搜索

[18044] 2021-08-17_域渗透之黄金票据的利用

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2021-08-17_域渗透之黄金票据的利用 0 x 0 1   K e r b e r o s 工 作 原 理 工 作 原 理 域 渗 透 之 黄 金 票 据 的 利 用 原 创   郑 好 _ z h   H a c k i n g 黑 白 红   2 0 2 1 - 0 8 - 1 7 收 录 于 话 题 # 域 渗 透   , 1 # 黄 金 票 据   , 1 # 横 向 渗 透   , 1 # 后 渗 透   , 2 # 渗 透 测 试   , 4 前 言 ： 前 言 ： 这 里 先 介 绍 下 K e r b e r o s 协 议 ： K e r b e r o s 是 一 种 由 M I T （ 麻 省 理 工 大 学 ） 提 出 的 一 种 网 络 身 份 验 证 协 议 。 它 旨 在 通 过 使 用 密 钥 加 密 技 术 为 客 户 端 / 服 务 器 应 用 程 序 提 供 强 身 份 验 证 。 在 K e r b e r o s 协 议 中 主 要 是 有 三 个 角 色 的 存 在 ： 1 ： 访 问 服 务 的 C l i e n t （ 用 户 的 机 器 客 户 端 ） 2 ： 提 供 服 务 的 S e r v e r （ 服 务 端 ） 3 ： K D C （ K e y   D i s t r i b u t i o n   C e n t e r ） 密 钥 分 发 中 心 其 中 K D C 服 务 默 认 会 安 装 在 一 个 域 的 域 控 中 ， 而 C l i e n t 和 S e r v e r 为 域 内 的 用 户 或 者 是 服 务 ， 如 H T T P 服 务 ， S Q L 服 务 ， 远 程 桌 面 服 务 。 在 K e r b e r o s 中 C l i e n t 是 否 有 权 限 访 问 S e r v e r 端 的 服 务 由 K D C 发 放 的 票 据 来 决 定 。 1 ： C l i e n t 向 K D C 发 起 A S _ R E Q 请 求 内 容 为 通 过 C l i e n t 密 码 H a s h   加 密 的 时 间 戳 、 C l i e n t I D 、 网 络 地 址 、 加 密 类 型 等 内 容 。 2 ： K D C 使 用 C l i e n t   h a s h 进 行 解 密 ， 并 在 n t d s . d i t ( 只 有 域 控 中 才 有 的 数 据 库 ) 中 查 找 该 账 户 ， 如 果 结 果 正 确 就 返 回 用 k r b t g t   N T L M - h a s h 加 密 的 T G T 票 据 ， T G T 里 面 包 含 P A C ， P A C 包 含 C l i e n t 的 s i d ， C l i e n t 所 在 的 组 。 注 释 ： P A C 的 全 称 是 P r i v i l e g e   A t t r i b u t e   C e r t i f i c a t e （ 特 权 属 性 证 书 ） 。 不 同 的 账 号 有 不 同 的 权 限 ， P A C 就 是 为 了 区 别 不 同 权 限 的 一 种 方 式 。 3 ： C l i e n t ( 客 户 端 ) 凭 借 T G T 票 据 向 K D C 发 起 针 对 特 定 服 务 的 T G S _ R E Q 请 求 。 4 ： K D C 使 用 k r b t g t   N T L M - h a s h 进 行 解 密 ， 如 果 结 果 正 确 ， 就 返 回 用 服 务 N T L M - h a s h   加 密 的 T G S 票 据 ， 并 带 上 P A C 返 回 给 C l i e n t ( 客 户 端 ) （ 这 一 步 不 管 用 户 有 没 有 访 问 服 务 的 权 限 ， 只 要 T G T 正 确 ， 就 返 回 T G S 票 据 ） 。 T G T ： 认 证 票 据
0 x 0 2   实 验 步 骤 实 验 步 骤 5 ： 此 时 c l i e n t 拿 着 K D C 给 的 T G S 票 据 去 请 求 服 务 。 6 ： 服 务 端 使 用 自 己 的 N T L M - h a s h 解 密 T G S 票 据 。 如 果 解 密 正 确 ， 就 拿 着 P A C 去 K D C 那 边 问 C l i e n t 有 没 有 访 问 权 限 ， 域 控 解 密 P A C 。 获 取 C l i e n t 的 s i d ， 以 及 所 在 的 组 ， 再 根 据 该 服 务 的 A C L ， 判 断 C l i e n t 是 否 有 访 问 服 务 的 权 限 。 至 此 ， 就 是 登 录 域 控 中 K e r b e r o s 协 议 的 工 作 流 程 ， 看 起 来 可 能 点 绕 ， 根 据 我 上 面 的 贴 图 ， 一 步 步 的 看 还 是 比 较 好 理 解 的 。 主 域 控 ： w i n d o w s   s e r v e r   2 0 0 8   I P 地 址 ： 1 9 2 . 1 6 8 . 1 0 7 . 1 4 6 域 内 机 器 ( C l i e n t ) ： w i n d o w s   s e r v e r   2 0 0 8   I P 地 址 ： 1 9 2 . 1 6 8 . 1 0 7 . 1 6 4 通 过 上 面 工 作 原 理 得 知 ， 我 们 这 里 只 要 伪 造 第 三 步 ， 也 就 是 T G T 票 据 即 可 。 首 先 我 们   需 要 先 从 域 控 中 ， 或 者 是 域 内 其 他 C l i e n t 中 导 出 k r b t g t 用 户 的 h a s h ， 这 里 需 要 注 意 的 是 ， k r b t g t 用 户 只 有 在 域 控 中 才 会 存 在 。 当 然 了 如 果 你 有 域 控 管 理 员 的 其 他 账 号 ， 也 是 可 以 登 录 其 他 域 其 他 机 器 来 使 用 m i m i k a t z . e x e 导 出 h a s h 的 。 第 一 步 ： : 在 域 控 内 导 出 k r b t g t 用 户 的 h a s h 和 s i d ( 使 用 m i m i k a t z . e x e 工 具 ) ： 2 ： 在 域 内 其 他 C l i e n t ( 用 户 机 器 ) 上 使 用 其 他 域 管 理 员 来 抓 取 k r b t g t 用 户 的 h a s h 和 s i d ( 使 用 m i m i k a t z . e x e 工 具 ) ， 这 里 命 令 和 上 面 的 命 令 是 一 样 的 ， 最 后 抓 取 的 h a s h 也 是 和 上 面 一 样 的 ， 这 里 我 就 不 贴 图 了 。 T G T ： 认 证 票 据 T G S ： 票 据 发 放 服 务 l s a d u m p : : d c s y n c   / d o m a i n : h y d r a . c o m   / u s e r : k r b t g t       #   d o m i a n ： 后 面 是 域 控 名     u s e r 后 面 是 k r b t g t 用 户
第 二 步 ： . 清 除 自 己 C l i e n t 端 ( 域 内 其 他 机 器 ) 的 票 据 。 我 们 在 域 控 上 面 成 功 抓 取 了 h a s h 和 s i d ， 将 h a s h 和 s i d 复 制 到 其 他 域 内 机 器 中 ， 也 就 是 C l i e n t 端 ， 然 后 在 m i m i k a t z . e x e 执 行 k e r b e r o s : : l i s t 查 看 我 们 当 前 的 票 据 。 然 后 在 m i m i k a t z . e x e 执 行 ： k e r b e r o s : : p u r g e   意 思 就 是 清 空 当 前 用 户 登 录 的 票 据 ， 通 过 下 面 的 图 片 看 到 清 空 了 以 后 ， 在 执 行 l i s t 的 时 候 ， 就 没 有 任 何 的 票 据 了 。 第 三 步 ： 伪 造 T G T 票 据 ( 黄 金 票 据 ) k e r b e r o s : : g o l d e n 的 意 思 是 使 用 票 据 功 能 ， / a d m i n   后 面 的 用 户 是 我 们 可 以 伪 造 的 任 意 用 户 ， 我 这 里 用 c e s h i ， / s i d 后 面 输 入 的 就 是 我 们 之 前 抓 到 的 s i d ， / k r b t g t 后 面 是 之 前 抓 到 的 h a s h ，   / p t t 是 立 即 执 行 到 内 存 的 意 思 。 p s : 一 共 有 5 个 空 格 ， 这 里 需 要 注 意 下 。 构 造 好 了 语 句 后 ， 在 C l i e n t 端 上 执 行 ， 提 示 S u c c e s s f u l l y 表 示 已 经 成 功 了 。 k e r b e r o s : : g o l d e n   / a d m i n : c e s h i   / d o m a i n : h y d r a . c o m   / s i d : S - 1 - 5 - 2 1 - 4 1 8 8 7 5 2 6 3 2 - 3 7 4 6 0 0 1 6 9 7 - 3 9 6 8 4 3 1 4 1 3   / k r b t g t : 5 2 4 f 4 b e d 4 b 8 a 3 6 2 b d a 1 a 5 6 0 b 9 7 7 9 e a d f   / p t t
0 x 0 3   总 结 总 结 第 四 步 ： 通 过 k e r b e r o s : : l i s t 查 看 当 前 票 据 ， 伪 造 成 功 （ 也 可 以 通 过 c m d 中 k l i s t 查 看 ， 这 里 需 要 注 意 的 是 c m d 需 要 用 管 理 员 的 方 式 运 行 ） 到 了 这 一 步 以 后 ， 说 明 我 们 已 经 成 功 在 C l i e n t 端 伪 造 了 黄 金 票 据 ( 在 伪 造 的 时 候 可 以 是 任 意 用 户 名 ， 我 这 里 是 c e s h i ) 。 第 五 步 ： 在 C l i e n t 端 通 过 P s e x e c . e x e 工 具 来 与 主 域 控 进 行 连 接 ( 对 于 p s e x e c . e x e 工 具 的 使 用 这 里 不 多 做 介 绍 ) 连 接 成 功 了 以 后 ， 是 直 接 返 回 一 个 c m d 的 交 互 式 界 面 ， 并 且 是 最 高 权 限 。 此 时 ， 我 们 就 可 以 在 当 前 C l i e n t 端 ( 域 内 机 器 中 ) 来 执 行 主 域 控 下 c m d 操 作 ， 并 且 权 限 是 最 高 的 。 第 一 步 ： 在 域 控 中 ， 或 者 是 域 内 机 器 中 ( 域 管 理 员 用 户 权 限 登 录 ) ， 因 为 是 需 要 抓 取 h a s h 和 s i d 的 ， 所 以 必 须 要 是 管 理 员 权 限 ， 命 令 如 下 ： 第 二 步 ： 清 除 自 己 c l i e n t 端 ( 域 内 其 他 机 器 ) 的 票 据 : 第 三 步 ： 查 看 票 据 （ c l i e n t 端 ） ： （ 此 时 票 据 信 息 肯 定 是 空 的 ） 第 四 步 : 伪 造 黄 金 票 据 （ c l i e n t 端 ） ， 这 里 的 参 数 文 章 上 面 都 介 绍 过 了 ， 这 里 不 多 介 绍 。 第 五 步 : 尝 试 使 用 p s e x e c 登 录 域 控 的 c m d 控 制 台 ( c l i e n t 端 ) : 与 其 说 是 一 种 攻 击 方 式 ， 不 如 说 是 一 种 后 门 ， 当 域 控 权 限 掉 后 ， 在 通 过 域 内 其 他 任 意 机 器 伪 造 票 据 重 新 获 取 最 高 权 限 。 原 文 链 接 ： h t t p s : / / b l o g . c s d n . n e t / c j _ A l l e n / a r t i c l e / d e t a i l s / 1 0 4 2 9 7 4 5 2 l s a d u m p : : d c s y n c   / d o m a i n : h y d r a . c o m   / u s e r : k r b t g t k e r b e r o s : ： p u r g e k e r b e r o s : : l i s t k e r b e r o s : : g o l d e n   / a d m i n : c e s h i   / d o m a i n : h y d r a . c o m     / s i d : S - 1 - 5 - 2 1 - 4 1 8 8 7 5 2 6 3 2 - 3 7 4 6 0 0 1 6 9 7 - 3 9 6 8 4 3 1 4 1 3   / k r b t g t : 5 2 4 f 4 b e d 4 b 8 a 3 6 2 b d a 1 a 5 6 0 b 9 7 7 9 e a d f   / p t t   p s e x e c . e x e   d c . h y d r a . c o m   c m d . e x e
推 荐 阅 读 ： 推 荐 阅 读 ： 渗 透 实 战 系 列 渗 透 实 战 系 列 ▶ 【 渗 透 实 战 系 列 】 2 4 | - 针 对 C M S 的 S Q L 注 入 漏 洞 的 代 码 审 计 思 路 和 方 法 ▶ 【 渗 透 实 战 系 列 】 2 3 | - 某 菠 菜 网 站 渗 透 实 战 ▶ 【 渗 透 实 战 系 列 】 2 2 | - 渗 透 系 列 之 打 击 彩 票 站 ▶ 【 渗 透 实 战 系 列 】 2 1 | 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 2 0 | - 渗 透 直 播 网 站 ▶ 【 渗 透 实 战 系 列 】 1 9 | - 杀 猪 盘 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 1 8 - 手 动 拿 学 校 站 点   得 到 上 万 人 的 信 息 （ 漏 洞 已 提 交 ） ▶ 【 渗 透 实 战 系 列 】 | 1 7 - 巧 用 f o f a 对 目 标 网 站 进 行 g e t s h e l l ▶ 【 渗 透 实 战 系 列 】 ｜ 1 6 - 裸 聊 A P P 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 5 - 博 彩 网 站 （ A P P ） 渗 透 的 常 见 切 入 点 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 4 - 对 诈 骗 （ 杀 猪 盘 ） 网 站 的 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 3 - w a f 绕 过 拿 下 赌 博 网 站 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 2   - 渗 透 实 战 ，   被 骗 4 0 0 0 花 呗 背 后 的 骗 局 ▶ 【 渗 透 实 战 系 列 】 ｜ 1 1   -   赌 博 站 人 人 得 而 诛 之 ▶ 【 渗 透 实 战 系 列 】 | 1 0   -   记 某 色 X 商 城 支 付 逻 辑 漏 洞 的 白 嫖 （ 修 改 价 格 提 交 订 单 ） ▶ 【 渗 透 实 战 系 列 】 | 9 - 对 境 外 网 站 开 展 的 一 次 w e b 渗 透 实 战 测 试 （ 非 常 详 细 ， 适 合 打 战 练 手 ） ▶ 【 渗 透 实 战 系 列 】 | 8 - 记 一 次 渗 透 测 试 从 X S S 到 G e t s h e l l 过 程 （ 详 细 到 无 语 ） ▶ 【 渗 透 实 战 系 列 】 | 7 - 记 一 次 理 财 杀 猪 盘 渗 透 测 试 案 例 ▶ 【 渗 透 实 战 系 列 】 | 6 -   B C 杀 猪 盘 渗 透 一 条 龙 ( 文 末 附 【 渗 透 实 战 系 列 】 其 他 文 章 链 接 ) ▶ 【 渗 透 实 战 系 列 】 | 5 - 记 一 次 内 衣 网 站 渗 透 测 试 ▶ 【 渗 透 实 战 系 列 】 | 4 - 看 我 如 何 拿 下 B C 站 的 服 务 器 ▶ 【 渗 透 实 战 系 列 】 | 3 - 一 次 简 单 的 渗 透 ▶ 【 渗 透 实 战 系 列 】 | 2 - 记 一 次 后 门 爆 破 到 提 权 实 战 案 例 ▶ 【 渗 透 实 战 系 列 】 | 1 一 次 对 跨 境 赌 博 类 A P P 的 渗 透 实 战 （ g e t s h e l l 并 获 得 全 部 数 据 ）
如 侵 权 请 私 聊 公 众 号 删 文 长 按 长 按 - 识 别 识 别 - 关 注 关 注 H a c k i n g 黑 白 红 黑 白 红 一 个 专 注 H a c k i n g 技 术 的 学 习 平 台 点 分 享 点 分 享 点 收 藏 点 收 藏 点 点 赞 点 点 赞 点 在 看 点 在 看
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理