 是 E x c h a n g e 邮 箱 的 账 户 密 码 ， 因 此 ， 如 果 我 们 通 过 暴 力 破 解 等 手 段 成 功 获 取 了 邮 箱 用 户 密 码 ， 在 通 常 情 况 下 也 就 间 接 获 得 了 域 用 户 密 码 。 1 . 利 用 自 动 发 现 服 务 进 行 暴 力 破 解 利 用 自 动 发 现 服 务 进 行 暴 力 破 解 A u t o d i s c o v e r 自 动 发 现 服 务 使 用 A u t o d i s c o v e r . x m l 配 置 文 件 来 对 用 户 进 行 自 动 设 置 ， 获 取 该 自 动 配 置 文 件 需 要 用 户 认 证 ， 如 访 问 h t t p : / / t e s t 2 k 1 2 . f b . c o m / A u t o d i s c o v e r / A u t o d i s c o v e r . x m l 文 件 将 提 示 需 要 认 证 ， 如 下 为 认 证 通 过 ， 将 获 取 到 如 下 的 X M L 文 件 内 容 ： 利 用 这 个 接 口 ， 可 以 对 邮 箱 账 号 做 暴 力 破 解 。 R u l e r 提 供 了 对 E x c h a n g e 的 自 动 配 置 文 件 接 口 进 行 认 证 的 暴 力 破 解 ， 通 过 配 置 线 程 数 、 间 隔 时 间 可 以 限 制 破 解 速 度 防 止 多 次 登 陆 失 败 触 发 告 警 或 账 户 被 封 禁 。 2 . P a s s w o r d   S p r a y p a s s w o r d   s p r a y 同 样 是 一 种 破 解 账 户 密 码 的 方 法 ， 与 常 规 的 暴 力 破 解 方 法 不 同 的 是 ， p a s s w o r d   s p a r y 针 对 一 批 账 户 进 行 破 解 ， 每 次 对 单 个 用 户 账 户 进 行 一 次 或 少 数 次 登 陆 尝 试 后 换 用 下 一 个 用 户 进 行 尝 试 ， 如 此 反 复 进 行 并 间 隔 一 定 时 间 ， 以 此 方 法 躲 避 多 次 暴 力 破 解 的 检 测 和 账 户 锁 定 的 风 险 。 m a i l s n i p e r 提 供 分 别 针 对 O W A 接 口 、 E W S 接 口 和 A c t i v e S y n c 接 口 的 p a s s w o r d   s p r a y 。
四 、 取 得 合 法 凭 证 四 、 取 得 合 法 凭 证 的 后 渗 透 阶 段 的 后 渗 透 阶 段 当 渗 透 测 试 人 员 已 成 功 取 得 某 些 用 户 的 合 法 邮 箱 凭 证 ， 或 者 拿 到 与 邮 箱 认 证 相 同 的 域 账 户 凭 证 ， 该 用 户 凭 证 可 能 是 通 过 暴 力 破 解 用 户 名 密 码 得 到 的 ， 可 能 是 d u m p 到 了 用 户 明 文 密 码 或 哈 希 值 ， 或 者 通 过 其 他 途 径 取 得 的 合 法 有 效 凭 证 ， 可 以 帮 助 渗 透 测 试 人 员 进 一 步 进 行 后 渗 透 攻 击 ， 收 集 更 多 的 敏 感 信 息 、 利 用 合 法 功 能 与 服 务 进 行 扩 展 。 1 . 滥 用 滥 用 O u t l o o k 功 能 功 能 g e t s h e l l O u t l o o k 是 O f f i c e 办 公 软 件 中 用 于 管 理 电 子 邮 件 的 专 用 软 件 ， E x c h a n g e 邮 箱 用 户 使 用 O u t l o o k 进 行 邮 件 管 理 可 以 体 验 E x c h a n g e 专 用 的 各 种 功 能 ， 也 是 应 用 非 常 广 泛 的 办 公 软 件 之 一 。 O u t l o o k 功 能 非 常 强 大 ， 其 中 的 一 些 合 法 功 能 由 于 其 特 殊 性 ， 当 攻 击 者 利 用 一 些 灵 活 （ 而 猥 琐 ） 的 伎 俩 时 往 往 可 达 成 意 想 不 到 的 效 果 。 规 则 和 通 知 功 能 的 滥 用 规 则 和 通 知 功 能 的 滥 用 O u t l o o k 提 供 了 一 项   ” 规 则 和 通 知 “   （ R u l e s   a n d   A l e r t s ） 的 功 能 ， 可 以 设 置 邮 件 接 收 和 发 送 的 策 略 ， 分 为 规 则 条 件 和 动 作 ， 即 用 户 定 义 当 邮 件 满 足 某 些 条 件 时 （ 如 邮 件 主 题 包 含 特 定 词 语 ） ， 触 发 一 个 特 定 的 动 作 ， 这 个 动 作 可 以 是 对 邮 件 的 管 理 、 处 置 ， 甚 至 是 启 动 应 用 程 序 。 当 攻 击 者 拥 有 合 法 邮 箱 用 户 凭 证 的 情 况 下 ， 可 以 利 用 该 功 能 在 正 常 用 户 收 到 符 合 某 种 条 件 的 邮 件 时 执 行 特 定 的 命 令 ， 例 如 反 弹 一 个 s h e l l 。 该 利 用 方 法 需 要 注 意 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理