搜索

[328] 2020-06-01_PTH、PTK、PTT介绍

文档创建者：s7ckTeam
浏览次数：8
最后更新：2025-01-16
2020-06-01_PTH、PTK、PTT介绍 P T H 、 P T K 、 P T T 介 绍 原 创   阿 发   a F a 攻 防 实 验 室   2 0 2 0 - 0 6 - 0 1 收 录 于 话 题   # 内 网 攻 防   , 4 3 个 P T H 简 介 不 论 是 网 站 还 是 w i n d o w s 系 统 ， 都 不 会 去 明 文 存 储 用 户 的 密 码 ， 是 最 基 本 的 一 条 安 全 准 则 。 那 么 进 行 相 关 登 录 验 证 的 时 候 ， 就 会 获 取 用 户 输 入 的 明 文 密 码 然 后 经 过 加 密 处 理 后 再 和 数 据 库 中 的 散 列 值 进 行 对 比 ， 从 而 进 行 相 关 校 验 。 所 谓 P T H 即 P a s s   t h e   H a s h 缩 写 ， 字 面 理 解 密 码 就 是 h a s h 的 意 思 。 我 们 一 般 拿 到 w i n d o w s 的 n t l m h a s h 后 会 进 行 相 关 破 解 ， 如 果 密 码 复 杂 度 高 可 能 一 般 破 解 不 容 易 ， 那 么 我 们 可 以 直 接 拿 h a s h 去 进 行 相 关 服 务 的 访 问 ， 拿 h a s h 当 作 密 码 给 服 务 器 校 验 。 总 结 一 句 话 ： 用 户 使 用 哈 希 而 不 需 要 原 始 密 码 就 能 进 行 身 份 验 证 。 p t h 攻 击 首 先 就 是 域 内 机 器 以 本 地 管 理 员 身 份 登 录 ， 这 种 情 况 进 行 p t h 的 话 ， 攻 击 的 对 象 是 其 他 的 机 器 ， 其 他 机 器 上 存 在 相 同 账 号 和 密 码 的 ， 就 会 被 拿 下 ， 这 种 情 况 很 多 ， 像 管 理 员 a d m i n i s t r a t o r 的 密 码 因 为 各 种 情 况 就 会 一 样 。 然 后 就 是 域 内 机 器 域 账 号 登 录 的 ， 这 种 n t l m 、 k e r b e r o s 等 身 份 验 证 协 议 都 会 利 用 s s o 单 点 登 录 ， 拿 到 一 个 域 账 号 的 h a s h 后 利 用 p t h 攻 击 就 可 以 访 问 相 关 服 务 ， 例 如 数 据 库 、 文 件 服 务 器 和 域 控 等 。 最 后 重 复 上 面 过 程 ， 这 个 重 复 利 用 的 过 程 可 以 叫 h a s h 喷 射 攻 击 ， 从 而 进 行 横 向 渗 透 扩 大 战 果 。 P T H 攻 击 我 们 首 先 试 一 下 本 地 用 户 的 p t h 攻 击 ， 便 于 理 解 ， p t h 不 仅 用 于 域 中 ， 工 作 组 的 局 域 网 也 可 以 尝 试 （ 也 就 是 上 面 说 的 域 内 机 器 以 本 地 管 理 员 身 份 登 录 的 情 况 ） ， 我 这 里 目 标 机 是 一 台 1 9 2 . 1 6 8 . 1 5 0 . 1 4 8 的 机 器 ， 首 先 我 们 在 攻 击 机 运 行 m i m i k a t z 获 取
n t l m h a s h ： 然 后 我 们 执 行 s e k u r l s a 模 块 下 的 p t h 命 令 ， d o m a i n 参 数 用 来 指 定 目 标 i p ， u s e r 指 定 用 户 名 ， n t l m 指 定 h a s h ： 运 行 后 会 弹 出 一 个 c m d 框 ， 这 时 运 行 相 关 命 令 就 可 以 访 问 的 目 标 机 了 ：
然 后 就 是 域 内 的 p t h 攻 击 ， 了 解 域 内 p t h 攻 击 前 ， 先 来 看 看 k b 2 8 7 1 9 9 7 补 丁 ， 这 个 补 丁 前 几 篇 笔 记 提 到 过 ， 说 是 有 了 它 l s a s s 进 程 就 不 会 再 缓 存 明 文 了 。 除 此 之 外 ， 该 补 丁 它 会 禁 止 本 地 管 理 员 与 远 程 计 算 机 连 接 ， 也 就 意 味 着 像 p s e x e c 、 w m i 、 s m b e x e c 、 s c h t a s k s 都 不 能 使 用 了 ， 远 程 主 机 的 文 件 共 享 也 无 法 访 问 ， 同 理 p t h 攻 击 也 无 法 进 行 。 但 唯 独 s i d 为 5 0 0 的 账 号 可 以 例 外 ， 它 可 以 不 受 k b 2 8 7 1 9 9 7 的 影 响 。 域 内 主 机 进 行 p t h 攻 击 时 ， 如 果 是 本 机 账 号 登 录 则 需 要 是 管 理 员 权 限 ， 如 果 是 域 内 账 号 登 录 则 需 要 属 于 本 地 管 理 员 组 。 下 面 先 以 本 地 账 号 登 录 为 例 ， 用 法 和 上 面 的 工 作 组 局 域 网 攻 击 方 法 一 样 ， 区 别 在 于 d o m a i n 跟 的 是 域 名 。 注 意 ： 非 域 账 户 而 是 本 地 管 理 员 登 录 域 内 机 器 是 可 以 在 域 内 执 行 p t h 的 ， 效 果 就 是 攻 击 其 他 机 器 存 在 相 同 密 码 的 情 况 。 例 如 域 内 机 器 以 管 理 员 a d m i n i s t r a t o r 进 行 p t h ， 域 控 机 器 的 本 地 管 理 员 密 码 一 样 ： 第 二 种 情 况 就 是 域 内 账 户 登 录 的 情 况 ， 值 得 注 意 的 是 域 内 账 户 需 要 属 于 本 地 管 理 员 组 ， 先 来 看 看 不 属 于 本 地 管 理 员 组 的 情 况 ， 执 行 w h o a m i   / g r o u p s 看 看 b u i l t i n 是 u s e r s 还 是 a d m i n i s t r a t o r s ， u s e r s 说 明 不 属 于 本 地 管 理 员 组 ， 那 么 像 m i m i k a t z 这 些 工 具 是 无 法 获 得 调 试 权 的 。
解 决 办 法 ： 使 用 本 地 管 理 员 账 户 登 录 ， 在 用 户 账 户 控 制 ， 把 域 账 号 添 加 进 去 即 可 ， w i n d o w s   s e r v e r 2 0 0 8 操 作 图 如 下 ， 其 他 版 本 机 器 都 差 不 多 ， 具 体 位 置 可 以 去 网 上 搜 索 。 添 加 后 ， 域 账 户 从 新 登 录 ， 再 次 查 看 然 后 执 行 m i m i k a t z 即 可 。 这 里 说 一 个 注 意 点 ， 就 是 我 们 没 有 进 行 p t h 攻 击 的 时 候 ， 如 果 你 执 行 d i r 这 种 命 令 是 可 以 列 出 来 相 关 内 容 的 ， 因 为 对 面 共 享 开 着 ， 一 个 网 下 ， 是 可 以 访 问 共 享 的 ， 而 进 行 了 p t h 攻 击 后 也 可 以 进 行 共 享 查 看 ， 但 有 区 别 ， 看 下 图 。
直 接 打 开 命 令 行 是 可 以 成 功 通 过 d i r 查 看 对 方 共 享 的 ， 但 如 果 是 p t h 攻 击 的 话 ， 是 新 弹 出 了 一 个 命 令 行 ， 账 号 或 密 码 错 误 时 会 提 示 你 ， 不 会 去 执 行 相 关 命 令 ， 所 以 这 里 可 以 看 出 来 p t h 弹 出 的 命 令 行 是 以 账 号 和 相 应 h a s h 去 访 问 的 ， 和 本 机 命 令 行 不 是 一 回 事 。 P T K 简 介 P T K 指 的 是 p a s s   t h e   k e y 密 码 即 密 钥 的 意 思 ， 用 密 钥 来 代 替 密 码 来 进 行 认 证 操 作 。 当 目 标 机 安 装 了 k b 2 8 7 1 9 9 7 时 ， 获 取 不 到 n t l m 时 ， 可 以 考 虑 使 用 p t k ， 在 域 中 经 常 使 用 k e r b e r o s 协 议 ， k e r b e r o s 协 议 处 理 过 程 中 加 密 等 操 作 用 到 了 密 钥 ， 因 为 密 钥 和 密 码 、 票 据 等 一 样 ， 也 会 存 在 l s a s s 进 程 中 ， 我 们 可 以 使 用 m i m i k a t z 来 提 取 密 钥 ， 有 了 密 钥 ， 我 们 就 可 以 使 用 它 冒 充 身 份 进 行 相 关 的 认 证 。 P T K 攻 击 p t k 密 钥 传 递 攻 击 使 用 的 是 k e r b e r o s 协 议 中 的 加 密 密 钥 为 基 础 进 行 的 ， 我 们 需 要 先 通 过 m i m i k a t z 等 工 具 获 取 它 的 加 密 密 钥 ， 这 里 以 m i m i k a t z 的 s e k u r l s a : : e k e y s 为 例 进 行 操 作 ， s e k u r l s a 模 块 主 要 用 来 获 取 l s a s s 进 程 中 的 一 些 信 息 ， 而 e k e y s 的 作 用 是 列 出 k e r b e r o s 的 加 密 密 钥 ， 密 钥 一 般 就 是 a e s 1 2 8 和 a e s 2 5 6 。 获 取 到 密 钥 后 ， 攻 击 和 p t h 一 样 ， 只 不 过 把 n t l m 参 数 换 成 了 a e s 2 5 6 ， 示 例 如 下 。
对 于 p t k 的 注 意 点 一 个 是 被 利 用 的 攻 击 机 需 要 装 k b 2 8 7 1 9 9 7 ， 否 则 执 行 p t h 后 会 提 示 拒 绝 访 问 。 二 是 像 d i r 这 类 命 令 需 要 跟 机 器 名 ， i p 的 话 会 报 用 户 名 密 码 错 误 。 三 是 除 了 a e s 2 5 6 ， a e s 1 2 8 也 可 以 进 行 p t h 攻 击 。 四 是 m i m i k a t z 结 果 不 能 复 制 ， 标 记 的 话 会 崩 溃 ， 可 以 使 用 l o g 把 结 果 导 出 来 。 P T T 简 介 p t t 即 p a s s   t h e   t i c k e t s 密 码 就 是 票 据 ， 在 域 中 通 过 伪 造 票 据 来 进 行 攻 击 ， 票 据 传 递 工 具 不 需 要 本 地 管 理 员 权 限 。 P T T 攻 击 这 里 还 是 以 m i m i k a t z 为 例 ， 首 先 使 用 m i m i k a t z 将 内 存 中 的 票 据 导 出 来 ， 执 行 以 下 命 令 （ 这 里 不 截 图 了 ， 输 出 结 果 把 命 令 顶 没 了 ） ： 执 行 上 述 命 令 ， 在 当 前 目 录 下 会 生 成 多 个 服 务 的 票 据 文 件 ， 以 k i r b i 为 后 缀 的 文 件 ， 它 是 w i n d o w s 下 的 票 据 文 件 ， 例 如 k r b t g t 、 c i f s 、 l d a p 等 ， 然 后 清 除 内 存 中 的 票 据 ， 将 所 需 的 票 据 文 件 注 入 到 内 存 中 即 可 。 上 面 就 是 m i m i k a t z 执 行 p t t 攻 击 的 步 骤 ， 除 此 外 还 有 类 似 的 k e k e o ( g i t h u b 搜 索 下 载 即 可 ) ， 用 法 和 m i m i k a t z 类 似 ， 通 过 域 名 、 用 户 名 、 n t h a s h 来 生 成 票 据 ， 然 后 进 行 导 入 ， 最 后 连 接 远 程 计 算 机 ， 相 关 命 令 如 下 。 p r i v i l e g e : : d e b u g s e k u r l s a : : t i c k e t s   / e x p o r t k e r b e r o s : : p u r g e k e r b e r o s : : l i s t k e r b e r o s : : p t t   " c : x x x . k i r b i "
总 结 上 面 简 单 记 录 了 p t h 、 p t k 、 p t t 的 基 本 使 用 。 p t h 攻 击 即 用 n t h a s h 代 替 密 码 ， 可 用 来 攻 击 用 户 名 和 密 码 一 样 的 机 器 ， 或 用 来 访 问 相 关 服 务 。 p t k 即 用 k e y 密 钥 来 代 替 密 码 ， w i n d o w s   s e r v e r 2 0 0 8 、 w i n 7 及 以 前 的 版 本 只 有 当 机 器 安 装 k b 2 8 7 1 9 9 7 补 丁 时 才 可 利 用 k e y 密 钥 传 递 来 进 行 攻 击 。 p t t 即 伪 造 票 据 攻 击 ， 主 要 是 生 成 高 权 限 的 票 据 然 后 导 入 内 存 进 行 利 用 。 #   运 行 k e k e o ， 生 成 票 据 文 件 t g t : : a s k   / u s e r : a d m i n i s t r a t o r   / d o m a i n : : x x x . c o m   / n t l m : x x x x x x x x x x x x x x x x x x x x x #   然 后 清 除 机 器 内 存 中 的 票 据 k e r b e r o s : : p u r g e #   将 票 据 导 入 内 存 k e r b e r o s : : p t t   x x x x x . k i r b i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理