搜索

[9716] 2016-01-04_域安全篇：寻找SYSVOL里的密码和攻击GPP

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-18
2016-01-04_域安全篇：寻找SYSVOL里的密码和攻击GPP 域 安 全 篇 ： 寻 找 S Y S V O L 里 的 密 码 和 攻 击 G P P d a w n e r   F r e e B u f   2 0 1 6 - 0 1 - 0 4 在 在 2 0 1 5 年 的 黑 帽 大 会 和 年 的 黑 帽 大 会 和 D E F C O N 上 ， 我 曾 谈 过 黑 客 会 如 何 上 ， 我 曾 谈 过 黑 客 会 如 何 从 域 用 户 提 权 到 域 管 理 从 域 用 户 提 权 到 域 管 理 。 。 密 码 的 难 题 密 码 的 难 题 每 台 W i n d o w s 主 机 有 一 个 内 置 的 A d m i n i s t r a t o r 账 户 以 及 相 关 联 的 密 码 。 大 多 数 组 织 机 构 为 了 安 全 ， 可 能 都 会 要 求 更 改 密 码 ， 虽 然 这 种 方 法 的 效 果 并 不 尽 如 人 意 。 标 准 的 做 法 是 利 用 组 策 略 去 批 量 设 置 工 作 站 的 本 地 A d m i n i s t r a t o r 密 码 。 但 是 这 样 又 会 出 现 另 一 个 问 题 ， 那 就 是 所 有 的 电 脑 都 会 有 相 同 的 本 地 A d m i n i s t r a t o r 密 码 。 也 就 是 说 ， 如 果 获 取 了 一 个 系 统 的 A d m i n i s t r a t o r 认 证 凭 据 ， 黑 客 就 可 以 获 取 他 们 所 有 机 器 的 管 理 权 限 。 S Y S V O L 解 决 办 法 之 一 是 为 认 证 数 据 采 取 S Y S V O L ， S Y S V O L 是 A D （ 活 动 目 录 ） 里 面 一 个 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 所 有 的 认 证 用 户 都 可 以 读 取 。 S Y S V O L 包 括 登 录 脚 本 ， 组 策 略 数 据 ， 以 及 其 他 域 控 所 需 要 的 域 数 据 ， 这 是 因 为 S Y S V O L 能 在 所 有 域 控 里 进 行 自 动 同 步 和 共 享 。 所 有 的 域 组 策 略 存 储 在 ： 所 有 的 域 组 策 略 存 储 在 ： < D O M A I N > S Y S V O L < D O M A I N > P o l i c i e s S Y S V O L 里 的 认 证 里 的 认 证 在 w i n d o w s 电 脑 中 ， 管 理 需 要 花 心 思 去 保 证 本 地 A d m i n i s t r a t o r 账 户 （ R I D   5 0 0 ） 。 传 统 的 做 法 （ 除 了 购 买 安 全 产 品 ） ， 是 使 用 一 个 自 定 义 的 脚 本 去 更 改 本 地 A d m i n i s t r a t o r 的 密 码 。 这 样 就 会 出 现 一 个 问 题 ， 密 码 肯 定 会 明 文 存 储 在 S Y S V O L 的 脚 本 里 ( 比 如 v b s 文 件 ) 。 比 如 黑 客 需 要 搜 寻 用 来 更 改 本 地 A d m i n i s t r a t o r 密 码 的 V B S 脚 本 ， 该 v b s 脚 本 在 M i c r o s o f t   T e c h N e t   g a l l e r y 上 ， 密 码 为 可 见 的 。 这 个 脚 本 存 在 S Y S V O L 里 ， 每 个 域 用 户 都 有 读 的 权 限 ， 且 该 密 码 是 每 台 电 脑 组 策 略 应 用 的 本 地 A d m i n i s t r a t o r 密 码 。
请 不 要 用 这 个 脚 本 修 改 本 地 A d m i n i s t r a t o r 密 码 。 组 策 略 偏 好 组 策 略 偏 好 G P P 在 2 0 0 6 年 ， 微 软 收 购 了 桌 面 标 准 的 “ P o l i c y M a k e r ” ， 并 重 新 借 此 与 w i n 2 0 0 8 发 布 了 G P P （ 组 策 略 偏 好 ） 。 其 中 G P P 最 有 用 的 特 性 ， 是 在 某 些 场 景 存 储 和 使 用 凭 据 ， 其 中 包 括 ： 映 射 驱 动 （ D r i v e s . x m l ） 创 建 本 地 用 户 数 据 源 （ D a t a S o u r c e s . x m l ） 打 印 机 配 置 （ P r i n t e r s . x m l ） 创 建 / 更 新 服 务 （ S e r v i c e s . x m l ） 计 划 任 务 （ S c h e d u l e d T a s k s . x m l ） 更 改 本 地 A d m i n i s t r a t o r 密 码 这 对 管 理 员 非 常 有 用 ， 因 为 这 对 管 理 员 非 常 有 用 ， 因 为 G P P 提 供 了 一 个 自 动 化 机 制 ， 可 以 作 为 急 需 的 解 决 方 案 （ 比 如 脚 本 ） 给 他 们 。 它 提 供 了 提 供 了 一 个 自 动 化 机 制 ， 可 以 作 为 急 需 的 解 决 方 案 （ 比 如 脚 本 ） 给 他 们 。 它 提 供 了 有 效 的 方 法 ， 利 用 显 式 凭 据 结 合 组 策 略 部 署 了 计 划 任 务 ， 一 次 性 批 量 更 改 了 电 脑 的 本 地 管 理 的 密 码 ， 也 许 这 就 是 最 有 效 的 方 法 ， 利 用 显 式 凭 据 结 合 组 策 略 部 署 了 计 划 任 务 ， 一 次 性 批 量 更 改 了 电 脑 的 本 地 管 理 的 密 码 ， 也 许 这 就 是 最 受 欢 迎 的 利 用 场 景 吧 。 受 欢 迎 的 利 用 场 景 吧 。 G P P 中 存 储 的 凭 据 中 存 储 的 凭 据 然 而 现 在 有 个 问 题 ， 凭 据 数 据 应 该 怎 样 保 护 ？ 当 管 理 创 建 了 一 个 新 的 G P P 时 ， S Y S V O L 里 有 一 个 X M L 文 件 提 供 了 相 关 配 置 数 据 。 如 果 里 面 提 供 了 密 码 的 话 ， 那 应 该 就 是 A E S - 2 5 6 加 密 ， 看 起 来 这 加 密 似 乎 是 够 强 力 了 。 然 而 除 了 在 2 0 1 2 年 前 的 某 些 点 外 ， 微 软 在 M S D N 上 发 布 了 A E S 的 私 钥 ， 它 可 以 用 来 解 密 这 种 密 码 。 因 为 认 证 用 户 （ 所 有 域 用 户 或 者 信 任 域 里 的 用 户 ） 对 S Y S V O L 拥 有 读 权 限 。 在 域 里 的 任 何 用 户 可 以 搜 索 S Y S V O L 共 享 中 的 带 有 c p a s s w o r d 字 样 的
X M L 文 件 ， 里 面 包 含 了 A E S 加 密 的 密 码 。 攻 击 攻 击 G P P 当 黑 客 可 以 访 问 X M L 文 件 时 ， 他 能 利 用 A E S 私 钥 解 密 G P P 密 码 。 P o w e r S p l o i t 函 数 G e t - G P P P a s s w o r d 对 G P P 解 密 会 很 有 帮 助 。 下 面 的 截 图 ， 则 展 示 了 一 个 简 单 的 P o w e r S h e l l 函 数 解 密 G P P 密 码 的 命 令 （ 从 上 述 的 X M L 文 件 里 找 到 的 ） 。 据 我 所 知 ， G P P 凭 据 问 题 最 早 由 E m i l i e n   G a u r a l t 在 他 2 0 1 2 年 1 月 的 文 章 《 E x p l o i t i n g   W i n d o w s   2 0 0 8   G r o u p   P o l i c y   P r e f e r e n c e s 》 提 出 。 悲 催 的 是 ， 现 在 文 章 链 接 挂 了 ， 里 面 的 内 容 也 没 了 。 在 2 0 1 2 年 5 月 ， C h r i s   C a m p b e l l 又 写 了 篇 文 章 《 G P P   P a s s w o r d R e t r i e v a l   w i t h   P o w e r S h e l l 》 ， 并 在 里 面 提 出 了 攻 击 该 密 码 漏 洞 的 第 一 段 P o w e r S h e l l 代 码 。 并 且 C h r i s 后 来 还 更 新 了 这 段 代 码 ， 将 G e t - G P P P a s s w o r d 加 入 P o w e r S p l o i t 。 在 2 0 1 2 年 6 月 ， R e w t   d a n c e 写 了 一 篇 文 《 a   G P P e x p l o i t a t i o n   e x p a n d e d   r e f e r e n c e 》 ， 而 现 在 链 接 已 经 挂 了 ， 这 里 提 供 一 下 G o o g l e 缓 存 。 此 外 我 还 找 到 篇 A l e x a n d r e   H e r z o g 在 2 0 1 2 年 4 月 写 的 文 章 《 E x p l o i t   c r e d e n t i a l s   s t o r e d   i n   W i n d o w s   G r o u p   P o l i c y   P r e f e r e n c e s 》 。 我 已 经 在 文 章 里 讨 论 过 关 于 G P P 凭 据 的 问 题 和 G P P 补 丁 ( K B 2 9 6 2 4 8 6 ) 。 让 我 们 继 续 在 S Y S V O L 里 的 组 策 略 X M L 文 件 翻 找 管 理 凭 据 （ 包 括 域 管 理 凭 证 ） ， 特 别 是 在 管 理 账 户 环 境 下 运 行 的 计 划 任 务 。 G P P 凭 证 补 丁 凭 证 补 丁 ( K B 2 9 6 2 4 8 6 ) 2 0 1 4 年 5 月 1 3 日 ， 微 软 发 布 了 M S 1 4 - 0 2 5 的 补 丁 K B 2 9 6 2 4 8 6 ， 即 那 个 G P P 导 致 的 权 限 提 升 漏 洞 。 这 个 补 丁 需 要 安 装 在 所 有 使 用 了 R S A T 的 系 统 上 ， 防 止 管 理 将 密 码 数 据 放 进 G P P 里 。
注 意 ， 现 在 的 G P P 文 件 还 没 有 从 S Y S V O L 里 移 除 。 G P P 利 用 检 查 利 用 检 查 X M L 权 限 拒 绝 检 查 ： 权 限 拒 绝 检 查 ： 把 新 的 x m l 文 件 放 到 S Y S V O L 里 ， 设 置 拒 绝 E v e r y o n e 。 审 计 访 问 拒 绝 错 误 如 果 相 关 的 G P O 不 存 在 ， 那 就 没 有 访 问 的 合 法 原 因 。 G P P 问 题 的 缓 解 问 题 的 缓 解 在 每 台 用 于 管 理 G P O 的 电 脑 上 安 装 K B 2 9 6 2 4 8 6 补 丁 ， 这 样 会 避 免 新 的 凭 据 放 进 G P P 里 。 删 除 现 有 的 G P P 里 包 含 密 码 的 x m l 文 件 。 微 软 本 地 微 软 本 地 A d m i n i s t r a t o r 密 码 解 决 方 案 （ 密 码 解 决 方 案 （ L A P S ） ） 微 软 提 供 的 最 好 的 更 改 本 地 A d m i n i s t r a t o r 密 码 的 方 法 ， 就 是 本 地 A d m i n i s t r a t o r 密 码 解 决 方 案 （ L A P S ） 。 * 参 考 来 源 ： A D ， F B 小 编 d a w n e r 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理