搜索

[27205] 2021-03-24_给大家讲个关于kerberos协议的故事...

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-19
2021-03-24_给大家讲个关于kerberos协议的故事... 给 大 家 讲 个 关 于 k e r b e r o s 协 议 的 故 事 . . . 原 创   徐 哥   M s 0 8 0 6 7 安 全 实 验 室   2 0 2 1 - 0 3 - 2 4 收 录 于 话 题   # 内 网 安 全 小 组   , 2 8 个 文 章 来 源 ｜ 文 章 来 源 ｜ M S 0 8 0 6 7   内 网 安 全 知 识 内 网 安 全 知 识 星 球 星 球 本 文 作 者 ： S p a r k （ M s 0 8 0 6 7 内 网 安 全 小 组 成 员 ） 内 网 纵 横 四 海 内 网 纵 横 四 海     认 准 认 准 M s 0 8 0 6 7 关 于 k e r b e r o s 协 议 的 原 理 网 上 的 文 章 应 该 已 经 有 很 多 了 ， 但 是 因 为 篇 幅 较 长 、 步 骤 复 杂 、 涉 及 的 名 词 缩 写 较 多 等 原 因 ， 所 以 对 初 学 者 来 说 不 是 很 友 好 。 本 文 另 寻 思 路 ， 以 故 事 的 形 式 带 大 家 由 浅 入 深 理 解 k e r b e r o s 协 议 。 故 事 背 景 ： 故 事 背 景 ： w i n d o w s 本 地 认 证 本 地 认 证 所 谓 的 本 地 认 证 也 就 是 计 算 机 自 身 的 认 证 。 计 算 机 本 身 是 如 何 进 行 认 证 的 ， 密 码 存 储 在 哪 里 ， 是 以 什 么 样 的 形 式 存 储 的 ？ 0 . 1   密 码 在 哪 里 密 码 在 哪 里 路 径 ： 当 我 们 登 录 系 统 的 时 候 ， 系 统 会 自 动 地 读 取 S A M 文 件 中 的 “ 密 码 ” 与 我 们 输 入 的 “ 密 码 ” 进 行 对 比 ， 如 果 相 同 ， 则 认 证 成 功 。 0 . 2   密 码 的 形 式 密 码 的 形 式 W i n d o w s 本 身 不 存 储 用 户 的 明 文 密 码 ， 它 会 将 用 户 的 明 文 密 码 经 过 加 密 算 法 转 换 成 N T L M   H a s h 后 存 储 在 S A M 数 据 库 中 。 当 用 户 登 录 时 ， 将 用 户 输 入 的 明 文 密 码 也 加 密 成 N T L M   H a s h ， 与 S A M 数 据 库 中 的 N T L M   H a s h 进 行 比 较 。 % S y s t e m R o o t % s y s t e m 3 2 c o n f i g s a m
上 图 是 用 p y t h o n 将 “ a d m i n 1 2 3 ” 转 换 为 N T L M   H a s h 的 形 式 。 N T L M   H a s h 长 度 3 2 位 ， 由 数 字 与 字 母 组 成 ， 是 支 持 本 地 认 证 及 N e t   N T L M 认 证 协 议 过 程 中 的 一 个 重 要 参 与 物 。 0 . 3   怎 样 进 行 认 证 怎 样 进 行 认 证 W i n d o w s   L o g o n   P r o c e s s ( 即 w i n l o g o n . e x e )   是 负 责 处 理 安 全 相 关 的 用 户 交 互 界 面 的 组 件 。 W i n l o g o n 的 工 作 包 括 加 载 其 他 用 户 身 份 安 全 组 件 、 提 供 图 形 化 的 登 陆 界 面 ， 以 及 创 建 用 户 会 话 。 L S A S S ( 本 地 安 全 认 证 子 系 统 服 务 ) 用 于 微 软 W i n d o w s 系 统 的 安 全 机 制 。 它 负 责 W i n d o w s 系 统 安 全 策 略 。 它 负 责 用 户 在 本 地 验 证 或 远 程 登 陆 时 验 证 用 户 身 份 ， 管 理 用 户 密 码 变 更 ， 并 产 生 访 问 日 志 。 整 体 流 程 如 下 ： 1 .   开 机 2 .   w i n l o g o n . e x e 显 示 输 入 用 户 名 密 码 的 图 形 化 页 面 3 .   用 户 输 入 用 户 名 密 码 4 .   l s s a s . e x e 将 密 码 加 密 为 N T L M   H a s h ， 并 与 本 地 S A M 数 据 库 中 的 N T L M   H a s h 进 行 比 较 5 .   如 果 相 同 ， 则 认 证 通 过 故 事 一 ： 故 事 一 ： w i n d o w s 网 络 认 证 网 络 认 证 在 内 网 渗 透 中 ， 经 常 遇 到 工 作 组 环 境 。 工 作 组 环 境 是 一 个 逻 辑 上 的 网 路 环 境 ， 隶 属 于 工 作 组 的 机 器 之 间 缺 少 “ 信 托 机 构 信 托 机 构 ” ， 无 法 互 相 建 立 一 个 完 美 的 信 任 机 制 ， 只 能 点 对 点 ， 是 比 较 落 后 的 认 证 方 式 。 这 里 什 么 是 信 托 机 构 ， 什 么 又 是 点 对 点 认 证 呢 ？ 下 面 有 请 故 事 主 角 张 三 。 现 张 三 有 一 笔 钱 需 要 转 给 李 四 ， 他 需 要 有 权 限 访 问 到 李 四 的 钱 包 ， 然 后 把 钱 放 进 去 。 1 . 1   存 在 信 托 机 构 的 情 况 存 在 信 托 机 构 的 情 况 如 果 说 存 在 一 个 信 托 机 构 ， 比 如 银 行 。 那 么 首 先 张 三 得 是 银 行 的 一 个 合 法 用 户 ， 李 四 也 是 银 行 的 一 个 合 法 用 户 。 在 这 样 的 前 提 下 ， 张 三 访 问 李 四 的 钱 包 ， 需 要 先 通 过 银 行 的 认 证 。 1 . 2   工 作 组 环 境 的 情 况 工 作 组 环 境 的 情 况 实 际 上 信 托 机 构 就 是 指 域 控 ， 而 工 作 组 下 没 有 域 控 。 所 以 张 三 访 问 李 四 的 钱 包 ， 只 需 要 知 道 李 四 的 账 号 密 码 ， 直 接 向 李 四 发 起 访 问 请 求 即 可 。 本 节 故 事 描 述 的 就 是 工 作 组 的 情 况 ， 即 张 三 与 李 四 进 行 点 对 点 认 证 。 现 假 设 张 三 需 要 访 问 的 是 李 四 的 4 4 5 号 钱 包 （ 对 应 服 务 端 的 4 4 5 端 口 ） 。 4 4 5 端 口 对 应 的 S M B 服 务 服 务 ， 早 期 在 网 络 上 传 输 明 文 口 令 。 后 来 出 现 了 L A N   M a n a g e r   C h a l l e n g e / R e s p o n s e 验 证 机 制 ， 简 称 L M 认 证 。 它 是 如 此 简 单 以 至 于 很 容 易 就 被 破 解 。 后 来 微 软 提 出 了 W i n d o w s N T 挑 战 / 响 应 验 证 机 制 ， 称 之 为 N T L M 认 证 认 证 。 下 面 来 逐 步 理 解 这 个 N T L M 挑 战 / 响 应 验 证 机 制 。
1 . 3   N T L M   挑 战 挑 战 / 响 应 验 证 机 制 响 应 验 证 机 制 第 一 步 ： 协 商 第 一 步 ： 协 商 客 户 端 主 要 在 这 一 步 向 服 务 器 确 认 协 议 的 版 本 ， 是 v 1 还 是 v 2 ， 当 然 不 止 这 些 。 第 二 步 ： 质 询 第 二 步 ： 质 询 背 景 ： 客 户 端 拥 有 服 务 器 上 的 合 法 用 户 名 密 码 ， 并 以 此 凭 证 请 求 访 问 服 务 器 上 的 某 服 务 。   为 方 便 理 解 ， 认 证 过 程 中 相 同 的 材 料 我 用 相 同 的 颜 色 标 了 出 来 。 第 三 步 ： 验 证 第 三 步 ： 验 证 这 一 步 其 实 就 是 上 面 质 询 过 程 中 的 第 4 点 。 举 个 例 子 ， 如 图 ： 现 在 张 三 使 用 李 四 的 账 号 （ L i S i / 1 2 3 4 5 6 ） 去 访 问 李 四 的 S M B 服 务 ： 1 .   李 四 （ S e r v e r ） 接 受 到 张 三 （ C l i e n t ） 发 送 的 用 户 名 （ L i S i ） 后 ， 判 断 本 地 账 户 列 表 是 否 有 用 户 名 L i S i 。 如 果 没 有 ， 返 回 认 证 失
败 ； 如 果 有 ， 生 成 C h a l l e n g e ， 并 且 从 本 地 查 找 L i S i ， 使 用 N T L M H a s h 加 密 C h a l l e n g e ， 生 成 一 个 N e t   N T L M   H a s h 对 应 的 N T L M   H a s h 存 在 内 存 中 ， 并 将 C h a l l e n g e 发 送 给 张 三 。 2 .   张 三 接 受 到 C h a l l e n g e 后 ， 将 自 己 提 供 的 用 户 名 （ L i S i ） 的 密 码 （ 1 2 3 4 5 6 ） 转 换 为 N T L M   H a s h ， 使 用 N T L M   H a s h 加 密 C h a l l e n g e ， 这 个 结 果 叫 R e s p o n s e ， 本 质 上 也 是 N e t   N T L M   H a s h 。 最 后 将 R e s p o n s e 发 送 给 李 四 。 3 .   李 四 接 受 到 张 三 发 送 的 R e s p o n s e ， 将 R e s p o n s e 与 之 前 的 N e t   N T L M   H a s h 进 行 比 较 ， 如 果 相 等 ， 则 认 证 通 过 。 1 . 4   P a s s   T h e   H a s h 我 们 可 以 回 顾 一 下 整 个 流 程 ： 其 实 整 个 过 程 中 缺 少 了 一 样 很 重 要 的 东 西 ， 也 就 是 在 故 事 背 景 中 埋 下 过 的 一 个 小 伏 笔 ： w i n d o w s 本 身 不 存 储 明 文 密 码 本 身 不 存 储 明 文 密 码 。 我 们 根 据 结 果 逆 推 ： 如 果 需 要 正 确 的 r e s p o n s e （ 蓝 色 ） 来 通 过 认 证 ， 因 为 r e s p o n s e 本 质 上 也 是 N e t   N T L M   H a s h （ 红 色 ） 根 据 公 式 “ N e t N T L M   H a s h   =   N T L M   H a s h ( C h a l l e n g e ) ” ， 我 们 需 要 正 确 的 N T L M   H a s h （ 黄 色 ） 和 C h a l l e n g e （ 绿 色 ） 。 而 由 于 C h a l l e n g e 是 服 务 端 发 送 给 ， 只 要 我 们 拥 有 正 确 的 N T L M   H a s h ， 即 可 通 过 认 证 ， 无 需 明 文 密 码 ！ 基 于 上 述 逆 推 结 果 ， 诞 生 了 P a s s   T h e   H a s h （ 即 h a s h 传 递 攻 击 ） 。 场 景 ： 内 网 渗 透 中 获 取 不 到 明 文 密 码 、 破 解 不 了 N T L M   H a s h 而 又 想 扩 大 战 果 横 向 移 动 。 必 要 条 件 ： 需 要 服 务 端 的 用 户 名 需 要 正 确 的 N T L M   H a s h 实 验 实 验 首 先 在 服 务 端 抓 取 N T L M   H a s h ：
接 着 使 用 m s f 的 攻 击 框 架 ， 可 以 看 到 这 里 只 需 填 写 用 户 名 和 N T L M   h a s h ， 不 需 要 明 文 密 码 ： 成 功 获 取 权 限 ： 故 事 二 ： 域 认 证 故 事 二 ： 域 认 证 故 事 一 是 讲 没 有 信 托 机 构 的 情 况 ， 接 下 来 说 有 信 托 机 构 的 情 况 。 物 理 层 面 上 ， 大 家 可 以 把 信 托 机 构 看 成 是 域 控 。 域 中 的 认 证 一 般 使 用 k e r b e r o s 协 议 认 证 。 参 与 域 认 证 的 角 色 ： C l i e n t S e r v e r K D C ( K e y   D i s t r i b u t i o n   C e n t e r )   =   D C 其 中 ， 域 控 中 包 含 ： A D （ A c c o u n t   D a t a b a s e ） ： 存 储 所 有 的 c l i e n t 白 名 单 ， 只 有 存 在 于 白 名 单 的 c l i e n t 才 能 顺 利 申 请 到 T G T 。 A S （ A u t h e n t i c a t i o n   S e r v i c e ） ： 为 c l i e n t 生 成 T G T 的 服 务 。 T G S （ T i c k e t   G r a n t i n g   S e r v i c e ） ： 为 c l i e n t 生 成 某 个 服 务 的 t i c k e t 。 域 认 证 中 设 计 的 名 词 缩 写 较 多 ， 这 边 先 做 一 个 汇 总 ， 结 合 图 片 食 用 ：
D C ： D o m a i n   C o n t r o l l e r ： 域 控 K D C ： K e y   D i s t r i b u t i o n   C e n t e r ： 密 钥 分 发 中 心 T G T ： T i c k e t - G r a n t i n g   T i c k e t ： 发 放 的 票 据 A D ： A c c o u n t   D a t a b a s e ： 账 户 数 据 库 A S ： A u t h e n t i c a t i o n   S e r v i c e ： 认 证 服 务 T G S ： T i c k e t   G r a n t i n g   S e r v i c e ： 票 据 分 发 服 务 如 上 图 ， 整 个 域 认 证 可 分 为 三 大 步 六 小 步 。 下 面 开 始 讲 故 事 。 故 事 的 名 字 叫 张 三 （ c l i e n t ） 去 游 乐 园 坐 过 山 车 （ s e r v e r ） 。 由 于 前 文 提 到 ， 域 环 境 内 存 在 信 托 机 构 ， 非 点 对 点 认 证 。 现 在 张 三 想 坐 过 山 车 ， 必 须 通 过 游 乐 园 管 理 员 （ D C ） 的 认 证 。 首 先 张 三 在 网 上 提 前 订 了 游 乐 园 的 门 票 ， 成 为 了 游 乐 园 （ D o m a i n ） 的 合 法 用 户 。 这 是 前 提 。 第 一 步 ： 第 一 步 ：
张 三 （ c l i e n t ） 向 游 乐 园 管 理 员 （ D C ） 提 出 请 求 。 请 求 中 包 含 时 间 戳 、 张 三 的 信 息 （ c l i e n t   i n f o ） 、 管 理 员 的 信 息 （ K D C   i n f o ） 等 。 游 乐 园 管 理 员 接 收 到 请 求 后 ， 由 A S 认 证 服 务 去 A D 中 查 询 张 三 是 否 为 合 法 用 户 。 A D 确 认 张 三 为 合 法 用 户 后 ， A S 返 回 给 张 三 一 张 游 乐 园 通 票 （ T G T ） ， 通 票 上 含 有 张 三 的 身 份 证 号 （ c l i e n t   i n f o ） 等 信 息 ， 用 于 后 续 验 证 。 通 票 由 管 理 员 密 码 （ K D C   h a s h ） 加 密 ， 张 三 不 可 解 。 除 了 通 票 （ T G T ） 以 外 ， 管 理 员 还 会 返 回 以 张 三 的 密 码 （ c l i e n t   h a s h ） 加 密 的 一 把 钥 匙 （ s e s s i o n   k e y ） ， 这 把 钥 匙 也 会 存 在 于 通 票 （ T G T ） 中 。 第 二 步 ： 第 二 步 ： 由 于 得 到 通 票 （ T G T ） 后 张 三 没 有 管 理 员 的 密 码 ， 无 法 解 密 通 票 ， 所 以 张 三 再 次 向 游 乐 园 管 理 员 （ D C ） 发 起 请 求 ， 提 出 要 坐 过 山 车 （ s e r v e r ） 的 4 4 5 号 （ 4 4 5 端 口 ） 座 位 。 该 请 求 包 含 使 用 钥 匙 （ s e s s i o n   k e y ） 加 密 的 张 三 的 身 份 证 号 （ c l i e n t   i n f o ） 和 通 票 （ T G T ） 。
管 理 员 （ D C ） 得 到 通 票 后 ， 先 使 用 自 己 的 密 码 （ K D C   h a s h ） 解 密 通 票 ， 得 到 钥 匙 （ s e s s i o n   k e y ） 和 张 三 的 身 份 证 号 （ c l i e n t   i n f o ） 。 接 着 ， 使 用 钥 匙 （ s e s s i o n   k e y ） 解 密 另 一 部 分 ， 获 得 张 三 的 身 份 证 号 。 两 个 身 份 证 进 行 对 比 ， 相 同 则 通 过 认 证 。 通 过 认 证 后 ， 管 理 员 返 回 使 用 钥 匙 （ s e s s i o n   k e y ） 加 密 的 过 山 车 钥 匙 （ s e r v e r   s e s s i o n   k e y ） 和 一 张 小 票 （ t i c k e t ） ， 这 张 小 票 使 用 过 山 车 密 码 （ s e r v e r   h a s h ） 加 密 ， 其 中 包 含 了 过 山 车 钥 匙 （ s e r v e r   s e s s i o n   k e y ） 和 张 三 的 身 份 证 号 （ c l i e n t   i n f o ） ， 结 构 大 致 如 下 。 第 三 步 ： 第 三 步 ： 最 后 张 三 将 过 山 车 钥 匙 （ s e r v e r   s e s s i o n   k e y ） 加 密 的 身 份 证 号 ， 和 小 票 （ t i c k e t ） 发 送 给 过 山 车 ， 过 山 车 先 用 自 己 的 密 码 解 密 小 票 （ t i c k e t ） ， 得 到 过 山 车 钥 匙 （ s e r v e r   s e s s i o n   k e y ） 和 张 三 的 身 份 证 号 ， 再 用 过 山 车 钥 匙 （ s e r v e r   s e s s i o n   k e y ） 解 密 请 求 的 另 一 部 分 ， 得 到 张 三 的 身 份 证 号 ， 两 个 身 份 证 号 进 行 对 比 ， 相 同 则 认 证 通 过 。
至 此 ， 张 三 终 于 可 以 坐 过 山 车 的 4 4 5 号 座 位 了 。 但 是 如 果 张 三 想 坐 游 乐 园 的 其 他 设 备 ， 比 如 摩 天 轮 或 者 旋 转 木 马 ， 甚 至 张 三 如 果 想 坐 过 山 车 的 其 他 座 位 ， 都 需 要 带 着 通 票 重 新 向 管 理 员 发 起 请 求 ， 也 就 是 重 复 下 图 中 的 第 3 小 步 。 2 . 1   P a s s   T h e   T i c k e t 与 w i n d o w s 网 络 认 证 的 缺 陷 相 同 ， 域 认 证 中 也 没 有 明 文 密 码 的 参 与 。 因 此 ： 如 果 我 们 获 取 到 了 过 山 车 的 密 码 （ s e r v e r   h a s h ） ， 那 么 我 们 可 以 伪 造 t i c k e t 与 s e r v e r   s e s s i o n   k e y ， 也 就 是 我 们 常 说 的 白 银 票 据 。 如 果 我 们 获 取 到 了 游 乐 园 管 理 员 的 密 码 （ K D C   h a s h ） ， 那 么 我 们 可 以 伪 造 T G T 与 s e s s i o n   k e y ， 也 就 是 我 们 常 说 的 黄 金 票 据 。 白 银 票 据 白 银 票 据 域 中 客 户 端 访 问 服 务 端 的 文 件 共 享 ：
无 法 获 取 认 证 ： m i m i k a t z 伪 造 白 银 票 据 ： 可 以 直 接 访 问 ： 黄 金 票 据 黄 金 票 据 黄 金 票 据 与 白 银 票 据 相 比 ：   k e r b e r o s : : l i s t   # 列 出 票 据 k e r b e r o s : : p u r g e   # 清 除 票 据 k e r b e r o s : : g o l d e n   / d o m a i n : 域 名   / s i d : 域 S I D   / t a r g e t : S e r v e r 0 1 . s p a r k . c o m   / s e r v i c e : c i f s   / r c 4 : N T L M   H a s h   / u s e r : s e r v e r 0 0 1   / p t t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理