搜索

[16842] 2021-05-29_利用BloodHound与Impacket进行域渗透实战

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-05-29_利用BloodHound与Impacket进行域渗透实战 利 用 B l o o d H o u n d 与 I m p a c k e t 进 行 域 渗 透 实 战 w i n d c c t v   F r e e B u f   2 0 2 1 - 0 5 - 2 9 域 渗 透 对 于 初 学 者 来 说 ， 主 要 难 点 在 于 涉 及 域 的 基 础 理 论 知 识 较 多 ， 比 如 A C L 访 问 控 制 、 D c S y n c 权 限 、 黄 金 票 据 、 白 银 票 据 、 A c c e s s   T o k e n 、 哈 希 传 递 等 等 。 本 文 利 用 B l o o d H o u n d 来 进 行 域 信 息 的 收 集 ， 更 重 要 的 是 通 过 该 工 具 对 域 信 息 进 行 充 分 的 挖 掘 与 分 析 ， 形 成 可 行 的 渗 透 思 路 ， 遇 到 不 懂 的 知 识 点 ， 可 以 及 时 查 阅 相 关 资 料 ， 极 大 的 提 高 了 我 们 学 习 域 渗 透 的 效 率 。 在 有 了 渗 透 思 路 后 ， 我 们 利 用 I m p a c k e t 工 具 包 里 的 诸 多 域 渗 透 相 关 工 具 进 行 实 践 即 可 。 本 次 域 渗 透 背 景 为 ： 通 过 前 期 w e b 渗 透 ， 获 取 了 一 个 域 控 服 务 器 用 户 的 账 号 及 密 码 （ s a n d r a : P a s s w o r d 1 2 3 4 ! ） ， 但 该 用 户 权 限 较 低 ， 我 们 需 要 进 一 步 渗 透 获 取 域 控 服 务 器 管 理 员 的 权 限 。 为 了 保 证 渗 透 思 路 不 被 中 断 ， 其 中 涉 及 到 域 的 一 些 知 识 点 这 里 只 做 普 及 性 的 介 绍 ， 就 不 展 开 进 行 详 细 论 述 了 ， 下 面 开 始 这 次 域 渗 透 之 旅 。 端 口 扫 描 端 口 扫 描 根 据 开 放 的 端 口 ， 明 显 知 道 这 是 一 个 域 控 服 务 器 ， 我 们 在 换 个 工 具 扫 描 一 波 端 口 ， 防 止 端 口 漏 扫 。 m a s s c a n   - p   1 - 6 5 5 3 5   1 0 . 1 0 . 1 0 . 3 0   - e   t u n 0   — r a t e = 1 0 0 0
与 n m a p 结 果 对 比 ， 新 增 了 很 多 之 前 未 发 现 的 端 口 ， 比 如 ： 5 9 8 5 ， 如 何 利 用 后 面 会 讲 。 （ 这 里 即 使 没 有 发 现 5 9 8 5 端 口 也 不 影 响 后 续 渗 透 的 进 行 ） I m p a c k e t 远 程 执 行 远 程 执 行 既 然 已 经 有 了 一 个 用 户 的 账 号 密 码 （ s a n d r a : P a s s w o r d 1 2 3 4 ! ） ， 想 偷 个 懒 看 看 能 不 能 远 程 执 行 就 拿 下 域 控 服 务 器 ， 尝 试 一 波 I m p a c k e r 的 远 程 执 行 脚 本 。 I m p a c k e t 的 安 装 的 安 装 P s e x e c . p y ： 可 提 供 完 整 的 交 互 式 控 制 台 执 行 远 程 s h e l l 命 令 。 这 里 有 个 小 技 巧 ， 因 为 密 码 中 有 ！ ， 所 以 要 进 行 转 意 字 符 的 处 理 ； w m i e x e c . p y ： 可 提 供 半 交 互 式 s h e l l 。
a t e x e c . p y ： 通 过 T a s k   S c h e d u l e r 服 务 在 目 标 计 算 机 上 执 行 命 令 ， 并 返 回 已 执 行 命 令 的 输 出 。 上 述 几 个 脚 本 都 可 以 直 接 获 取 s h e l l ， 属 于 直 接 能 拿 下 服 务 器 的 工 具 ， 但 这 里 不 出 意 外 ， 都 没 有 成 功 ， 那 我 们 还 是 老 老 实 实 来 分 析 域 信 息 吧 。 域 信 息 收 集 域 信 息 收 集 这 里 我 们 采 用 的 是 N e o 4 j + B l o o d h o u n d 的 组 合 来 采 集 和 分 析 域 信 息 ， 因 此 我 们 简 单 介 绍 下 如 何 安 装 ： N e o 4 j 的 安 装 及 启 动 的 安 装 及 启 动 去 N e o 4 j 官 网 下 载 社 区 免 费 版 ： h t t p s : / / n e o 4 j . c o m / d o w n l o a d - c e n t e r / # c o m m u n i t y 解 压 后 启 动 ， 初 始 账 号 和 密 码 均 为 n e o 4 j ， 浏 览 器 里 访 问 h t t p : / / l o c a l h o s t : 7 4 7 4 ， 登 录 即 可 ； B l o o d h o u n d 的 启 动 的 启 动 直 接 下 载   h t t p s : / / g i t h u b . c o m / B l o o d H o u n d A D / B l o o d H o u n d ， 然 后 启 动 ； 用 上 面 N e o 4 j 的 账 号 密 码 登 录 ， 数 据 库 的 地 址 用 默 认 的 就 可 以 ， 不 需 要 更 改 ；
域 信 息 采 集 域 信 息 采 集 B l o o d h o u n d 自 带 有 采 集 器 的 ， 一 是 p o w e r s h e l l 采 集 器 脚 本 S h a r p H o u n d . p s 1 ， 二 是 可 执 行 文 件 S h a r p H o u n d . e x e ， 但 都 需 要 登 录 到 目 标 机 器 后 运 行 ， 这 里 我 们 采 用 一 个 可 以 远 程 采 集 域 信 息 的 工 具 b l o o d h o u n d . p y ， 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / f o x - i t / B l o o d H o u n d . p y 。 安 装 命 令 ： p y t h o n 3   s e t u p . p y   i n s t a l l ， 安 装 完 成 后 直 接 运 行 ： 得 到 4 个 文 件 ， c o m p u t e r s . j s o n 、 d o m a i n s . j s o n 、 g r o u p s . j s o n 、 u s e r s . j s o n ， 把 生 成 的 文 件 拖 进 B l o o d h o u n d ； 加 载 完 成 后 ， 点 击 A n a l y s i s 就 可 b l o o d h o u n d - p y t h o n   - d   m e g a c o r p . l o c a l   - u   s a n d r a   - p   " P a s s w o r d 1 2 3 4 ! "   - g c   p a t h f i n d e r . m e g a c o r p . l o c a l   - c   a l l   - n s   1 0 . 1 0 . 1 0 . 3 0
以 开 始 分 析 域 信 息 了 。 域 信 息 分 析 域 信 息 分 析 在 开 始 分 析 之 前 ， 我 们 先 简 单 了 解 下 都 可 以 分 析 出 哪 些 结 果 ； 我 们 实 战 中 比 较 关 注 的 点 有 ： F i n d   a l l   D o m a i n   A d m i n s   查 找 所 有 域 管 理 员 F i n d   S h o r t e s t   P a t h s   t o   D o m a i n   A d m i n s   查 找 域 管 理 员 的 最 短 路 径 F i n d   P r i n c i p a l s   w i t h   D C S y n c   R i g h t s 查 找 具 有 D C S y n c 权 限 的 主 体 U s e r s   w i t h   F o r e i g n   D o m a i n   G r o u p   M e m b e r s h i p   具 有 外 域 组 成 员 身 份 的 用 户 G r o u p s   w i t h   F o r e i g n   D o m a i n   G r o u p   M e m b e r s h i p   具 有 外 域 组 成 员 身 份 的 组 M a p   D o m a i n   T r u s t s   域 信 任 映 射 图 S h o r t e s t   P a t h s   t o   U n c o n s t r a i n e d   D e l e g a t i o n   S y s t e m s   不 受 约 束 的 委 派 系 统 的 最 短 路 径 S h o r t e s t   P a t h s   f r o m   K e r b e r o a s t a b l e   U s e r s   来 自 K e r b e r o a s t a b l e 用 户 的 最 短 路 径 S h o r t e s t   P a t h s   t o   D o m a i n   A d m i n s   f r o m   K e r b e r o a s t a b l e   U s e r s   可 通 过 K e r b e r o a s t a b l e 用 户 访 问 域 管 理 员 的 最 短 路 径 S h o r t e s t   P a t h   f r o m   O w n e d   P r i n c i p a l s   已 拥 有 权 限 最 短 路 径 S h o r t e s t   P a t h s   t o   D o m a i n   A d m i n s   f r o m   O w n e d   P r i n c i p a l s   已 拥 有 权 限 到 域 管 理 员 的 最 短 路 径 S h o r t e s t   P a t h s   t o   H i g h   V a l u e   T a r g e t s   高 价 值 目 标 的 最 短 路 径 补 充 绿 色 用 户 头 像 ： 用 户 三 个 黄 色 头 像 ： 用 户 组 红 色 小 电 脑 ： 计 算 机 绿 色 小 地 球 ： 域 本 次 渗 透 的 目 标 是 拿 下 域 控 管 理 员 ， 我 们 先 依 次 分 析 下 数 据 ：
查 找 具 有 查 找 具 有 D C S y n c 权 限 的 主 体 ； 权 限 的 主 体 ； 通 往 高 价 值 目 标 的 最 短 路 径 ； 通 往 高 价 值 目 标 的 最 短 路 径 ； 我 们 可 以 看 到 用 户 s v c _ b e s 对 域 具 有 G e n e r i c A l l 特 权 。 这 意 味 着 该 帐 户 可 以 从 域 控 制 器 请 求 复 制 数 据 ， 并 获 得 敏 感 信 息 ， 如 用 户 哈 希 等 信 息 。
点 开 这 个 用 户 查 看 一 下   N o d e   I n f o 。 发 现   A S R E P   R o a s t a b l e   是   T r u e 查 询 下 相 关 资 料 ， A S - R E P   R o a s t i n g 是 一 种 对 用 户 账 号 进 行 离 线 爆 破 的 攻 击 方 式 ， 其 余 2 个 用 户 均 没 有 开 启 。
至 此 ， 我 们 便 有 了 一 个 渗 透 思 路 ， 从 用 户 s v c _ b e s 开 始 入 手 。 域 渗 透 域 渗 透 G e t N P U s e r s . p y G e t N P U s e r s . p y 是 I m p a c k e t 工 具 包 中 的 一 个 脚 本 ， 该 脚 本 实 现 了 将 尝 试 为 那 些 设 置 了 属 性 “ 不 需 要 K e r b e r o s 预 身 份 验 证 ” 的 用 户 获 取 T G T 输 出 。 T G T   h a s h   包 含 用 户 密 码 ， 获 取 到 之 后 直 接 用   J T R   或 者   h a s h c a t   破 解 即 可 。
由 此 获 得 了 用 户 s v c _ b e s 的 密 码 为 S h e f f i e l d 1 9 ， 后 续 我 们 可 以 使 用 I m p a c k e t 的 s e c r e t s d u m p . p y 来 执 行 D C S y n c 攻 击 并 转 储 所 有 域 用 户 的 N T L M 哈 希 值 。 s e c r e t s d u m p . p y s e c r e t s d u m p . p y 是 I m p a c k e t 工 具 包 中 的 一 个 脚 本 ， 该 脚 本 实 现 了 多 种 不 需 要 在 远 程 主 机 上 执 行 任 何 代 理 的 情 况 下 转 储 机 密 数 据 的 技 术 。 至 此 得 到 了 域 管 理 员 的 N T L M 哈 希 ， 我 们 可 以 在 P T H 攻 击 中 使 用 它 来 获 得 对 系 统 的 更 高 访 问 权 限 ， 因 此 ， 我 们 可 以 使 用 I m p a c k e t 的 p s e x e c . p y 来 实 现 提 权 。 提 权 提 权 p s e x e c . p y p s e x e c . p y 是 I m p a c k e t 工 具 包 中 的 一 个 脚 本 ， 该 脚 本 实 现 了 在 远 程 W i n d o w s 系 统 上 执 行 进 程 ， 复 制 文 件 ， 并 返 回 处 理 输 出 结 果 ， 此 外 ， 它 还 允 许 直 接 使 用 完 整 的 交 互 式 控 制 台 执 行 远 程 s h e l l 命 令 。 语 法 ： G e t N P U s e r s . p y   m e g a c o r p . l o c a l / s v c _ b e s   - r e q u e s t   - n o - p a s s   - d c - i p   1 0 . 1 0 . 1 0 . 3 0 s e c r e t s d u m p . p y   - d c - i p   1 0 . 1 0 . 1 0 . 3 0   M E G A C O R P . L O C A L / s v c _ b e s : S h e f f i e l d 1 9 @ 1 0 . 1 0 . 1 0 . 3 0 p s e x e c . p y   m e g a c o r p . l o c a l / a d m i n i s t r a t o r @ 1 0 . 1 0 . 1 0 . 3 0   - h a s h e s   :
总 结 总 结 看 下 整 个 渗 透 过 程 的 流 程 图 ， 方 便 于 理 清 渗 透 思 路 ； 彩 蛋 彩 蛋 之 前 发 现 5 9 8 5 端 口 是 开 放 的 ， 可 以 利 用 工 具 e v i l - w i n r m 直 接 进 行 连 接 。 e v i l - w i n r m e v i l - w i n r m 是 W i n d o w s 远 程 管 理 ( W i n R M )   S h e l l 的 终 极 版 本 。 此 程 序 可 在 启 用 此 功 能 的 任 何 M i c r o s o f t   W i n d o w s 服 务 器 上 使 用 （ 通 常 端 口 为 5 9 8 5 ） ， 当 然 只 有 在 你 具 有 使 用 凭 据 和 权 限 时 才 能 使 用 。 安 装 ： g e m   i n s t a l l   e v i l - w i n r m 最 初 的 用 户 s a n d r a 可 以 直 连 后 获 得 s h e l l 的 ， 只 不 过 权 限 太 低 ， 所 以 要 想 办 法 切 换 到 其 他 用 户 ；
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理