搜索

[13829] 2019-03-05_分析CVE-2018-8581：如何在MicrosoftExchange上冒充用户

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2019-03-05_分析CVE-2018-8581：如何在MicrosoftExchange上冒充用户 分 析 C V E - 2 0 1 8 - 8 5 8 1 ： 如 何 在 M i c r o s o f t E x c h a n g e 上 冒 充 用 户 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 3 - 0 5 写 在 前 面 的 话 写 在 前 面 的 话 今 天 ， 我 们 一 起 看 一 看 攻 击 者 （ 未 经 身 份 验 证 的 用 户 ） 如 何 利 用 这 个 今 天 ， 我 们 一 起 看 一 看 攻 击 者 （ 未 经 身 份 验 证 的 用 户 ） 如 何 利 用 这 个 E x c h a n g e 漏 洞 来 在 漏 洞 来 在 E x c h a n g e 服 务 器 上 冒 充 服 务 器 上 冒 充 合 法 用 户 并 进 行 恶 意 操 作 。 合 法 用 户 并 进 行 恶 意 操 作 。 那 么 接 下 来 我 们 直 奔 主 题 ， 我 们 将 给 大 家 详 细 分 析 这 个 服 务 器 端 请 求 伪 造 （ S S R F ） 漏 洞 ， 并 演 示 攻 击 者 如 何 伪 装 成 合 法 用 户 。 漏 洞 分 析 漏 洞 分 析 在 实 施 攻 击 的 过 程 中 ， 攻 击 者 需 要 利 用 一 个 S S R F 漏 洞 并 结 合 其 他 安 全 缺 陷 来 实 现 身 份 伪 装 。 E x c h a n g e 允 许 任 意 用 户 指 定 U R L 地 址 来 实 现 订 阅 推 送 ， 而 服 务 器 会 直 接 尝 试 向 这 个 U R L 地 址 发 送 通 知 。 漏 洞 之 所 以 存 在 ， 是 因 为 E x c h a n g e 服 务 器 使 用 了 C r e d e n t i a l C a c h e . D e f a u l t C r e d e n t i a l s 来 进 行 网 络 连 接 ： 在 E x c h a n g e   W e b 服 务 中 ， C r e d e n t i a l C a c h e . D e f a u l t C r e d e n t i a l s 是 以 N T   A U T H O R I T Y S Y S T E M 权 限 运 行 的 。 这 将 导 致 E x c h a n g e 服 务 器 向 攻 击 者 的 服 务 器 发 送 N T L M 哈 希 。 E x c h a n g e 服 务 器 还 会 默 认 设 置 下 列 注 册 表 键 : 此 时 ， 攻 击 者 将 能 够 使 用 这 些 N T L M 哈 希 来 进 行 H T T P 身 份 验 证 。 比 如 说 ， 他 们 可 以 使 用 这 些 哈 希 来 访 问 E x c h a n g e H K E Y _ L O C A L _ M A C H I N E S Y S T E M C u r r e n t C o n t r o l S e t C o n t r o l L s a D i s a b l e L o o p b a c k C h e c k =   1
W e b 服 务 （ E W S ） 。 因 为 它 是 以 N T   A U T H O R I T Y S Y S T E M 权 限 运 行 的 ， 攻 击 者 就 可 以 利 用 T o k e n S e r i a l i z a t i o n R i g h t 获 取 到 特 权 “ 会 话 ” ， 并 使 用 一 个 S O A P 头 来 冒 充 特 定 用 户 。 下 面 给 出 的 S O A P 头 样 本 中 ， 攻 击 者 使 用 了 S I D （ S - 1 - 5 - 2 1 - 4 1 8 7 5 4 9 0 1 9 - 2 3 6 3 3 3 0 5 4 0 - 1 5 4 6 3 7 1 4 4 9 - 5 0 0 ） 来 伪 装 成 管 理 员 用 户 ： 漏 洞 利 用 漏 洞 利 用 为 了 方 便 演 示 ， 我 们 使 用 了 下 面 这 两 个 P y t h o n 脚 本 ： 1 、   s e r v e r H T T P _ r e l a y N T L M . p y ： 它 可 以 从 入 站 连 接 中 获 取 N T L M 哈 希 ， 并 将 其 用 于 E W S 身 份 验 证 。 2 、   E x c h _ E W S _ p u s h S u b s c r i b e . p y ： 让 P u s h S u b s c r i p t i o n 调 用 我 们 的 s e r v e r H T T P _ r e l a y N T L M . p y 。 脚 本 下 载 地 址 ： 【 传 送 门 】 （ 还 需 P y t h o n - n t l m 模 块 ） 首 先 ， 我 们 需 要 获 取 到 目 标 用 户 的 S I D ， 大 致 方 法 如 下 ： 1 、   以 认 证 用 户 的 身 份 登 录 O W A ： 2 、   接 下 来 ， 创 建 新 的 文 件 夹 ， 我 们 这 里 使 用 “ t e m p F o l d ” 。 点 击 下 拉 菜 单 中 的 “ P e r m i s s i o n s ” ：
3 、   添 加 需 要 冒 充 的 用 户 电 子 邮 件 地 址 ， 这 里 我 们 使 用 v i c t i m @ c o n t o s o . l o c a l ： 4 、   按 下 F 1 2 键 ， 选 择 “ N e t w o r k ” 标 签 ， 然 后 再 次 点 击 新 创 建 文 件 夹 下 拉 菜 单 中 的 “ P e r m i s s i o n s ” ：
5 、   我 们 需 要 检 查 第 一 个 s e r v i c e . s v c ? a c t i o n = G e t F o l d e r 请 求 返 回 的 响 应 ， 查 看 方 法 ： 样 本 中 的 N 为 2 ， 但 是 你 可 以 根 据 你 自 己 的 情 况 来 选 择 正 确 的 。 P r i m a r y S m t p A d d r e s s 为 目 标 用 户 的 邮 件 地 址 ， 如 果 响 应 中 不 包 含 P e r m i s s i o n S e t 参 数 ， 我 们 就 需 要 查 看 另 一 个 s e r v i c e . s v c ? a c t i o n = G e t F o l d e r 请 求 了 ： 6 、   我 们 选 择 使 用 s e r v e r H T T P _ r e l a y N T L M . p y 中 的 S I D 来 进 行 操 作 ， 我 们 还 需 要 选 择 一 个 没 有 被 屏 蔽 的 T C P 端 口 来 转 发 E x c h a n g e 服 务 器 上 的 出 站 连 接 。 比 如 说 ， T C P 端 口 8 0 8 0 可 用 的 话 。 接 下 来 ， 使 用 真 实 信 息 修 改 s e r v e r H T T P _ r e l a y N T L M . p y ： B o d y - > R e s p o n s e M e s s a g e s - > I t e m s - > 0 - > F o l d e r s - > 0 - > P e r m i s s i o n S e t - > P e r m i s s i o n s - > N - > U s e r I d - > S I D
设 置 好 正 确 的 脚 本 变 量 后 ， 我 们 就 可 以 开 始 了 ： 7 、   下 一 步 就 是 设 置 E x c h _ E W S _ p s s u s h S u b s c r i b e . p y 脚 本 中 的 变 量 了 ： 完 成 后 ， 我 们 就 可 以 执 行 脚 本 了 ：
8 、   最 后 一 步 ， 我 们 需 要 利 用 事 件 触 发 机 制 来 推 送 通 知 。 我 们 可 以 进 行 类 似 创 建 和 发 送 新 邮 件 ， 或 者 删 除 新 创 建 的 文 件 夹 来 实 现 ： 成 功 后 ， 我 们 的 s e r v e r H T T P _ r e l a y N T L M . p y 就 可 以 从 E x c h a n g e 服 务 器 那 里 收 到 入 站 连 接 了 ：
攻 击 成 功 后 ， 我 们 将 在 响 应 中 看 到 U p d a t e I n b o x R u l e s R e s p o n s e   R e s p o n s e C l a s s = ” S u c c e s s ” 。 这 也 就 意 味 着 ， 入 站 规 则 已 经 成 功 添 加 进 目 标 用 户 的 邮 箱 了 ， 所 有 的 入 站 邮 件 都 会 被 转 发 给 攻 击 者 。 接 下 来 ， 我 们 需 要 测 试 这 个 新 规 则 。 我 们 需 要 利 用 任 意 邮 箱 账 号 来 给 目 标 用 户 发 送 一 封 邮 件 ， 但 不 要 用 我 们 新 添 加 的 规 则 （ a t t a c k e r @ c o n t o s o . l o c a l ） ， 因 为 如 果 转 发 地 址 和 目 的 地 址 相 同 的 话 规 则 就 无 效 了 。 现 在 ， 登 录 管 理 员 账 号 ， 发 送 某 些 信 息 给 目 标 用 户 ： 检 查 攻 击 者 的 收 件 箱 ， 我 们 就 可 以 看 到 这 封 邮 件 了 ：
没 错 ， 就 是 这 么 简 单 。 希 望 可 以 给 大 家 平 常 的 挖 洞 带 来 一 些 灵 感 ！ * 参 考 来 源 ： z e r o d a y i n i t i a t i v e ， F B 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理