搜索

[18562] 2021-05-18_内网渗透浅谈域渗透中的组策略及gpp运用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-05-18_内网渗透浅谈域渗透中的组策略及gpp运用 内 网 渗 透   |   浅 谈 域 渗 透 中 的 组 策 略 及 g p p 运 用 原 创   D r u n k m a r s   H A C K 学 习 呀   2 0 2 1 - 0 5 - 1 8 0 x 0 0   前 言 前 言   最 近 在 实 战 过 程 中 遇 到 了 组 策 略 ， 发 现 攻 击 面 其 实 挺 宽 广 的 ， 这 里 记 录 下 自 己 的 分 析 和 学 习 过 程 。   0 x 0 1   组 策 略 的 认 识 组 策 略 的 认 识   组 策 略 组 策 略 （ 英 语 ： G r o u p   P o l i c y ） 是 微 软 W i n d o w s   N T 家 族 操 作 系 统 的 一 个 特 性 ， 它 可 以 控 制 用 户 帐 户 和 计 算 机 帐 户 的 工 作 环 境 。 组 策 略 提 供 了 操 作 系 统 、 应 用 程 序 和 活 动 目 录 中 用 户 设 置 的 集 中 化 管 理 和 配 置 。 组 策 略 的 其 中 一 个 版 本 名 为 本 地 组 策 略 本 地 组 策 略 （ 缩 写 “ L G P O ” 或 “ L o c a l G P O ” ） ， 这 可 以 在 独 立 且 非 域 的 计 算 机 上 管 理 组 策 略 对 象 。   通 过 使 用 组 策 略 ， 你 可 以 设 置 策 略 设 置 一 次 ， 然 后 将 该 设 置 复 制 到 多 台 计 算 机 上 。 例 如 ， 你 可 以 在 链 接 到 域 的   G P O   中 设 置 多 个   I n t e r n e t   E x p l o r e r 1 1   安 全 设 置 ， 然 后 将 所 有 这 些 设 置 应 用 到 域 中 的 每 台 计 算 机 。   根 据 作 用 范 围 不 同 组 策 略 可 划 分 为 多 种 ， 并 且 拥 有 自 己 的 执 行 顺 序 和 继 承 原 则 。   0 x 1 . 1   密 码 的 难 题 密 码 的 难 题   每 台 W i n d o w s 主 机 有 一 个 内 置 的 A d m i n i s t r a t o r 账 户 以 及 相 关 联 的 密 码 。 大 多 数 组 织 机 构 为 了 安 全 ， 可 能 都 会 要 求 更 改 密 码 ， 虽 然 这 种 方 法 的 效 果 并 不 尽 如 人 意 。 标 准 的 做 法 是 利 用 组 策 略 去 批 量 设 置 工 作 站 的 本 地 A d m i n i s t r a t o r 密 码 。 但 是 这 样 又 会 出 现 另 一 个 问 题 ， 那 就 是 所 有 的 电 脑 都 会 有 相 同 的 本 地 A d m i n i s t r a t o r 密 码 。 也 就 是 说 ， 如 果 获 取 了 一 个 系 统 的 A d m i n i s t r a t o r 认 证 凭 据 ， 黑 客 就 可 以 获 取 他 们 所 有 机 器 的 管 理 权 限 。   0 x 1 . 2   S Y S V O L   解 决 办 法 之 一 是 为 认 证 数 据 采 取 S Y S V O L ， S Y S V O L 是 A D （ 活 动 目 录 ） 里 面 一 个 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 所 有 的 认 证 用 户 都 可 以 读 取 。 S Y S V O L 包 括 登 录 脚 本 ， 组 策 略 数 据 ， 以 及 其 他 域 控 所 需 要 的 域 数 据 ， 这 是 因 为 S Y S V O L 能 在 所 有 域 控 里 进 行 自 动 同 步 和 共 享 。   所 有 的 域 组 策 略 存 储 在 ：   < D O M A I N > S Y S V O L < D O M A I N > P o l i c i e s   0 x 1 . 3   S Y S V O L 里 的 认 证 里 的 认 证   在 w i n d o w s 电 脑 中 ， 管 理 需 要 花 心 思 去 保 证 本 地 A d m i n i s t r a t o r 账 户 （ R I D   5 0 0 ） 。 传 统 的 做 法 （ 除 了 购 买 安 全 产 品 ） ， 是 使 用 一 个 自 定 义 的 脚 本 去 更 改 本 地 A d m i n i s t r a t o r 的 密 码 。 这 样 就 会 出 现 一 个 问 题 ， 密 码 肯 定 会 明 文 存 储 在 S Y S V O L 的 脚 本 里 ( 比 如 v b s 文 件 ) 。 比 如 黑 客 需 要 搜 寻 用 来 更 改 本 地 A d m i n i s t r a t o r 密 码 的 V B S 脚 本 ， 该 v b s 脚 本 在 M i c r o s o f t   T e c h N e t   g a l l e r y 上 ， 密 码 为 可 见 的 。 这 个 脚 本 存 在 S Y S V O L 里 ， 每 个 域 用 户 都 有 读 的 权 限 ， 且 该 密 码 是 每 台 电 脑 组 策 略 应 用 的 本 地 A d m i n i s t r a t o r 密 码 。   0 x 1 . 4   组 策 略 偏 好 组 策 略 偏 好 G P P   在 2 0 0 6 年 ， 微 软 收 购 了 桌 面 标 准 的 “ P o l i c y M a k e r ” ， 并 重 新 借 此 与 w i n 2 0 0 8 发 布 了 G P P （ 组 策 略 偏 好 ） 。 其 中 G P P 最 有 用 的 特 性 ， 是 在 某 些 场 景 存 储 和 使 用 凭 据 ， 其 中 包 括 ：   映 射 驱 动 （ D r i v e s . x m l ） 创 建 本 地 用 户 数 据 源 （ D a t a S o u r c e s . x m l ） 打 印 机 配 置 （ P r i n t e r s . x m l ） 创 建 / 更 新 服 务 （ S e r v i c e s . x m l ） 计 划 任 务 （ S c h e d u l e d T a s k s . x m l ） 更 改 本 地 A d m i n i s t r a t o r 密 码   这 对 管 理 员 非 常 有 用 ， 因 为 G P P 提 供 了 一 个 自 动 化 机 制 ， 可 以 作 为 急 需 的 解 决 方 案 （ 比 如 脚 本 ） 给 他 们 。 它 提 供 了 有 效 的 方 法 ， 利 用 显 式 凭 据 结 合 组 策 略 部 署 了 计 划 任 务 ， 一 次 性 批 量 更 改 了 电 脑 的 本 地 管 理 的 密 码 ， 也 许 这 就 是 最 受 欢 迎 的 利 用 场 景 吧 。
  0 x 1 . 5   G P P 中 存 储 的 凭 据 中 存 储 的 凭 据   然 而 现 在 有 个 问 题 ， 凭 据 数 据 应 该 怎 样 保 护 ？   当 管 理 创 建 了 一 个 新 的 G P P 时 ， S Y S V O L 里 有 一 个 X M L 文 件 提 供 了 相 关 配 置 数 据 。 如 果 里 面 提 供 了 密 码 的 话 ， 那 应 该 就 是 A E S - 2 5 6 加 密 ， 看 起 来 这 加 密 似 乎 是 够 强 力 了 。     然 而 除 了 在 2 0 1 2 年 前 的 某 些 点 外 ， 微 软 在 M S D N 上 发 布 了 A E S 的 私 钥 ， 它 可 以 用 来 解 密 这 种 密 码 。 因 为 认 证 用 户 （ 所 有 域 用 户 或 者 信 任 域 里 的 用 户 ） 对 S Y S V O L 拥 有 读 权 限 。 在 域 里 的 任 何 用 户 可 以 搜 索 S Y S V O L 共 享 中 的 带 有 c p a s s w o r d 字 样 的 X M L 文 件 ， 里 面 包 含 了 A E S 加 密 的 密 码 。     0 x 0 2   组 策 略 的 分 类 组 策 略 的 分 类   0 x 2 . 1   本 地 组 策 略 （ 本 地 组 策 略 （ L G P ） ）   本 地 组 策 略 本 地 组 策 略 （ L o c a l   G r o u p   P o l i c y ， 缩 写 L G P 或 L o c a l G P O ） 是 组 策 略 的 基 础 版 本 ， 它 面 向 独 立 且 非 域 的 计 算 机 。 至 少 W i n d o w s   X P 家 庭 版 中 它 就 已 经 存 在 ， 并 且 可 以 应 用 到 域 计 算 机 。 在 W i n d o w s V i s t a 以 前 ， L G P 可 以 强 制 施 行 组 策 略 对 象 到 单 台 本 地 计 算 机 ， 但 不 能 将 策 略 应 用 到 用 户 或 组 。 从 W i n d o w s   V i s t a 开 始 ， L G P 允 许 本 地 组 策 略 管 理 单 个 用 户 和 组 ， 并 允 许 使 用 “ G P O   P a c k s ” 在 独 立 计 算 机 之 间 备 份 、 导 入 和 导 出 组 策 略 — — 组 策 略 容 器 包 含 导 入 策 略 到 目 标 计 算 机 的 所 需 文 件 。   这 里 演 示 下 利 用 本 地 组 策 略 来 加 载 我 们 的 后 门 程 序   这 里 我 直 接 用 C S 生 成 一 个 w i n d o w 的 后 门 s h e l l . e x e   开 始 - > 运 行 - > 键 入 " g p e d i t . m s c " - > 本 地 组 策 略 编 辑 器 - > w i n d o w 设 置 ( s y s t e m ) - > 脚 本 - > 启 动 - > 属 性     点 击 显 示 文 件 :
  把 我 们 的 后 门 程 序 复 制 到 这 个 路 径 , 然 后 这 个 脚 本 开 机 就 会 自 动 加 载 执 行 了       当 我 们 重 新 启 动 的 时 候 ， 发 现 直 接 以 s y s t e m 权 限 加 载 了 我 们 的 程 序   C : W i n d o w s S y s t e m 3 2 G r o u p P o l i c y M a c h i n e S c r i p t s S t a r t u p
  用 p s 1 脚 本 上 线 同 理 ， 也 是 拿 到 了 一 个 s y s t e m 权 限      
    0 x 2 . 2   域 组 策 略 域 组 策 略   当 机 器 安 装 了 域 环 境 的 时 候 , 系 统 管 理 工 具 会 多 出 一 个 功 能 ( 组 策 略 管 理 ) , 通 过 它 ， 域 管 理 员 能 够 很 方 便 统 一 地 对 域 内 的 机 器 和 用 户 进 行 统 一 管 理 。   域 管 理 员 经 常 会 面 对 一 个 这 样 的 问 题 , 域 成 员 机 子 的 默 认 本 地 管 理 员 密 码 过 于 简 单 ， 想 进 行 批 量 修 改 的 时 候 ， 这 个 时 候 就 可 以 利 用 组 策 略 来 进 行 任 务 的 批 量 下 发 。   1 . 通 过 在 域 中 下 发 脚 本 来 执 行 2 . 在 组 策 略 首 选 项 G P P 中 进 行 设 置 3 . 本 地 管 理 员 密 码 解 决 方 案 : L A P S ( 不 细 说 这 个 内 容 ， 这 是 解 决 这 个 问 题 很 好 的 方 案 )   首 先 我 们 需 要 了 解 下 A D 域 中 两 个 默 认 的 共 享 文 件 夹 : S Y S V O L   N E T L O G O N    
N E T L O G O N 目 录 目 录   挂 载 点 : S Y S V O L d o m a i n S C R I P T S   主 要 存 放 的 是 一 些 脚 本 信 息 ， 是 A D 活 动 目 录 安 装 时 候 自 动 创 建 的 ， 是 在 s y s v o l 下 面 的 一 个 子 目 录 文 件 夹   S Y S V O L 目 录 目 录   S Y S V O L 目 录 是 A D 域 中 的 一 个 共 享 文 件 夹 ， 该 文 件 夹 在 A D 活 动 目 录 安 装 时 候 被 创 建 。 通 常 用 来 存 放 组 策 略 数 据   和   一 些 脚 本   配 置 文 件 ， 这 些 策 略 和 脚 本 将 用 于 传 递 给 域 成 员 机 器 。 此 外 ， 域 控 机 器 之 间 因 为 要 自 动 同 步 域 数 据 ， S Y S V O L 文 档 允 许 该 域 内 的 所 有 D C 机 之 间 进 行 复 制 ， 并 且 所 有 的 A D 用 户 都 可 以 访 问 它   在 域 中 ， 用 户 登 录 （ 计 算 机 ） 时 ， 会 首 先 在 S Y S V O L 文 件 查 找 G P O 和 启 动 脚 本 。 同 时 ， 为 了 保 证 系 统 的 正 常 运 行 ， 必 须 为 S Y S V O L 保 留 足 够 的 空 间 缓 存 ， 而 且 不 能 随 意 删 除 、 改 动 该 文 件 夹 ， 要 不 然 会 出 现 一 些 组 策 略 无 法 启 用 等 报 错 信 息   该 目 录 由 于 针 对 的 是 域 内 所 有 机 器 和 用 户 ， 所 以 域 内 中 的 合 法 用 户 均 可 以 访 问 和 执 行 该 目 录 的 文 件 。 ( 普 通 的 域 用 户 也 可 以 )       如 果 更 改 权 限 ， 这 个 地 方 会 显 示 拒 绝 访 问   G P O   组 策 略 对 象 ， G P O （ G r o u p   P o l i c y   O b j e c t ） ， 实 际 上 就 是 组 策 略 设 置 的 集 合 。 你 可 以 用 G P O 来 存 储 不 同 的 组 策 略 信 息 ， 然 后 作 用 在 指 定 O U 或 者 指 定 作 用 范 围 发 挥 作 用 。   默 认 安 装 完 A D 之 后 ， 系 统 默 认 会 存 在 两 个 组 策 略 对 象   D e f a u l t   D o m a i n   P o l i c y   唯 一 I D ( G U I D ) : { 3 1 B 2 F 3 4 0 - 0 1 6 D - 1 1 D 2 - 9 4 5 F - 0 0 C 0 4 F B 9 8 4 F 9 }   ( 都 是 相 同 的 )
  默 认 域 策 略 W i n d o w s   S e r v e r   2 0 0 8   c r e a t e s   a   D e f a u l t   D o m a i n   P o l i c y   G P O   f o r   e v e r y   d o m a i n   i n   t h e   f o r e s t .   T h i s   d o m a i n   i s   t h e   p r i m a r y   m e t h o d   u s e d   t o   s e t   s o m e   s e c u r i t y - r e l a t e d   p o l i c i e s   s u c h   a s   p a s s w o r d   e x p i r a t i o n   a n d   a c c o u n t l o c k o u t .     存 放 的 路 径 :   D e f a u l t   D o m a i n   C o n t r o l l e r s   P o l i c y   唯 一 I D ( G U I D ) : ｛ 6 A C 1 7 8 6 C - 0 1 6 F - 1 1 D 2 - 9 4 5 F -   0 0 C 0 4 F B 9 8 4 F 9 ｝   ( 都 是 相 同 的 )   默 认 域 控 制 器 策 略 管 理 目 标 “ D o m a i n   C o n t r o l l e r s ” 容 器 ， 影 响 “ D o m a i n   C o n t r o l l e r s ” 容 器 中 的 域 控 制 器 ， 域 控 制 器 账 户 单 独 保 存 在 该 容 器 中 。   C : W i n d o w s S Y S V O L s y s v o l t e s t 1 . l o c a l P o l i c i e s { 3 1 B 2 F 3 4 0 - 0 1 6 D - 1 1 D 2 - 9 4 5 F - 0 0 C 0 4 F B 9 8 4 F 9 }
  不 难 看 到 这 个 G P O 作 用 的 范 围 是 D C 这 个 O U , 相 应 的 执 行 优 先 级 如 下 图     G P P   我 们 可 以 看 到 G P P 里 面 自 定 义 了 很 多 操 作 ， 比 如 本 地 用 户 和 组 的 密 码 控 制 、 计 划 任 务 等   在 在 G P P 出 现 之 前 ， 很 多 统 一 管 理 的 操 作 只 能 通 过 脚 本 来 实 现 ， 而 出 现 之 前 ， 很 多 统 一 管 理 的 操 作 只 能 通 过 脚 本 来 实 现 ， 而 G P P 方 便 和 简 化 了 这 样 的 管 理 方 便 和 简 化 了 这 样 的 管 理 , G P P 你 可 以 将 其 理 解 为 一 个 功 能 点 你 可 以 将 其 理 解 为 一 个 功 能 点 , 作 用 是 简 单 化 、 规 范 化 组 策 略 的 发 布 和 使 用 作 用 是 简 单 化 、 规 范 化 组 策 略 的 发 布 和 使 用  
  0 x 2 . 3   域 组 策 略 的 利 用   0 x 2 . 3 . 1   读 取 脚 本 中 密 码 读 取 脚 本 中 密 码   这 里 我 用 一 个 例 子 来 说 明 , 域 组 策 略 是 怎 么 加 载 脚 本 作 用 到 域 内 机 器 的     这 里 我 们 保 存 这 个 脚 本 为 c p a s s . v b s , 这 个 脚 本 的 作 用 那 就 是 修 改 本 地 管 理 员 账 户 的 密 码 为   1 2 3 Q W E Q W E ! @ #   这 里 我 直 接 在 域 策 略 的 G P O 下 面 直 接 用 脚 本 来 下 发 这 个 脚 本     s t r C o m p u t e r   =   " . " S e t   o b j U s e r   =   G e t O b j e c t ( " W i n N T : / / "   &   s t r C o m p u t e r   &   " / A d m i n i s t r a t o r ,   u s e r " ) o b j U s e r . S e t P a s s w o r d   " 1 2 3 Q W E Q W E ! @ # " o b j U s e r . S e t I n f o
这 里 为 了 演 示 效 果 , 我 们 在 域 用 户 机 器 上 进 行 强 制 更 新 组 策 略       我 们 可 以 在 域 用 户 中 通 过 搜 索 脚 本 文 件 比 如 * . v b s   * . b a t 来 找 到     搜 索 S Y S V O L 的 下 的 脚 本 命 令   0 x 2 . 3 . 2   G P P 漏 洞 的 利 用 漏 洞 的 利 用   G P P 漏 洞 只 在 2 0 0 8 没 打 补 丁 版 本 上 存 在 ， 超 过 2 0 0 8 版 本 的 系 统 是 没 办 法 写 入 密 码 的 。   这 个 漏 洞 的 产 生 原 因 是   使 用 了 G P P 功 能 ， 如 果 输 入 了 用 户 的 密 码 的 话 ， 那 么 密 码 就 会 以 A E S   2 5 6 加 密 的 形 式 存 储 在 S Y S V O L 文 件 夹 下 的 以 X M L 后 缀 结 尾 的 x m l 文 件 中 ， 这 个 密 码 的 加 密 密 钥 由 微 软 官 方 给 出 可 以 进 行 解 密 ， 但 是 如 果 打 补 丁 或 者 高 版 本 的 话 ， G P P 服 务 是 不 能 输 入 密 码 的 了 ， 这 个 漏 洞 也 就 相 应 不 存 在 了 。     g p u p d a t e   / f o r c e s h e l l   f o r   / r   d c / s y s v o l   % i   i n   ( * . v b s )   d o   @ e c h o   % i s h e l l   f o r   / r   d c / s y s v o l   % i   i n   ( * . b a t )   d o   @ e c h o   % i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理