搜索

[18826] 2021-07-16_应急响应之用户分析

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-07-16_应急响应之用户分析 应 急 响 应 之 用 户 分 析 原 创   花 十 一 一   h u a s e c   2 0 2 1 - 0 7 - 1 6 收 录 于 话 题   # 应 急 响 应   , 2 6 个 “   操 作 系 统 上 账 号 作 为 取 证 分 析 的 一 部 分 ， 通 过 分 析 主 机 上 账 号 属 性 ， 可 以 帮 助 我 们 识 别 未 知 的 用 户 帐 户 ， 清 除 账 号 后 门 。 ” 0 1 — 简 介 获 取 系 统 中 的 用 户 帐 户 列 表 。 账 号 类 型 （ 账 号 类 型 （ A c c o u n t T y p e ） ） 2 5 6 ( U F _ T E M P _ D U P L I C A T E _ A C C O U N T ) : 本 地 用 户 帐 户 ， 适 用 于 在 其 他 域 中 具 有 主 帐 户 的 用 户 。 此 帐 户 仅 向 此 域 提 供 用 户 访 问 权 限 （ 而 不 是 对 信 任 此 域 的 任 何 域 ） 的 访 问 权 限 。 5 1 2 ( U F _ N O R M A L _ A C C O U N T ) :   表 示 典 型 用 户 的 默 认 帐 户 类 型 。 2 0 4 8 ( U F _ I N T E R D O M A I N _ T R U S T _ A C C O U N T ) : 信 任 其 他 域 的 系 统 域 的 帐 户 。 4 0 9 6 ( U F _ W O R K S T A T I O N _ T R U S T _ A C C O U N T ) : 运 行 作 为 此 域 成 员 的   W i n d o w s   的 计 算 机 系 统 的 计 算 机 帐 户 。 8 1 9 2 ( U F _ S E R V E R _ T R U S T _ A C C O U N T ) : 作 为 此 域 成 员 的 系 统 备 份 域 控 制 器 的 帐 户 。 S I D / R I D S I D 安 全 标 识 符 （ S e c u r i t y   I d e n t i f i e r s ） ， 是 标 识 用 户 、 组 和 计 算 机 帐 户 的 唯 一 的 号 码 。 在 第 一 次 创 建 该 帐 户 时 ， 将 给 每 一 个 帐 户 发 布 一 个 唯 一 的   S I D 。 R I D 是 指 相 对 I D ， 是 S I D 的 最 后 一 部 分 。 指 派 给 用 户 、 计 算 机 和 组 的 R I D 从 1 0 0 0 开 始 。 5 0 0 - 9 9 9 的 R I D 被 专 门 保 留 起 来 、 表 示 在 每 个 W i n d o w s 计 算 机 和 域 中 通 用 的 账 户 和 组 。 R i d = 5 0 2 ， 用 于 活 动 目 录 中 的 K e r b e r o s 票 据 R i d = 5 0 4 ,   用 于 链 接 到 W i n d o w s   D e f e n d e r 并 由 W i n d o w s   D e f e n d e r 管 理 保 护 电 脑 。 S t a t u s O K ： 代 表 账 号 是 启 用 的 ， D e g r a d e d : 代 表 这 些 帐 户 都 是 禁 用 的 。 w m i c   u s e r a c c o u n t   g e t   n a m e ,   a c c o u n t t y p e ,   s i d ,   s t a t u s
在 日 志 中 可 以 通 过 查 看 事 件 I D   4 7 2 2 来 检 查 用 户 何 时 以 及 由 谁 启 用 ! 通 过 上 图 可 以 看 到 g u e s t 账 号 在 7 月 1 3 日 被 a d m i n i s t r a t o r 账 号 启 用 0 2 — R I D 劫 持 分 析       通 过 利 用 系 统 资 源 ， 可 以 在 受 害 者 设 备 上 劫 持 任 意 原 有 的 账 户 的 R I D ， 并 分 配 到 另 一 个 用 户 账 户 。 下 面 使 用 m s f 的 w i n d o w s / m a n a g e / r i d _ h i j a c k 模 块 为 例 ， 该 模 块 使 用 前 提 是 需 要 s y s t e m 权 限 的 m e t e r p r e t e r   s e s s i o n ， 而 后 修 改 劫 持 账 号 与 被 劫 持 账 户 相 关 的 注 册 表 。 下 面 是 对 每 个 参 数 的 简 单 描 述 ： w e v t u t i l   q e   s e c u r i t y / f : t e x t   " / q : * [ S y s t e m [ ( E v e n t I D = 4 7 2 2 ) ] ] "
G E T S Y S T E M :   如 果 是 t r u e ， 就 获 取 受 害 者 的 S Y S T E M 权 限 ； G U E S T _ A C C O U N T :   如 果 是 t r u e ， 就 用 受 害 者 的 G u e s t 账 户 作 为 劫 持 者 账 户 ； R I D :   R I D 会 被 分 配 给 劫 持 者 账 户 。 该 值 应 该 是 现 有 账 户 所 有 的 ， 但 会 被 劫 持 ， 默 认 值 是 5 0 0 。 U S E R N A M E :   设 置 后 ， 会 查 询 定 义 的 用 户 账 户 ， 并 将 其 看 作 是 劫 持 者 账 户 。 如 果 是 G U E S T _ A C C O U N T ， 该 参 数 会 被 忽 略 。 P A S S W O R D :   劫 持 账 号 的 密 码 。 回 到 受 害 主 机 上 ， 可 以 看 到 g u e s t 账 号 已 经 激 活 。 再 看 g u e s t 账 号 的 详 细 信 息 ， 还 是 g u e s t s 组 ， 但 是 c m d . e x e 启 动 的 权 限 确 实 管 理 员 。
通 过 安 全 日 志 可 以 看 到 利 用 该 攻 击 生 成 两 条 日 志 ， 事 件 I D 4 7 3 8 用 户 账 号 管 理 ， g u e s t 账 号 被 激 活 ， 事 件 I D 4 7 2 4 用 户 账 号 密 码 被 修 改 。
大 概 原 理 是 R I D 劫 持 会 对 特 定 o f f s e t 的 F 值 修 改 ， 修 改 后 会 导 致 W i n d o w s 在 大 多 数 关 键 操 作 系 统 进 程 中 将 劫 持 者 账 号 的 误 认 为 是 被 劫 持 者 的 账 号 ， 因 此 就 拥 有 了 相 应 的 访 问 权 限 。 打 开 注 册 表 H K L M S A M S A M D o m a i n s A c c o u n t U s e r s N a m e s ， 可 以 看 到 g u e s t 账 号 的 值 为 0 x 1 f 5 ， 对 应 上 一 级 的 0 0 0 0 0 1 F 5 ， 打 开 该 注 册 表 可 以 看 到   R E G _ B I N A R Y 值 ， F 和 V 。 这 些 值 包 含 与 每 个 账 号 安 全 描 述 相 关 的 数 据 ， 包 括 账 号 R I D 的 副 本 和 是 否 启 用 标 志 。 F 值 是 低 字 节 序 的 ， R I D 值 保 存 在 o f f s e t 3 0 h 处 ， F 4 0 1 代 表 是 a d m i n i s t r a t o r 权 限 ， e n a b l e d / d i s a b l e d   f l a g 在 o f f s e t   3 8 h 处 。
0 3 — 总 结               上 面 说 了 那 么 多 ， 总 结 就 是 关 于 账 户 取 证 看 两 点 ， 日 志 中 找 4 7 3 8 、 4 7 2 4 ， 注 册 表 找 f 4 0 1 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理