搜索

[11172] 2017-03-26_一种会话劫持技术通杀全部Windows版本，但这真的是漏洞吗…

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2017-03-26_一种会话劫持技术通杀全部Windows版本，但这真的是漏洞吗… 一 种 会 话 劫 持 技 术 通 杀 全 部 W i n d o w s 版 本 ， 但 这 真 的 是 漏 洞 吗 … k u m a   F r e e B u f   2 0 1 7 - 0 3 - 2 6 大 家 知 道 本 地 系 统 访 问 权 限 的 大 家 知 道 本 地 系 统 访 问 权 限 的 W i n d o w s 用 户 可 以 重 置 其 他 用 户 的 密 码 ， 但 其 实 ， 本 地 权 限 用 户 还 可 以 劫 持 其 他 用 户 的 会 话 用 户 可 以 重 置 其 他 用 户 的 密 码 ， 但 其 实 ， 本 地 权 限 用 户 还 可 以 劫 持 其 他 用 户 的 会 话 呢 ， 包 括 管 理 员 用 户 ， 而 这 个 过 程 不 需 要 知 道 用 户 密 码 。 呢 ， 包 括 管 理 员 用 户 ， 而 这 个 过 程 不 需 要 知 道 用 户 密 码 。         以 色 列 安 全 研 究 员 A l e x a n d e r   K o r z n i k o v 在 个 人 博 客 中 披 露 ， 本 地 高 权 限 用 户 可 以 劫 持 任 何 已 登 录 W i n d o w s 用 户 会 话 ， 而 不 需 要 知 晓 用 户 密 码 ， 所 需 工 具 也 仅 仅 是 内 置 命 令 行 工 具 。 即 便 已 登 录 用 户 权 限 较 高 ， 也 难 以 幸 免 。 发 现 过 程 发 现 过 程 首 先 我 们 来 看 段 视 频 ： R D P 劫 持 有 s e t h c 后 门 的 主 机 K o r z n i k o v 最 近 在 研 究 s e t h c / u t i l m a n 登 录 界 面 后 门 ， 基 本 上 每 次 都 只 用 到 了 命 令 行 。 一 个 偶 然 的 情 况 下 ， K o r z n i k o v 查 看 了 任 务 管 理 器 （ t a s k m g r . e x e ） 中 的 用 户 项 ， 然 后 点 击 “ 连 接 ” ， 居 然 真 的 可 以 连 上 选 中 用 户 的 会 话 。
K o r z n i k o v 再 用 本 地 管 理 员 权 限 尝 试 ， 发 现 这 时 就 需 要 用 户 密 码 了 。 注 意 事 项 注 意 事 项 1 .   必 须 要 有 全 面 控 制 访 问 权 限 或 者 能 够 连 接 的 访 问 权 限 ， 来 连 接 到 另 一 个 会 话 。 2 .   用 / d e s t : < S e s s i o n N a m e > 参 数 ， 可 连 接 不 同 用 户 的 会 话 。 3 .   如 果 在 < P a s s w o r d > 参 数 中 没 有 指 定 特 定 密 码 ， 且 目 标 会 话 不 是 当 前 用 户 会 话 ， 那 么 t s c o n 就 会 失 效 。 其 实 就 是 W i n d o w s 登 录 界 面 的 粘 滞 键 是 使 用 N T   A U T H O R I T Y / S Y S T E M 用 户 身 份 运 行 的 ， 也 就 是 以 系 统 身 份 运 行 ， 拥 有 完 全 控 制 访 问 权 限 ， 可 以 连 接 到 任 一 用 户 会 话 ， 无 需 密 码 。 这 就 有 了 我 们 上 面 所 说 的 会 话 劫 持 。 这 里 最 有 趣 的 点 在 于 ， 用 这 个 技 术 去 劫 持 ， 系 统 不 会 请 求 合 法 用 户 登 出 ， 而 是 在 没 有 任 何 通 知 的 情 况 下 ， 直 接 将 用 户 踢 出 。 漏 洞 细 节 漏 洞 细 节 本 地 用 户 若 能 获 取 N T   A U T H O R I T Y / S Y S T E M 权 限 执 行 命 令 ， 就 能 够 劫 持 任 何 处 于 已 登 录 用 户 的 会 话 ， 而 无 需 获 得 该 用 户 的 登 录 凭 证 。 终 端 服 务 会 话 可 以 是 连 接 状 态 也 可 以 是 未 连 接 状 态 。 K o r z n i k o v 认 为 这 是 个 高 危 漏 洞 ， 可 允 许 任 何 本 地 管 理 员 劫 持 会 话 并 访 问 ： 1 .   域 管 理 员 会 话 ； 2 .   被 劫 持 用 户 正 在 处 理 的 任 何 未 保 存 文 件 ； 3 .   被 劫 持 用 户 先 前 登 录 的 任 何 其 他 系 统 或 应 用 （ 可 能 包 括 其 他 远 程 桌 面 会 话 、 网 络 共 享 映 射 、 需 要 其 他 登 录 凭 证 的 应 用 、 邮
箱 等 ） 实 现 条 件 实 现 条 件 要 成 功 利 用 ， 攻 击 者 必 须 物 理 接 触 目 标 设 备 ； 不 过 ， 用 R D P 会 话 ， 也 可 以 远 程 实 现 攻 击 。 影 响 版 本 影 响 版 本 W i n d o w s   2 0 1 6 （ 推 特 用 户 @ G o s s i T h e D o g 证 实 ） W i n d o w s   2 0 1 2   R 2 W i n d o w s   2 0 0 8 W i n d o w s   1 0 W i n d o w s   7 P o C 用 命 令 行 实 现 ， 这 个 微 软 文 档 可 以 帮 助 我 们 ： h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 7 7 1 5 0 5 ( v = w s . 1 1 ) . a s p x 实 现 这 些 只 需 要 N T   A U T H O R I T Y / S Y S T E M 命 令 行 。 用 p s e x e c 很 容 易 实 现 ， 但 前 提 是 要 有 p s e x e c . e x e p s e x e c   - s   l o c a l h o s t   c m d 另 一 种 方 法 是 创 建 一 个 服 务 ， 来 连 接 目 标 会 话 。 1 .   获 取 所 有 会 话 信 息 ： C : W i n d o w s s y s t e m 3 2 > q u e r y   u s e r   U S E R N A M E                             S E S S I O N N A M E                 I D     S T A T E       I D L E   T I M E     L O G O N   T I M E   a d m i n i s t r a t o r                                                           1     D i s c                         1     3 / 1 2 / 2 0 1 7   3 : 0 7   P M > l o c a l a d m i n                         r d p - t c p # 5 5                     2     A c t i v e                     .     3 / 1 2 / 2 0 1 7   3 : 1 0   P M C : W i n d o w s s y s t e m 3 2 > 2 .   创 建 劫 持 用 户 会 话 的 服 务 C : W i n d o w s s y s t e m 3 2 > s c   c r e a t e   s e s s h i j a c k   b i n p a t h =   " c m d . e x e   / k   t s c o n   1   / d e s t : r d p - t c p # 5 5 " [ S C ]   C r e a t e S e r v i c e   S U C C E S S 3 .   启 动 服 务 n e t   s e t a r t   s e s s h i j a c k 之 后 ， 当 前 会 话 就 会 替 换 成 目 标 视 频 视 频
用 命 令 行 在 W i n d o w s 7 上 实 现 用 创 建 服 务 在 W i n d o w s 1 2   R 2 上 实 现 这 个 真 的 是 漏 洞 么 ？ 这 个 真 的 是 漏 洞 么 ？ K o r z n i k o v 发 现 的 这 个 问 题 并 不 完 全 是 新 的 ， 六 年 前 ， 有 个 名 叫 B e n j a m i n   D e l p y 的 法 国 安 全 研 究 员 也 在 自 己 的 博 客 中 记 录 了 类 似 的 用 户 会 话 劫 持 技 术 。 所 以 ， 其 实 微 软 早 就 意 识 到 这 个 问 题 的 存 在 了 ， 不 过 微 软 很 可 能 没 有 将 其 视 为 漏 洞 ， 毕 竟 需 要 目 标 设 备 的 本 地 管 理 员 权 限 ， 微 软 很 可 能 认 为 这 是 操 作 系 统 应 有 的 行 为 。 安 全 研 究 员 观 点 安 全 研 究 员 观 点 可 能 有 人 会 认 为 这 不 算 漏 洞 。 但 K o r z n i k o v 认 为 它 还 是 有 很 高 的 利 用 价 值 ， 他 举 了 个 例 子 来 说 明 ： 某 银 行 职 员 能 够 访 问 账 务 系 统 ， 并 有 登 录 凭 证 。 某 天 ， 该 职 员 正 常 来 上 班 ， 登 录 账 务 系 统 ， 并 开 始 日 常 的 工 作 。 然 后 ， 到 吃 饭 的 点 了 ， 他 就 锁 定 了 工 作 站 ， 吃 饭 去 了 。 这 时 候 ， 某 系 统 管 理 员 接 近 该 员 工 的 工 作 站 ， 然 后 用 管 理 员 账 户 登 录 。 根 据 银 行 的 政 策 ， 管 理 员 账 户 不 能 访 问 账 务 系 统 ， 但
是 只 需 要 几 行 内 置 命 令 ， 这 个 管 理 员 就 可 以 劫 持 去 吃 饭 的 员 工 锁 定 的 桌 面 。 得 手 之 后 ， 这 个 管 理 员 就 可 以 以 账 务 员 工 身 份 在 账 户 系 统 中 为 所 欲 为 。 K o r z n i k o v 认 为 像 这 样 的 例 子 还 有 很 多 啊 ！ 而 且 ， 攻 击 者 不 需 要 m e t a s p l o i t 、 i n c o g n i t o 、 m i m i k a t z 这 样 的 工 具 ， 只 要 内 置 命 令 就 可 以 ！ 每 一 个 管 理 员 都 可 以 伪 装 成 任 何 登 录 用 户 ， 这 个 可 以 在 物 理 访 问 的 情 况 下 实 现 ， 也 可 以 通 过 远 程 桌 面 协 议 实 现 。 K o r z n i k o v 还 就 这 个 问 题 跟 6 年 前 的 发 现 者 B e n j a m i n   D e l p y 沟 通 了 一 番 ， D e l p y 认 为 ： “ 这 是 正 常 的 W i n d o w s   A P I ， 这 就 是 设 计 流 程 ， 他 们 就 这 样 用 。 像 你 之 前 提 到 的 一 样 ， 如 果 你 是 管 理 员 ， 你 什 么 都 能 做 。 那 么 你 为 什 么 成 为 管 理 员 以 及 如 何 成 为 管 理 员 ？ 如 果 某 个 低 权 限 用 户 本 地 提 权 成 为 管 理 员 ， 那 才 是 问 题 ， 并 不 是 我 们 讨 论 的 设 计 流 程 。 你 什 么 都 能 做 ， 你 还 可 以 修 改 终 端 服 务 ， 让 该 服 务 接 受 你 的 t o k e n 并 允 许 影 子 模 式 ， 而 用 户 完 全 不 会 知 道 这 个 事 情 。 ” * 参 考 来 源 ： t h e h a c k e r n e w s 、 k o r z n i k o v 的 博 客 ， F B 小 编 k u m a 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理