搜索

[12543] 2018-04-03_在你的内网中获得域管理员权限的五种方法

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-04-03_在你的内网中获得域管理员权限的五种方法 在 你 的 内 网 中 获 得 域 管 理 员 权 限 的 五 种 方 法 s e c i s t   F r e e B u f   2 0 1 8 - 0 4 - 0 3 早 在 早 在 2 0 1 3 年 年 9 月 ， 蜘 蛛 实 验 室 （ 月 ， 蜘 蛛 实 验 室 （   S p i d e r   L a b s ） 就 发 表 过 一 篇 题 为 ） 就 发 表 过 一 篇 题 为 “ S p i d e r L a b s 在 你 内 网 中 获 取 域 管 的 五 大 方 在 你 内 网 中 获 取 域 管 的 五 大 方 式 式 ” 的 文 章 。 这 篇 文 章 是 我 继 该 文 的 ， 应 该 说 是 非 官 方 的 的 文 章 。 这 篇 文 章 是 我 继 该 文 的 ， 应 该 说 是 非 官 方 的 “ P a r t   2 ” 部 分 。 部 分 。 1 . N e t b i o s 和 和 L L M N R   N a m e   P o i s o n i n g （ 中 毒 攻 击 ） （ 中 毒 攻 击 ） 虽 说 如 今 N e t b i o s / L L M N R 并 不 像 2 0 1 3 年 那 么 盛 行 ， 但 在 测 试 中 绝 大 多 数 人 都 能 通 过 此 类 攻 击 ， 获 取 N T L M v 1 和 N T L M v 2 哈 希 值 并 对 对 其 进 行 破 解 利 用 。 你 可 以 借 助 像 h a t e _ c r a c k 这 样 的 高 级 框 架 ， 来 帮 助 你 完 成 对 哈 希 值 的 破 解 任 务 。 我 个 人 通 常 使 用 的 都 是 一 些 通 用 的 字 典 列 表 ， 例 如 ”   u n i q p a s s “ 以 及 常 用 h a s h c a t 规 则 集 “ b a s e 6 4 ” 。 但 并 不 是 所 有 密 码 都 能 被 破 解 的 ， 对 于 一 些 强 制 性 的 复 杂 密 码 类 型 ， 我 们 往 往 别 无 选 择 。 R e s p o n d e r 可 以 说 是 与 m i t m 中 毒 和 欺 骗 攻 击 相 关 首 选 工 具 。 目 前 该 项 目 仍 然 由 L a u r e n t   G a f f i e 维 护 。 I n v e i g h 是 一 款 W i n d o w s   P o w e r S h e l l 的 L L M N R / N B N S 协 议 欺 骗 / 中 间 人 工 具 。 它 的 核 心 是 一 个 . N E T 数 据 包 嗅 探 器 ， 它 侦 听 并 响 应 L L M N R / m D N S / N B N S 请 求 ， 同 时 还 会 通 过 W i n d o w s   S M B 服 务 捕 获 传 入 的 N T L M v 1 / N T L M v 2 身 份 验 证 尝 试 。 2 . 中 继 攻 击 中 继 攻 击 较 新 的 M u l t i R e l a y 工 具 目 前 是 由 L a u r e n t   G a f f i e 维 护 的 。 但 我 个 人 更 喜 欢 i m p a c k e t 的 工 具 ， 用 于 中 继 和 其 他 渗 透 测 试 需 求 。 我 发 现 I m p a c k e t 的 工 具 ， 在 大 多 数 u n i x 上 以 及 在 M a c O S 本 地 运 行 都 非 常 的 可 靠 和 稳 定 。 与 其 他 免 费 的 开 源 工 具 相 比 ， 这 些 工 具 在 主 机 上 执 行 时 会 留 下 的 痕 迹 也 相 对 小 很 多 （ 如 果 你 考 虑 这 方 面 的 问 题 ， 那 么 无 疑 这 是 一 个 最 佳 的 选 择 ） 。 你 可 以 安 装 i m p a c k e t ， 为 你 的 测 试 做 准 备 。 S M B 中 继 解 释 ： 中 继 解 释 ： s m b r e l a y x . p y 在 S M B R e l a y 攻 击 中 ， 攻 击 者 要 以 中 间 人 攻 击 方 式 来 实 施 。 攻 击 者 等 待 某 人 来 验 证 在 他 网 络 上 的 目 标 服 务 器 。 这 样 一 来 可 以 利 用 漏 洞 扫 描 器 + 管 理 员 自 动 验 证 主 机 脚 本 。 当 自 动 化 进 程 连 接 到 攻 击 者 ， 他 通 过 他 的 目 标 ( 网 络 上 的 其 他 系 统 ， 也 许 是 服 务 器 ) 进 行 身 份 验 证 。 目 标 会 产 生 c h a l l e n g e ， 并 将 其 发 送 给 攻 击 者 。 攻 击 者 发 送 c h a l l e n g e 回 到 原 始 扫 描 系 统 。 扫 描 系 统 拥 有 哈 希 值 的 加 密 功 能 正 确 密 码 的 哈 希 值 会 将 其 发 送 给 攻 击 者 。 攻 击 者 传 递 正 确 的 加 密 的 响 应 返 回 给 他 的 目 标 ， 并 成 功 验 证 。 阻 止 这 种 攻 击 的 唯 一 方 法 是 强 制 执 行 服 务 器 S P N 检 查 禁 用 S M B 端 口 。 当 然 了 ， 你 也 可 以 选 择 禁 用 S M B 的 数 据 输 出 端 口 ： 1 3 7 ， 1 3 8 ， 1 2 9 和 4 4 5 ， 使 用 一 些 主 机 签 名 和 数 据 包 签 名 ， 或 启 用 一 些 额 外 的 保 护 措 施 。 N T L M 中 继 解 释 ： 中 继 解 释 ： n t l m r e l a y x . p y 用 户 请 求 访 问 。 用 户 尝 试 通 过 提 供 用 户 凭 据 登 录 到 客 户 端 。 登 录 前 ， 客 户 端 计 算 机 缓 存 密 码 的 哈 希 值 并 放 弃 密 码 。 客 户 端 向 服 务 器 发 送 一 个 请 求 ， 该 请 求 包 括 用 户 名 以 及 纯 文 本 格 式 的 请 求 。 服 务 器 发 送 质 询 消 息 。 服 务 器 生 成 一 个 称 为 质 询 的   1 6   字 节 随 机 数 （ 即   N O N C E ） ， 并 将 它 发 送 到 客 户 端 。 客 户 端 发 送 应 答 消 息 。 客 户 端 使 用 由 用 户 的 密 码 生 成
的 一 个 密 码 哈 希 值 来 加 密 服 务 器 发 送 的 质 询 。 它 以 应 答 的 形 式 将 这 个 加 密 的 质 询 发 回 到 服 务 器 。 服 务 器 将 质 询 和 应 答 发 送 到 域 控 制 器 。 服 务 器 将 用 户 名 、 原 始 质 询 以 及 应 答 从 客 户 端 计 算 机 发 送 到 域 控 制 器 。 域 控 制 器 比 较 质 询 和 应 答 以 对 用 户 进 行 身 份 验 证 。 域 控 制 器 获 取 该 用 户 的 密 码 哈 希 值 ， 然 后 使 用 该 哈 希 值 对 原 始 质 询 进 行 加 密 。 接 下 来 ， 域 控 制 器 将 加 密 的 质 询 与 客 户 端 计 算 机 的 应 答 进 行 比 较 。 如 果 匹 配 ， 域 控 制 器 则 发 送 该 用 户 已 经 过 身 份 验 证 的 服 务 器 确 认 。 服 务 器 向 客 户 端 发 送 应 答 。 假 定 凭 据 有 效 ， 服 务 器 授 予 对 所 请 求 的 服 务 或 资 源 的 客 户 端 访 问 权 。 N T L M 身 份 验 证 是 一 个 复 杂 的 协 议 ， 这 里 h t t p : / / d a v e n p o r t . s o u r c e f o r g e . n e t / n t l m . h t m l 提 供 了 非 常 详 细 的 说 明 。 S M B R e l a y 和 较 新 的 攻 击 都 利 用 了 S M B 签 名 ， 并 允 许 特 权 用 户 通 过 S M B / N T L M 身 份 验 证 机 制 进 行 身 份 验 证 。 需 要 注 意 的 是 ， 在 不 同 网 络 上 的 W i n d o w s 主 机 列 表 包 含 的 目 标 很 重 要 。 我 有 一 个 很 好 的 技 巧 就 是 以 随 机 方 式 创 建 非 签 名 主 机 的 目 标 列 表 下 面 的 主 机 ， 使 我 能 更 快 的 获 取 域 管 允 许 域 用 户 本 地 管 理 员 访 问 S Q L 服 务 器 ， 该 服 务 器 与 域 控 制 器 共 享 相 同 的 本 地 管 理 员 密 码 默 认 情 况 下 ， 如 果 不 指 定 要 执 行 的 二 进 制 文 件 ， 默 认 情 况 下 ， 如 果 不 指 定 要 执 行 的 二 进 制 文 件 ， n t l m r e a l y x 将 运 行 将 运 行 s e c r e t s d u m p s 。 。 成 功 执 行 N T L M 中 继 后 ， 你 会 在 执 行 n t m r e l a y x 的 目 录 中 找 到 名 为 “ I P _ s a m h a s h e s ” 的 哈 希 文 件 。 拿 到 哈 希 后 ， 我 使 用 i m p a c k e t 的 w m i e x e c . p y 脚 本 ， 利 用 p a s s - t h e - h a s h 技 术 最 终 获 得 了 D A
在 上 面 的 场 景 中 ， 我 能 够 将 凭 据 从 一 个 网 络 中 继 到 另 一 个 网 络 ， 并 检 索 可 以 通 过 w m i e x e c . p y 传 递 的 管 理 员 散 列 。 并 且 可 以 让 我 在 不 破 解 哈 希 的 情 况 下 ， 直 接 获 取 域 管 理 员 权 限 。 3 . M S 1 7 - 0 1 0 n m a p   - P n   - p 4 4 5   -   o p e n   -   m a x - h o s t g r o u p   3   -   s m b - v u l n - m s 1 7 - 0 1 0   s c r i p t E T E R N A L B L U E ， E T E R N A L C H A M P I O N ， E T E R N A L R O M A N C E 和 E T E R N A L S Y N E R G Y 是 2 0 1 7 年 4 月 1 4 日 S h a d o w   B r o k e r s 泄 露 出 的 四 个 N S A 威 胁 漏 洞 。 W a n n a C r y / W a n n a C r y p t 是 一 个 利 用 E T E R N A L B L U E 漏 洞 进 行 传 播 的 “ 蠕 虫 式 ” 勒 索 病 毒 软 件 ， E t e r n a l R o c k s 比 比 勒 索 病 毒 W a n n a C r y 更 隐 蔽 危 害 也 更 大 ， W a n n a C r y 只 利 用 了 2 个 漏 洞 ， 而 E t e r n a l R o c k s 则 利 用 了 7 个 漏 洞 。 P e t y a 也 是 一 个 勒 索 病 毒 程 序 ， 首 先 它 会 利 用 M i c r o s o f t   O f f i c e 中 的 C V E - 2 0 1 7 - 0 1 9 9 漏 洞 ， 然 后 通 过 E T E R N A L B L U E 进 行 传 播 。 4 .   K e r b e r o a s t i n g
我 曾 多 次 成 功 在 A c t i v e   D i r e c t o r y 域 环 境 中 ， 使 用 被 称 之 为 K e r b e r o a s t i n g 的 攻 击 来 提 升 权 限 。 T i m   M e d i n 在 S A N S H a c k f e s t   2 0 1 4 上 展 示 了 这 种 技 术 ， 从 那 以 后 也 出 现 了 许 多 与 该 技 术 细 节 相 关 的 精 彩 文 章 和 会 议 讲 座 。 M i c r o s o f t 的 K e r b e r o s 实 现 可 能 有 点 复 杂 ， 其 主 要 利 用 了 旧 版 W i n d o w s 客 户 端 的 传 统 A c t i v e   D i r e c t o r y 支 持 ， 以 及 使 用 的 加 密 类 型 和 用 于 加 密 和 签 署 K e r b e r o s 票 据 的 k e y   m a t e r i a l 。 实 质 上 ， 当 域 帐 户 被 配 置 为 在 环 境 中 运 行 服 务 时 （ 例 如 M S S Q L ） ， 服 务 主 体 名 称 （ S P N ） 在 域 中 被 使 用 将 服 务 与 登 录 帐 户 相 关 联 。 当 用 户 想 要 使 用 特 定 资 源 时 ， 他 们 会 收 到 一 个 当 前 运 行 该 服 务 帐 户 的 N T L M 哈 希 和 签 名 的 K e r b e r o s 票 据 。 下 面 的 例 子 来 自 m u b i x 的 网 站 ： 5 . m i t m 6 M i t m 6 是 一 个 非 常 强 大 的 工 具 ， 用 于 在 典 型 的 W i n d o w s 广 播 网 络 上 获 取 和 提 升 权 限 。 当 其 他 攻 击 都 失 败 时 ， 你 可 以 尝 试 s m b r e l a y   +   m i t m 6 或 n t l m r e a y x 攻 击 。 总 之 请 发 挥 你 的 想 象 力 ， 你 将 收 获 意 想 不 到 的 惊 喜 ！ 与 与 n t l m r e l a y x 的 用 法 ： 的 用 法 ： m i t m 6 与 n t l m r e l a y x 应 该 说 是 最 好 的 拍 档 。 在 这 种 情 况 下 ， 目 标 D N S 会 被 欺 骗 ， 导 致 受 害 者 以 H T T P 和 S M B 的 连 接 方 式 连 接 到 n t l m r e l a y x 。 为 了 确 保 n t l m r e l a y x 在 I P v 4 和 I P v 6 上 侦 听 ， 我 们 可 以 使 用 - 6 参 数 。 要 获 取 W P A D 的 凭 据 ， 我 们 需 要 在 命 令 提 示 符 中 - w h 参 数 后 添 加 主 机 ， 并 指 定 W P A D 文 件 所 在 的 主 机 （ 因 为 D N S 服 务 器 是 m i t m 6 ， 所 以 本 地 域 中 的 任 何 不 存 在 的 主 机 名 都 可 以 使 用 ） 。 m i t m 6 是 一 个 可 以 利 用 默 认 W i n d o w s 配 置 ， 接 管 默 认 D N S 服 务 器 的 渗 透 测 试 工 具 。 首 先 让 m i t m 6 开 始 在 攻 击 者 机 器 的 主 接 口 上 侦 听 ， 并 通 过 D H C P v 6 向 W i n d o w s 客 户 端 请 求 I P v 6 配 置 。 m i t m 6 将 会 应 答 这 些 D H C P v 6 请 求 ， 并 为 受 害 者 分 配 本 地 链 路 范 围 内 的 I P v 6 地 址 。 而 在 实 际 的 I P v 6 网 络 中 ， 这 些 地 址 由 主 机 本 身 自 动 分 配 ， 不 需 要 由 D H C P 服 务 器 来 配 置 ， 这 使 得 我 们 有 机 会 将 攻 击 者 I P 设 置 为 受 害 者 的 默 认 I P v 6   D N S 服 务 器 ， 并 将 受 害 者 流 量 重 定 向 到 攻 击 者 机 器 而 不 是 合 法 服 务 器 。 有 关 攻 击 的 完 整 说 明 ， 请 参 阅 我 们 关 于   m i t m 6 的 博 文 。 * 参 考 来 源 ： m e d i u m ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理