搜索

[20398] 2020-12-11_CVE-2020-17049：Kerberos实际利用

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-11_CVE-2020-17049：Kerberos实际利用 C V E - 2 0 2 0 - 1 7 0 4 9 ： K e r b e r o s 实 际 利 用 J a k e   K a r n e s   K h a n 安 全 攻 防 实 验 室   2 0 2 0 - 1 2 - 1 1 K e r b e r o s 安 全 功 能 绕 过 漏 洞 该 漏 洞 的 一 般 攻 击 路 径 如 下 ： 1 .   攻 击 者 在 A D 环 境 中 立 足 。 2 .   攻 击 者 获 取 环 境 中 服 务 的 密 码 哈 希 。 我 们 将 此 服 务 称 为 “   S e r v i c e 1 ” 。 攻 击 者 可 以 通 过 多 种 方 式 获 得 必 要 的 哈 希 ， 例 如 D C   S y n c 攻 击 ， K e r b e r o a s t i n g ， 甚 至 可 以 通 过 P o w e r m a d 使 用 S P N 创 建 新 的 计 算 机 帐 户 。 3 .   S e r v i c e 1 与 另 一 个 服 务 具 有 受 约 束 的 委 派 信 任 关 系 。 我 们 将 其 称 为 “   S e r v i c e 2 ” 。 此 信 任 关 系 可 以 是 下 列 之 一 ： a .   如 果 攻 击 者 对 A D 中 的 S e r v i c e 2 对 象 具 有 写 权 限 （ G e n e r i c A l l ， G e n e r i c W r i t e ， W r i t e O w n e r 等 ） ， 则 攻 击 者 可 以 将 S e r v i c e 1 添 加 到 S e r v i c e 2 的 “   P r i n c i p a l s A l l o w e d T o D e l e g a t e T o A c c o u n t ” 列 表 中 。 这 不 需 要 E l a d S h a m i r 和 W i l l   S c h r o e d e r 所 述 的 域 管 理 员 特 权 。 b .   S e r v i c e 1 配 置 为 执 行 对 S e r v i c e 2 的 约 束 委 派 。 也 就 是 说 ， S e r v i c e 2 在 S e r v i c e 1 的 “   A l l o w e d T o D e l e g a t e T o ” 列 表 中 。 c .   S e r v i c e 2 配 置 为 接 受 来 自 S e r v i c e 1 的 基 于 资 源 的 约 束 委 派 。 也 就 是 说 ， S e r v i c e 1 在 S e r v i c e 2 的 “ P r i n c i p a l s A l l o w e d T o D e l e g a t e T o A c c o u n t ” 列 表 中 。 4 .   攻 击 者 利 用 此 漏 洞 充 当 S e r v i c e 1 ， 并 获 得 K e r b e r o s 服 务 票 证 作 为 S e r v i c e 2 的 目 标 用 户 。 5 .   攻 击 者 冒 充 目 标 用 户 ， 向 S e r v i c e 2 提 供 服 务 票 证 。 攻 击 者 现 在 已 作 为 目 标 用 户 向 S e r v i c e 2 进 行 身 份 验 证 ， 并 且 可 以 在 目 标 用 户 的 权 限 下 与 S e r v i c e 2 进 行 交 互 。 利 用 实 施 青 铜 位 漏 洞 已 被 开 发 为 的 延 伸 I m p a c k e t 从 在 好 乡 亲 框 架 S e c u r e A u t h 。 一 个 拉 请 求 目 前 正 在 等 待 新 开 发 的 功 能 合 并 。 I m p a c k e t 内 有 很 多 强 大 的 功 能 ， 但 是 我 们 对 g e t S T . p y 程 序 感 兴 趣 。 让 我 们 首 先 回 顾 一 下 没 有 利 用 漏 洞 的 程 序 功 能 。 在 第 4 步 ， 我 们 将 从 上 方 跳 入 攻 击 路 径 。 假 设 我 们 已 经 获 得 了 S e r v i c e 1 的 哈 希 值 ， S e r v i c e 1 与 S e r v i c e 2 具 有 受 限 的 委 托 信 任 关 系 ， 并 且 我 们 试 图 以 目 标 用 户 身 份 获 得 对 S e r v i c e 2 的 访 问 权 限 。 可 以 使 用 g e t S T . p y 程 序 执 行 S 4 U 交 换 并 以 指 定 用 户 的 身 份 获 得 指 定 服 务 的 服 务 票 证 。 如 果 允 许 S e r v i c e 1 执 行 协 议 转 换 （ 即 使 用 “   T r u s t e d T o A u t h F o r D e l e g a t i o n ” 进 行 配 置 ） ， 并 且 未 保 护 用 户 免 受 委 托 ， 则 执 行 将 类 似 于 以 下 内 容 ：
利 用 最 终 的 服 务 票 证 ， 攻 击 者 可 以 模 拟 目 标 用 户 并 成 功 与 S e r v i c e 2 进 行 交 互 。 但 是 ， 如 果 不 允 许 S e r v i c e 1 执 行 协 议 转 换 或 保 护 用 户 免 受 委 托 ， 则 在 S 4 U 2 s e l f 交 换 中 获 得 的 中 间 服 务 票 证 将 不 可 转 发 转 发 ， 并 且 S 4 U 2 p r o x y 请 求 将 失 败 。 力 转 发 标 志 B r o n z e   B i t 漏 洞 已 被 实 现 为 g e t S T . p y 程 序 的 扩 展 。 我 添 加 了 一 个 新 的 - f o r c e - f o r w a r d a b l e 标 志 ， 可 以 将 其 作 为 命 令 行 参 数 传 递 。 如 果 存 在 - f o r c e - f o r w a r d a b l e 标 志 ， 则 在 S 4 U 2 s e l f 交 换 后 执 行 漏 洞 利 用 。 由 K D C 在 S 4 U 2 s e l f 交 换 中 返 回 的 服 务 票 证 将 使 用 S e r v i c e 1 的 长 期 密 钥 ， 其 可 转 发 标 志 设 置 进 行 解 密 ， 然 后 重 新 加 密 。 更 改 后 的 票 证 将 附 加 在 S 4 U 2 p r o x y 交 换 中 ， K D C 将 作 为 目 标 用 户 返 回 S e r v i c e 2 的 服 务 票 证 。
绕 过 限 制 并 准 备 好 服 务 凭 单 后 ， 攻 击 者 即 可 模 拟 目 标 用 户 并 与 S e r v i c e 2 进 行 交 互 （ 攻 击 路 径 中 的 步 骤 5 ） 。 示 例 攻 击 ＃ 1 让 我 们 看 看 实 际 的 攻 击 。 在 这 种 情 况 下 ， 我 们 将 看 到 利 用 该 漏 洞 的 方 法 ， 我 们 可 以 绕 过 “ 信 任 此 用 户 以 仅 委 派 给 指 定 服 务 – 仅 使 用 K e r b e r o s ” 保 护 ， 并 冒 充 受 委 派 保 护 的 用 户 。 我 们 将 从 一 些 初 始 环 境 设 置 开 始 。 环 境 配 置 我 们 的 测 试 域 （ t e s t . l o c a l ） 具 有 3 台 运 行 W i n d o w s   S e r v e r   2 0 1 9 版 本 的 服 务 器 ， 但 未 修 复 此 漏 洞 。 我 们 将 从 作 为 S e r v i c e 1 服 务 器 上 的 U s e r 1 的 立 足 点 发 动 攻 击 。 我 们 将 定 位 到 对 S e r v i c e 2 服 务 器 具 有 管 理 访 问 权 限 的 U s e r 2 。 我 们 将 与 域 控 制 器 （ D C ） 交 互 所 有 K e r b e r o s 票 证 。 在 D C 上 ， 对 S e r v i c e 1 进 行 配 置 ， 以 使 其 可 以 执 行 受 约 束 的 委 派 ， 而 无 需 协 议 过 渡 到 S e r v i c e 2 。 这 样 可 以 确 保 满 足 攻 击 路 径 第 3 步 的 条 件 。 如 果 在 A c t i v e   D i r e c t o r y   G U I 中 设 置 了 此 配 置 ， 则 它 将 类 似 于 以 下 内 容 ：
仍 然 在 D C 上 时 ， 还 要 更 新 U s e r 2 帐 户 ， 以 防 止 其 受 委 派 。 可 以 使 用 “ 敏 感 帐 户 ， 不 能 委 托 ” 属 性 配 置 该 帐 户 。 该 帐 户 也 可 以 成 为 “ 受 保 护 的 用 户 ” 组 的 成 员 。 这 些 配 置 更 改 中 的 一 个 或 两 个 都 等 效 于 此 演 示 ： 使 用 “ 帐 户 敏 感 且 无 法 委 派 ” 属 性 配 置 U s e r 2 ：
将 U s e r 2 添 加 到 “ 受 保 护 的 用 户 ” 组 中 ： 执 行 攻 击 退 出 域 控 制 器 ， 并 以 U s e r 1 身 份 登 录 S e r v i c e 1 服 务 器 。 这 模 拟 在 环 境 中 立 足 （ 攻 击 路 径 中 的 步 骤 1   ） 。 启 动 P o w e r S h e l l 会 话 ， 并 确 认 U s e r 1 和 S e r v i c e 1 当 前 无 法 在 其 自 己 的 授 权 下 访 问 S e r v i c e 2 。 命 令 ： 命 令 ： l s     s e r v i c e 2 . t e s t . l o c a l     c   $ 。   P S T o o l s     P s E x e c 6 4 . e x e     s e r v i c e 2 . t e s t . l o c a l     p o w e r s h e l l . e x e 执 行 ： 执 行 ：
我 们 已 经 确 认 U s e r 1 无 法 直 接 访 问 S e r v i c e 2 。 我 们 继 续 攻 击 路 径 的 第 二 步 ： 获 取 S e r v i c e 1 的 哈 希 值 。 在 这 种 情 况 下 ， 我 们 将 使 用 I m p a c k e t 的 s e c r e t s d u m p . p y 程 序 来 获 取 S e r v i c e 1 机 器 帐 户 的 A E S 2 5 6 - C T S - H M A C - S H A 1 - 9 6 和 L M ： N T L M 哈 希 。 命 令 ： 命 令 ： p y t h o n 。   i m p a c k e t     e x a m p l e s     s e c r e t s d u m p . p y ' t e s t   /   u s e r 1 ： < u s e r 1 _ p a s s w o r d >   @   S e r v i c e 1 . t e s t . l o c a l ' 执 行 ： 执 行 ：
在 获 得 必 要 的 哈 希 之 后 ， 我 们 将 首 先 尝 试 在 没 有 - f o r c e - f o r w a r d a b l e 标 志 的 情 况 下 执 行 g e t S T . p y 程 序 。 这 将 按 预 期 失 败 。 如 前 所 述 ， S 4 U 2 s e l f 交 换 机 仍 将 服 务 票 证 返 回 给 用 户 2 的 S e r v i c e 1 ， 但 是 由 于 服 务 的 委 派 限 制 和 用 户 免 受 委 派 的 保 护 ， 未 设 置 该 票 证 的 F o r w a r d a b l e 标 志 。 当 票 证 在 S 4 U 2 p r o x y 交 换 中 用 作 证 据 时 ， 这 会 导 致 错 误 。 命 令 ： 命 令 ： 。   i m p a c k e t     e x a m p l e s     g e t S T . p y   - s p n   c i f s   /   S e r v i c e 2 . t e s t . l o c a l - 模 拟 U s e r 2 - 哈 希 < L M ： N T L M 哈 希 >   - a e s K e y < A E S 哈 希 >   t e s t . l o c a l   /   S e r v i c e 1 执 行 ： 执 行 ： 我 们 所 有 人 都 在 等 待 的 时 刻 ： 让 我 们 运 行 漏 洞 利 用 程 序 ！ 这 是 我 们 攻 击 路 径 的 第 4 步 。 我 们 将 重 复 前 面 的 命 令 ， 但 是 这 次 包 括 - f o r c e - f o r w a r d a b l e 命 令 行 参 数 。 命 令 ： 命 令 ： 。   i m p a c k e t     e x a m p l e s     g e t S T . p y   - s p n   c i f s   /   S e r v i c e 2 . t e s t . l o c a l - 模 拟 U s e r 2 - 哈 希 < L M ： N T L M   h a s h >   - a e s K e y < A E S   h a s h >   t e s t . l o c a l   /   S e r v i c e 1   - f o r c e - f o r w a r d a b l e 执 行 ： 执 行 ：
哇 ！ 激 动 人 心 的 东 西 ！ 让 我 们 专 注 于 几 行 输 出 ： 来 自 S 4 U 2 自 身 标 志 的 服 务 票 证 ： 0 0 0 0 0 0 0 0 1 0 1 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 S 4 U 2 s e l f 的 服 务 票 不 可 转 发 强 制 服 务 票 证 可 转 发 修 改 后 的 服 务 票 证 标 志 ： 0 1 0 0 0 0 0 0 1 0 1 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 现 在 可 以 转 发 来 自 S 4 U 2 s e l f 的 服 务 票 证 通 过 包 含 - f o r c e - f o r w a r d a b l e 标 志 ， 该 漏 洞 利 用 会 自 动 执 行 ， 并 将 从 S 4 U 2 s e l f 交 换 机 收 到 的 服 务 票 证 转 换 为 可 转 发 票 证 。 这 是 通 过 使 用 S e r v i c e 1 的 哈 希 值 解 密 票 证 ， 将 标 志 值 的 第 二 个 位 从 0 更 改 为 1 并 重 新 加 密 票 证 来 完 成 的 。 此 可 转 发 票 证 在 S 4 U 2 p r o x y 交 换 中 发 送 ， 并 且 作 为 U s e r 2 的 S e r v i c e 2 的 服 务 票 证 被 返 回 并 写 入 U s e r 2 . c c a c h e 的 磁 盘 。 接 下 来 ， 我 们 将 使 用 M i m i k a t z 将 服 务 票 证 加 载 到 票 证 缓 存 中 以 供 使 用 。 加 载 后 ， 我 们 将 看 到 M i m i k a t z 确 认 这 是 U s e r 2 到 S e r v i c e 2 的 c i f s 服 务 的 有 效 票 证 。 命 令 ： 命 令 ： 。   m i m i k a t z     m i m i k a t z . e x e   “   k e r b e r o s   : :   p t c   U s e r 2 . c c a c h e ” 退 出 执 行 ： 执 行 ：
将 服 务 票 证 添 加 到 缓 存 后 ， 我 们 现 在 就 可 以 像 访 问 U s e r 2 一 样 访 问 S e r v i c e 2 了 。 我 们 拥 有 U s e r 2 在 S e r v i c e 2 上 的 所 有 权 限 。 我 们 将 使 用 M a r k   R u s s i n o v i c h 的 P S E x e c 在 S e r v i c e 2 服 务 器 上 获 取 P o w e r S h e l l 会 话 ， 并 运 行 一 些 命 令 。 这 是 攻 击 路 径 的 最 后 第 五 步 。 命 令 ： 命 令 ： l s     s e r v i c e 2 . t e s t . l o c a l     c   $ 。   P S T o o l s     P s E x e c 6 4 . e x e     s e r v i c e 2 . t e s t . l o c a l     p o w e r s h e l l . e x e 执 行 ： 执 行 ：
我 们 终 于 得 到 它 了 。 我 们 已 经 翻 转 并 滥 用 了 K e r b e r o s 委 派 ， 以 通 过 模 仿 受 保 护 的 用 户 来 提 升 我 们 的 特 权 并 损 害 其 他 服 务 。 示 例 攻 击 ＃ 2 让 我 们 探 索 具 有 不 同 起 始 条 件 的 另 一 条 攻 击 路 径 。 在 这 种 情 况 下 ， 我 们 将 看 到 成 功 折 衷 S e r v i c e 2 所 需 的 全 部 A D 中 S e r v i c e 2 对 象 的 写 权 限 。 环 境 配 置 我 们 将 继 续 使 用 上 一 个 示 例 中 的 环 境 ， 并 进 行 一 些 修 改 。 目 标 U s e r 2 帐 户 可 以 保 留 其 配 置 为 “ 受 保 护 的 用 户 ” 成 员 的 身 份 ， 或 使 用 “ 帐 户 敏 感 且 无 法 委 派 ” 属 性 来 保 持 其 配 置 。 首 先 ， 删 除 S e r v i c e 1 的 委 派 权 限 。 连 接 到 D C 并 使 用 “ 不 信 任 此 计 算 机 进 行 委 派 ” 配 置 S e r v i c e 1 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理