搜索

[21182] 2020-08-07_AD域SSP安全防护

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2020-08-07_AD域SSP安全防护 A D 域 S S P 安 全 防 护 L e m o n S e c   2 0 2 0 - 0 8 - 0 7 一 、 简 介 一 、 简 介 　 　 S S P （ （ S e c u r i t y   S u p p o r t   P r o v i d e r ） 是 ） 是 w i n d o w s 操 作 系 统 安 全 机 制 的 提 操 作 系 统 安 全 机 制 的 提 供 者 。 简 单 的 说 ， 供 者 。 简 单 的 说 ， S S P 就 是 就 是 D L L 文 件 ， 主 要 用 于 文 件 ， 主 要 用 于 w i n d o w s 操 作 系 统 的 身 份 认 证 功 能 ， 例 如 操 作 系 统 的 身 份 认 证 功 能 ， 例 如 N T L M 、 、 K e r b e r o s 、 、 N e g o t i a t e 、 、 S e c u r e   C h a n n e l （ （ S c h a n n e l ） 、 ） 、 D i g e s t 、 、 C r e d e n t i a l （ （ C r e d S S P ） ） 。 。 　 　 S S P I （ S e c u r i t y   S u p p o r t   P r o v i d e r   I n t e r f a c e ， 安 全 支 持 提 供 程 序 接 口 ） 是 w i n d o w s 操 作 系 统 在 执 行 认 证 操 作 时 使 用 的 A P I 接 口 。 可 以 说 S S P I 就 是 S S P 的 A P I 接 口 。         如 果 获 得 目 标 系 统 s y s t e m 权 限 ， 可 以 使 用 该 方 法 进 行 持 久 化 操 作 。 其 主 要 原 理 是 ： L S A （ L o c a l   S e c u r i t y   A u t h o r i t y ） 用 于 身 份 验 证 ； l s a s s . e x e 作 为 w i n d o w s 的 系 统 进 程 ， 用 于 本 地 安 全 和 登 录 策 略 ； 在 系 统 启 动 时 ， S S P 将 被 加 载 到 l s a s s . e x e   进 程 中 。 但 是 ， 假 如 攻 击 者 对 L S A 进 行 了 扩 展 ， 自 定 义 了 恶 意 的 D L L 文 件 ， 在 系 统 启 动 时 将 其 加 载 到 l s a s s . e x e 进 程 中 ， 就 能 够 获 取 l s a s s . e x e 进 程 中 的 明 文 密 码 。 这 样 即 使 用 户 更 改 密 码 并 重 新 登 录 ， 攻 击 者 依 然 可 以 获 得 该 账 号 的 新 密 码 。   二 、 实 验 操 作 二 、 实 验 操 作 实 验 一 ：     使 用 m i m i k a t z 将 伪 造 的 S S P 注 入 内 存 ， 这 样 做 不 会 在 系 统 中 留 下 二 进 制 文 件 ， 但 如 果 域 控 制 器 重 启 ， 被 注 入 内 存 的 伪 造 的 S S P 将 会 丢 失 。           注 销 当 前 用 户 重 新 登 录 ， 即 可 获 取 明 文 密 码 ， 密 码 存 储 在 日 志 文 件 C : W i n d o w s s y s t e m 3 2 m i m i l s a . l o g 中 。 t y p e   C : W i n d o w s s y s t e m 3 2 m i m i l s a . l o g   实 验 二 ：     将 m i m i k a t z 中 的 m i m i l i b . d l l   放 到 系 统 的 C : W i n d o w s s y s t e m 3 2 目 录 下 （ D L L 的 位 数 需 要 与 w i n d o w s 位 数 相 同 ） ， 并 将 m i m i l i b . d l l 添 加 到 注 册 表 中 ， 使 用 此 方 法 即 使 系 统 重 启 ， 也 不 会 影 响 到 持 久 化 的 效 果 。 c o p y   m i m i l i b . d l l   % s y s t e m r o o t % s y s t e m 3 2 r e g   q u e r y   h k l m s y s t e m c u r r e n t c o n t r o l s e t c o n t r o l l s a   / v   " S e c u r i t y   P a c k a g e s " r e g   a d d   " h k l m s y s t e m c u r r e n t c o n t r o l s e t c o n t r o l l s a "   / v   " S e c u r i t y   P a c k a g e s "   / d " k e r b e r o s 0 m s v 1 _ 0 0 s c h a n n e l 0 w d i g e s t 0 t s p k g 0 p k u 2 u 0 m i m i l i b "   / t   R E G _ M U L T I _ S Z 注 意 ： 最 后 一 步 修 改 注 册 表 需 要 在 p o w e r s h e l l 中 操 作 ， c m d 下 会 报 错 。   p r i v i l e g e : : d e b u g   m i s c : : m e m s s p
查 看 注 册 表 h k l m s y s t e m c u r r e n t c o n t r o l s e t c o n t r o l l s a S e c u r i t y   P a c k a g e s 项 的 值 。 系 统 重 启 后 ， 若 d l l 被 成 功 加 载 ， 用 户 在 登 录 时 输 入 的 账 号 和 密 码 明 文 就 会 被 记 录 在 C : W i n d o w s s y s t e m 3 2 k i w i s s p . l o g 中 。 t y p e   C : W i n d o w s s y s t e m 3 2 k i w i s s p . l o g   参 考 链 接 ： h t t p s : / / w w w . c n b l o g s . c o m / w e b s e c y w / p / 1 1 8 0 4 6 2 4 . h t m l h t t p s : / / w w w . c n b l o g s . c o m / x i a o z i / p / 1 1 8 3 4 3 2 7 . h t m l   三 、 安 全 防 御 措 施 1 . 检 查 注 册 表 h k l m s y s t e m c u r r e n t c o n t r o l s e t c o n t r o l l s a S e c u r i t y   P a c k a g e s 位 置 是 否 存 在 可 疑 d l l 。
2 . 检 测 % w i n d i r % S y s t e m 3 2   是 否 有 可 疑   d l l 3 . 使 用 第 三 方 工 具   A u t o r u n s   检 测   L S A 中 是 否 存 在 可 疑 d l l 。 A u t o r u n s 下 载 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / s y s i n t e r n a l s / d o w n l o a d s / a u t o r u n s 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / w e i x i n _ 4 1 0 8 2 5 4 6 / a r t i c l e / d e t a i l s / 1 0 5 9 3 0 8 2 6

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理