搜索

[18580] 2021-06-20_内网渗透RDP会话劫持实现未授权登录

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2021-06-20_内网渗透RDP会话劫持实现未授权登录 内 网 渗 透   |   R D P 会 话 劫 持 实 现 未 授 权 登 录 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 6 - 2 0 前 言 前 言 远 程 桌 面 在 内 网 渗 透 中 可 以 说 是 再 常 见 不 过 了 ， 在 渗 透 测 试 中 ， 拿 下 一 台 主 机 后 有 时 候 会 选 择 开   3 3 8 9   进 远 程 桌 面 查 看 一 下 对 方 主 机 内 有 无 一 些 有 价 值 的 东 西 可 以 利 用 。 对 远 程 桌 面 的 利 用 姿 势 有 很 多 ， 本 篇 文 章 中 我 们 来 学 习 一 下   R D P   会 话 劫 持 的 相 关 利 用 姿 势 。 R D P   劫 持 的 原 理 劫 持 的 原 理 系 统 管 理 员 和 用 户 通 常 可 以 通 过   R D P   远 程 桌 面 登 录 指 定 服 务 器   3 3 8 9   远 程 桌 面 ， 而 攻 击 者 可 以 通 过 可 以 特 权 提 升 至 S Y S T E M   权 限 的 用 户 ， 可 以 在 不 知 道 其 他 用 户 登 录 凭 据 的 情 况 下 ， 用 来 劫 持 其 他 用 户 的   R D P   会 话 ， 该 漏 洞 在   2 0 1 7   年 由 以 色 列 安 全 研 究 员   A l e x a n d e r   K o r z n i k o v   在 个 人 博 客 中 披 露 。 利 用 条 件 只 需 要 获 取 机 器   S Y S T E M   权 限 执 行   t s c o n   命 令 。 对 于 开 启 远 程 桌 面 服 务 的   W i n d o w s   系 统 ， 当 有 多 个 用 户 登 录 该 系 统 时 ， 会 产 生 多 个 会 话 ， 如 下 图 ：
i m a g e - 2 0 2 1 0 5 2 3 1 7 3 0 3 0 6 1 9 其 中 ， 管 理 员 用 户   A d m i n i s t r a t o r   为 本 地 登 录 ， 用 户   b u n n y   为 通 过 远 程 桌 面 服 务 （ R D P ） 连 接   3 3 8 9   端 口 的 远 程 桌 面 登 录 。 接 下 来 ， 如 果 用 户   A d m i n i s t r a t o r   想 要 切 换 至 用 户   b u n n y   的 远 程 桌 面 ， 可 通 过 右 键 — >   连 接 （ C o n n e c t ） 进 行 连 接 ， 接 着 输 入 密 码 即 可 切 换 到   b u n n y   用 户 ： i m a g e - 2 0 2 1 0 5 2 3 1 7 3 1 2 0 7 9 6
i m a g e - 2 0 2 1 0 5 2 3 1 7 3 1 4 5 7 7 1 点 击 确 定 后 ， 如 下 图 所 示 ， 成 功 切 换 到 了   b u n n y   用 户 的 远 程 桌 面 ： i m a g e - 2 0 2 1 0 5 2 3 1 7 2 7 3 7 2 1 2 而 且 ， 在   W i n d o w s   中 有 一 个   t s c o n   命 令 ， 是 命 令 行 下 使 用 的 工 具 ， 也 可 以 实 现 与 上 述 相 同 的 功 能 。 首 先 执 行 如 下 命 令 获 取 用 户 对 应 的 会 话   I D ： q u e r y   u s e r
i m a g e - 2 0 2 1 0 5 2 3 1 7 3 3 2 0 8 8 5 可 以 看 到 用 户   b u n n y   对 应 的 会 话   I D   为   2 ， 然 后 通 过 执 行   t s c o n   命 令 即 可 成 功 切 换 至 用 户   b u n n y   的 远 程 桌 面 ， 命 令 如 下 ： • / P A S S W O R D ： b u n n y   用 户 的 密 码 i m a g e - 2 0 2 1 0 5 2 3 1 7 2 7 3 7 2 1 2 可 见 ， t s c o n   命 令 提 供 了 一 个 切 换 用 户 会 话 的 功 能 ， 并 且 ， 在 正 常 情 况 下 ， 切 换 会 话 时 需 要 提 供 目 标 用 户 的 登 录 密 码 。 但 这 并 不 能 完 全 确 保 会 话 安 全 ， 攻 击 者 通 过 特 殊 的 利 用 方 法 完 全 能 够 绕 过 验 证 ， 不 输 入 密 码 即 可 切 换 到 目 标 会 话 ， 从 而 实 现 目 标 用 户 的 未 授 权 登 录 。 而 这 里 所 讲 的 特 殊 的 利 用 方 法 便 是 在   S Y S T E M   权 限 下 直 接 执 行   t s c o n   会 话 切 换 命 令 ： t s c o n   2   / P A S S W O R D : B u n n y 2 0 2 1
此 时 攻 击 者 可 以 在 不 提 供 其 他 用 户 登 录 凭 据 的 情 况 下 自 由 切 换 会 话 桌 面 ， 实 现 劫 持 其 他 用 户 的   R D P   会 话 。 R D P   会 话 劫 持 在 特 定 情 况 下 可 以 大 显 身 手 ， 比 如 对 于 较 新 的   W i n d o w s   系 统 ， 默 认 情 况 下 是 无 法 通 过   M i m i k a t z   导 出 用 户 明 文 口 令 的 ， 此 时 我 们 通 过 常 规 方 法 无 法 切 换 至 另 一 用 户 的 桌 面 ， 那 么 我 们 便 可 以 借 助 上 文 提 到 的 方 法 ， 先 提 权 至   S Y S T E M   权 限 ， 再 劫 持 目 标 用 户 的   R D P   并 切 换 过 去 。 特 别 注 意 的 是 ， 即 使 远 程 连 接 的 用 户 关 闭 了 远 程 连 接 窗 口 ， 也 不 会 劫 持 该 回 话 ， 只 是 在 后 台 显 示   “ 已 断 开 连 接 ” （ D i s c o n n e c t e d ） ： i m a g e - 2 0 2 1 0 5 2 3 1 8 1 1 2 0 6 4 2 此 时 ， 仍 能 在   S Y S T E M   权 限 下 通 过     实 现 未 授 权 连 接 。 高 权 限 用 户 劫 持 低 权 限 用 户 的 高 权 限 用 户 劫 持 低 权 限 用 户 的   R D P 高 权 限 用 户 劫 持 低 权 限 用 户 的   R D P   会 话 利 用 起 来 比 较 简 单 ， 由 于 具 有 管 理 员 权 限 ， 可 以 直 接 通 过 创 建 服 务 等 方 式 获 取   S Y S T E M 权 限 。 创 建 劫 持 用 户 会 话 的 服 务 ： t s c o n   I D t s c o n s c   c r e a t e   r d p   b i n p a t h =   " c m d . e x e   / k   t s c o n   2   / d e s t : c o n s o l e " s c   s t a r t   r d p
i m a g e - 2 0 2 1 0 5 2 3 1 7 4 5 1 0 8 3 1 执 行     后 ， 我 们 创 建 的 劫 持 会 话 的 服 务 将 会 启 动 ， 由 于   W i n d o w s   是 以   S Y S T E M   权 限 运 行 服 务 的 ， 所 以 我 们     命 令 也 会 以   S Y S T E M   权 限 运 行 ， 此 时 便 可 以 在 不 提 供 目 标 用 户 密 码 的 情 况 下 成 功 劫 持 目 标 用 户 的 会 话 ： i m a g e - 2 0 2 1 0 5 2 3 1 7 4 7 2 7 3 9 4 其 实 也 可 以 使 用   P s e x e c   来 获 得 一 个   S Y S T E M   权 限 的   c m d （ P s e x e c   获 得 的   s h e l l   是   S Y S T E M   权 限 的 ） ， 然 后 再 这 个   S Y S T E M s c   s t a r t   r d p t s c o n   2
权 限 的   c m d   中 直 接 执 行     劫 持 命 令 ： 低 权 限 用 户 劫 持 高 权 限 用 户 的 低 权 限 用 户 劫 持 高 权 限 用 户 的   R D P 低 权 限 用 户 劫 持 高 权 限 用 户 的   R D P   会 话 利 用 起 来 没 有 前 者 那 么 简 单 ， 因 为 权 限 太 低 ， 所 以 无 法 执 行 创 建 服 务 ， 执 行   P s e x e c   等 高 权 限 的 命 令 。 所 以 如 果 低 权 限 用 户 想 要 劫 持 高 权 限 用 户 的   R D P   的 话 需 要 想 办 法 提 权 ， 即 将 自 己 的 权 限 提 升 至   S Y S T E M 。 实 验 环 境 如 下 ： i m a g e - 2 0 2 1 0 5 2 3 1 8 0 2 3 7 6 1 0 假 设 有 这 么 一 种 情 况 ， 有 一 台   W i n d o w s   S e r v e r   2 0 1 2   系 统 的 服 务 器 ， 其 本 地 登 录 着 一 个 普 通 域 用 户   b u n n y ： t s c o n   2 p s e x e c   - s   - i   c m d         #   获 得 一 个   S Y S T E M   权 限 的   c m d q u s e r   u s e r         #   在 新 获 得 的   S Y S T E M   权 限 的   c m d   中 执 行 劫 持 命 令 t s c o n   2   / d e s t : c o n s o l e
i m a g e - 2 0 2 1 0 5 2 3 1 7 0 2 3 1 9 5 8 我 们 通 过 某 种 方 式 获 得 了 这 个   b u n n y   用 户 的 登 录 密 码 ， 并 使 用 这 个   b u n n y   用 户 成 功 进 行 远 程 登 录 ： i m a g e - 2 0 2 1 0 5 2 3 1 7 0 4 2 9 6 3 4 此 时 ， 登 录 后 查 看 任 务 管 理 器 发 现 后 台 还 存 在 管 理 员 用 户   A d m i n i s t r a t o r   的 会 话 ：
i m a g e - 2 0 2 1 0 5 2 3 1 7 1 0 4 0 7 2 5 并 且 使 用     命 令 查 看 其 会 话   I D   为   1 。 接 下 来 我 们 尝 试 劫 持 这 个 管 理 员 用 户 的 远 程 会 话 。 首 先 使 目 标 主 机 上 线 一 个   b u n n y   用 户 权 限 的   M S F ， 然 后 通 过 各 种 系 统 漏 洞 获 得 了 目 标 机 的   S y s t e m   权 限 ： 然 后 进 入   s h e l l   中 执 行   t s c o n   命 令 进 行 劫 持 即 可 ： q u e r y   u s e r
i m a g e - 2 0 2 1 0 5 2 3 1 7 1 7 5 6 4 4 0 如 上 图 所 示 ， 成 功 劫 持 并 切 换 到 了   A d m i n i s t r a t o r   用 户 的 远 程 桌 面 。 配 合 远 程 桌 面 辅 助 功 能 后 门 的 利 用 配 合 远 程 桌 面 辅 助 功 能 后 门 的 利 用 相 信 你 一 定 知 道   W i n d o w s   粘 滞 键 后 门 ， 如 果 你 在 电 脑 上 连 按 五 次   s h i f t   键 ， 你 就 会 发 现 电 脑 屏 幕 上 弹 出 了 一 个 叫 做 “ 粘 滞 键 ” 的 程 序 ， 即 使 没 有 登 录 进 系 统 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理