搜索

[18585] 2021-06-27_内网渗透SPN与Kerberoast攻击讲解

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-27_内网渗透SPN与Kerberoast攻击讲解 内 网 渗 透   |   S P N   与   K e r b e r o a s t   攻 击 讲 解 原 创   W H O A M I   H A C K 学 习 呀   2 0 2 1 - 0 6 - 2 7 收 录 于 话 题 # 内 网 渗 透   , 2 0 # K e r b e r o s 协 议   , 4 # 基 础 知 识   , 4 k e r b e r o a s t i n g 前 言 前 言 往 期 文 章 ： 内 网 渗 透   |   K e r b e r o s   协 议 与   K e r b e r o s   认 证 原 理 内 网 渗 透   |   K e r b e r o s   协 议 相 关 安 全 问 题 分 析 与 利 用 在 上 一 篇 文 章 《 内 网 渗 透 测 试 ： K e r b e r o s   协 议 相 关 安 全 问 题 分 析 与 利 用 》 中 ， 我 们 详 细 介 绍 了 多 种 基 于   K e r b e r o s   协 议 进 行 的 攻 击 ， 本 节 我 们 再 来 对   K e r b e r o a s t   攻 击 做 一 下 介 绍 。 K e r b e r o s   是 一 种 支 持 票 证 身 份 验 证 的 安 全 协 议 。 如 果 客 户 端 计 算 机 身 份 验 证 请 求 包 含 有 效 的 用 户 凭 据 和   S P N ， 则   K e r b e r o s   身 份 验 证 服 务 器 将 授 予 一 个 票 证 以 响 应 该 请 求 。 然 后 ， 客 户 端 计 算 机 使 用 该 票 证 来 访 问 网 络 资 源 。 什 么 是 什 么 是   S P N S P N ， S e r v i c e P r i n c i p a l   N a m e s ， 即 服 务 主 体 名 称 ， 是 服 务 实 例 （ 比 如 ： H T T P 、 S M B 、 M y S Q L 等 服 务 ） 在 使 用   K e r b e r o s   身 份 验 证 的 网 络 上 的 唯 一 标 识 符 ， 其 由 服 务 类 、 主 机 名 和 端 口 组 成 。 K e r b e r o s   认 证 过 程 使 用   S P N   将 服 务 实 例 与 服 务 登 录 账 户 相 关 联 ， 如 果 想 使 用   K e r b e r o s   协 议 来 认 证 服 务 ， 那 么 必 须 正 确 配 置 S P N 。 在 使 用   K e r b e r o s   身 份 验 证 的 网 络 中 ， 必 须 在 内 置 计 算 机 帐 户 或 域 用 户 帐 户 下 为 服 务 器 注 册   S P N 。 对 于 内 置 机 器 帐 户 ， S P N   将 自 动 进 行 注 册 。 但 是 ， 如 果 在 域 用 户 帐 户 下 运 行 服 务 ， 则 必 须 为 要 使 用 的 帐 户 手 动 注 册   S P N 。
S P N   分 为 两 种 类 型 ： 分 为 两 种 类 型 ： • 一 种 是 注 册 在 活 动 目 录 的 机 器 帐 户 （ C o m p u t e r s ） 下 。 当 一 个 服 务 的 权 限 为   L o c a l   S y s t e m   或   N e t w o r k   S e r v i c e   时 ， 则   S P N   注 册 在 机 器 帐 户 （ C o m p u t e r s ） 下 。 • 另 一 种 是 注 册 在 活 动 目 录 的 域 用 户 帐 户 （ U s e r s ） 下 ， 当 一 个 服 务 的 权 限 为 一 个 域 用 户 时 ， 则   S P N   注 册 在 域 用 户 帐 户 （ U s e r s ） 下 。 S P N 的 语 法 格 式 的 语 法 格 式 •   可 以 理 解 为 服 务 的 名 称 ， 常 见 的 有   W W W 、 L D A P 、 S M T P 、 D N S 、 H O S T   等 ， 例 如   •   有 两 种 形 式 ， F Q D N   和   N e t B I O S   名 ， 例 如     或 者 是   • 如 果 服 务 运 行 在 默 认 端 口 上 ， 则 端 口 号     可 以 省 略 在 内 网 中 ， S P N   扫 描 通 过 查 询 向 域 控 服 务 器 执 行 服 务 发 现 。 这 对 于 红 队 而 言 ， 可 以 帮 助 他 们 识 别 正 在 运 行 着 重 要 服 务 的 主 机 ， 如 终 端 ， 交 换 机 等 。 S P N   的 识 别 与 发 现 是   k e r b e r o a s t i n g   攻 击 的 第 一 步 。 K e r b e r o a s t i n g K e r b e r o s   协 议 在 请 求 访 问 某 个 服 务 时 存 在 一 个 缺 陷 ， K e r b e r o a s t i n g   正 是 利 用 这 个 缺 陷 的 一 种 攻 击 技 术 。 首 先 ， 我 们 来 整 体 了 解 一 下 正 常 情 况 下 一 个 用 户 请 求 访 问 某 个 服 务 时 会 经 过 哪 些 步 骤 ： • 首 先 用 户 将   A S - R E Q   数 据 包 发 送 给   K D C   密 钥 分 发 中 心 ， 要 对 一 个 域 进 行 身 份 验 证 。 • K D C   收 到 用 户 的 请 求 后 会 验 证 用 户 的 凭 据 ， 如 果 凭 据 有 效 ， 则 返 回   T G T   认 购 权 证 ， 该   T G T   认 购 权 证 用 于 以 后 的   S T   服 务 票 据 的 请 求 。 • 如 果 用 户 想 通 过 身 份 认 证 访 问 某 个 服 务 的 话 ， 那 么 他 需 要 发 起 票 据 授 予 请 求 ， 请 求 中 包 含   T G T   以 及 所 请 求 服 务 的   S P N   服 务 主 体 名 称 。 • 如 果   T G T   有 效 并 且 没 有 过 期 ， 那 么   T G S   会 从   T G T   认 购 权 证 中 提 取 信 息 创 建 一 个 用 于 访 问 目 标 服 务 的 一 个   S T   服 务 票 据 ， 该   S T   服 务 票 据 使 用 服 务 账 户 的 凭 据 进 行 加 密 。 然 后 ， 域 控 制 器 开 始 查 找 哪 个 帐 户 在   S e r v i c e d P r i n c i p a l N a m e （ S P N ） 字 段 中 注 册 了 所 请 求 的   S P N 。 • 用 户 收 到 包 含 了 服 务 票 据 的   T G S   响 应 数 据 包 。 • 最 后 ， 服 务 票 据 会 转 发 给 目 标 服 务 ， 然 后 使 用 服 务 账 户 的 凭 据 进 行 解 密 。 整 个 过 程 比 较 简 单 ， 我 们 需 要 注 意 的 是 ， 服 务 票 据 会 使 用 服 务 账 户 的 哈 希 进 行 加 密 ， 这 样 一 来 ， W i n d o w s 域 中 任 何 经 过 身 份 验 证 的 用 户 都 可 以 从   T G S   处 请 求   S T   服 务 票 据 。 由 于 服 务 票 证 是 用 链 接 到 请 求   S P N   的 帐 户 的 哈 希 加 密 的 ， 所 以 攻 击 者 可 以 离 线 破 解 这 个 加 密 块 ， 恢 复 帐 户 的 明 文 密 码 。 下 面 我 们 将 我 才 能 够 一 下 几 个 步 骤 讲 解   K e r b e r o a s t i n g   攻 击 的 利 用 ： • S P N   服 务 主 体 名 称 发 现 < s e r v i c e   c l a s s > / < h o s t > : < p o r t >   < s e r v e r n a m e >         服 务 类 型         / 对 应 机 器 名 : 服 务 端 口 [ 默 认 端 口 可 不 写 ] 其 中   < s e r v i c e   c l a s s >   和   < h o s t >   为 必 需 元 素 < s e r v i c e   c l a s s > M S S Q L S v c / W I N - C K T 0 M 3 5 R 6 U O . t o p . p e n t e s t . t o p : 1 4 3 3 < h o s t > W I N - C K T 0 M 3 5 R 6 U O . t o p . p e n t e s t . t o p W I N - C K T 0 M 3 5 R 6 U O < p o r t >
• 请 求 服 务 票 据 • 服 务 票 据 的 导 出 • 服 务 票 据 的 暴 力 破 解 S P N   服 务 主 体 名 称 发 现 服 务 主 体 名 称 发 现 由 于 每 台 服 务 器 都 需 要 注 册 用 于   K e r b e r o s   身 份 验 证 服 务 的   S P N ， 因 此 这 为 在 不 进 行 大 规 模 端 口 扫 描 的 情 况 下 收 集 有 关 内 网 域 环 境 的 服 务 运 行 信 息 提 供 了 一 个 更 加 隐 蔽 的 方 法 。 使 用 使 用   S e t S P N   查 询 查 询 S e t S P N   是   W i n d o w s   系 统 自 带 的 工 具 ， 可 以 查 询 域 内 的   S P N ： i m a g e - 2 0 2 1 0 5 2 3 1 0 3 5 1 3 5 7 7 s e t s p n   - Q   * / *         #   查 看 当 前 域 内 所 有 的   S P N s e t s p n   - T   w h o a m i a n o n y . o r g   - Q   * / *         #   查 看 指 定 域   w h o a m i a n o n y . o r g   注 册 的 S P N ,   如 果 指 定 域 不 存 在 ,   则 默 认 切 换 到 查 找 本 域 的   S P N s e t s p n   - L   < u s e r n a m e > / < h o s t n a m e >         #   查 找 指 定 用 户 / 主 机 名 注 册 的   S P N
i m a g e - 2 0 2 1 0 5 2 3 1 0 3 8 1 4 6 6 2 使 用 使 用   G e t U s e r S P N s . p s 1   脚 本 脚 本 • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / n i d e m / k e r b e r o a s t . g i t G e t U s e r S P N s   是   K e r b e r o a s t   工 具 集 中 的 一 个   P o w e r S h e l l   脚 本 ， 可 以 用 来 查 询 域 内 用 户 注 册 的   S P N 。 i m a g e - 2 0 2 1 0 5 2 3 1 0 5 9 0 6 4 6 2 使 用 使 用   P o w e r V i e w . p s 1   脚 本 脚 本 • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / P o w e r V i e w   是   P o w e r S p l o i t   框 架 中   R e c o n   目 录 下 的 一 个   P o w e r S h e l l   脚 本 ， ， P o w e r V i e w   相 对 于 上 面 几 种 是 根 据 不 同 用 户 的 o b j e c t s i d   来 返 回 ， 返 回 的 信 息 更 加 详 细 。 I m p o r t - M o d u l e   . G e t U s e r S P N s . p s 1 I m p o r t - M o d u l e   . P o w e r V i e w . p s 1 G e t - N e t U s e r   - S P N
i m a g e - 2 0 2 1 0 5 2 3 1 1 0 0 0 2 4 9 2 i m a g e - 2 0 2 1 0 5 2 3 1 1 0 0 2 3 3 1 1 请 求 服 务 票 据 请 求 服 务 票 据 使 用 使 用   R u b e u s   工 具 工 具 • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / G h o s t P a c k / R u b e u s
R u b e u s   工 具 里 面 的   k e r b e r o a s t   支 持 对 所 有 用 户 或 者 特 定 用 户 执 行   k e r b e r o a s t i n g   操 作 ， 其 原 理 在 于 先 用   L D A P   查 询 于 内 的   S P N 服 务 主 体 名 称 ， 然 后 发 送   T G S   包 ， 最 后 直 接 打 印 出 能 使 用   H a s h c a t   或   J o h n   爆 破 的   H a s h 。 默 认 情 况 下 会 打 印 出 注 册 于 用 户 下 的 所 有   S P N   的 服 务 票 据 的   H a s h c a t   格 式 ： i m a g e - 2 0 2 1 0 5 2 3 1 1 0 1 0 3 4 6 1 使 用 使 用   P o w e r S h e l l   命 令 请 求 命 令 请 求 为 特 定   S P N   请 求 服 务 票 据 的 最 简 单 方 法 是 通 过 P o w e r S h e l l ， 这 个 方 法 是   T i m   M e d i n   在   D e r b y C o n   4 . 0   演 讲   中 介 绍 的 ： R u b e u s . e x e   k e r b e r o a s t A d d - T y p e   - A s s e m b l y N a m e   S y s t e m . I d e n t i t y M o d e l         #   请 求 服 务 票 据 N e w - O b j e c t   S y s t e m . I d e n t i t y M o d e l . T o k e n s . K e r b e r o s R e q u e s t o r S e c u r i t y T o k e n   - A r g u m e n t L i s t   " M y S Q L / p c 2 . w h o a m i a n o n y . c o m : 3 3 0 6 / M y S Q L " k l i s t         #   列 出 服 务 票 据
i m a g e - 2 0 2 1 0 5 2 3 1 1 1 5 4 5 5 4 3 使 用 使 用   M i m i k a t z   工 具 请 求 工 具 请 求 可 以 使 用   M i m i k a t z   请 求 指 定   S P N   的 服 务 票 据 i m a g e - 2 0 2 1 0 5 2 3 1 1 1 6 3 2 3 4 6 k e r b e r o s : : a s k   / t a r g e t : M y S Q L / P C 2 . w h o a m i a n o n y . o r g : 3 3 0 6         #   请 求 服 务 票 据 k e r b e r o s : : l i s t         #   列 出 服 务 票 据 k e r b e r o s : : p u r g e         #   清 除 所 有 票 据
服 务 票 据 的 导 出 服 务 票 据 的 导 出 使 用 使 用   M i m i k a t z   工 具 导 出 工 具 导 出 该 命 令 之 后 完 毕 后 ， 会 在   M i m i k a t z   同 目 录 下 导 出 后 缀 为   k i r b i   的 票 据 文 件 ： i m a g e - 2 0 2 1 0 5 2 3 1 1 1 9 4 2 6 3 3 i m a g e - 2 0 2 1 0 5 2 3 1 1 2 0 4 0 5 3 4 使 用 使 用   I n v o k e - K e r b e r o a s t . p s 1   脚 本 脚 本 • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / E m p i r e P r o j e c t / E m p i r e I n v o k e - K e r b e r o a s t . p s 1   脚 本 是   E m p i r e   框 架 下 的 一 个 工 具 ， 其 可 以 直 接 导 出   H a s h c a t   格 式 的 票 据 ： k e r b e r o s : : l i s t   / e x p o r t
i m a g e - 2 0 2 1 0 5 2 3 1 1 2 3 3 2 1 7 5 服 务 票 据 的 暴 力 破 解 服 务 票 据 的 暴 力 破 解 使 用 使 用   t g s r e p c r a c k . p y   脚 本 脚 本 • 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / n i d e m / k e r b e r o a s t . g i t T g s r e p c r a c k . p y   是   K e r b e r o a s t   工 具 集 中 的 一 个   P y t h o n   脚 本 ， 可 用 来 对 导 出 的 服 务 票 据 文 件 进 行 离 线 破 解 ： i m a g e - 2 0 2 1 0 5 2 3 1 1 3 7 0 5 6 4 7 使 用 使 用   H a s h c a t   工 具 工 具 之 前 我 们 在 请 求 和 导 出 服 务 票 据 时 ， 可 以 直 接 得 到 H a s h c a t 格 式 的 票 据 ， 将 导 出 的   H a s h c a t   格 式 的 票 据 保 存 在   h a s h . t x t   文 件 中 ， 放 到   H a s h c a t   的 目 录 下 进 行 爆 破 即 可 ： I m p o r t - M o d u l e   . I n v o k e - K e r b e r o a s t . p s 1 I n v o k e - K e r b e r o a s t   - o u t p u t F o r m a t   H a s h c a t p y t h o n 2   t g s r e p c r a c k . p y   w o r d l i s t s . t x t   x x x x x x . k i r b i #   p y t h o n 2   t g s r e p c r a c k . p y   < 字 典 >   < 导 出 的 服 务 票 据 > h a s h c a t . e x e   - m   1 3 1 0 0   h a s h . t x t   w o r d l i s t s . t x t
i m a g e - 2 0 2 1 0 5 2 3 1 1 4 1 5 8 1 9 8 i m a g e - 2 0 2 1 0 5 2 3 1 1 4 2 3 3 9 9 8 服 务 票 据 重 写 服 务 票 据 重 写 & R A M 注 入 注 入 S T   票 据 使 用 服 务 密 码 的   N T L M   哈 希 签 名 ， 所 以 ， 如 果 票 据 散 列 值 已 被 破 解 ， 那 么 就 可 以 使 用   K e r b e r o a s t   工 具 集 中 的 k e r b e r o a s t . p y   脚 本 重 写 票 据 。 这 将 允 许 在 服 务 被 访 问 时 模 拟 任 何 域 用 户 或 伪 造 账 户 。 此 外 ， 提 权 也 是 可 能 的 ， 因 为 用 户 可 以 被 添 加 到 诸 如 域 管 理 员 的 高 权 限 组 中 。 使 用 以 下   M i m i k a t z   命 令 将 新 票 据 重 新 注 入 内 存 ， 以 便 通 过   K e r b e r o s   协 议 对 目 标 服 务 执 行 身 份 验 证 。 p y t h o n   k e r b e r o a s t . p y   - p   P a s s w o r d 1 2 3   - r   P E N T E S T L A B _ 0 0 1 . k i r b i   - w   P E N T E S T L A B . k i r b i   - u   5 0 0 p y t h o n   k e r b e r o a s t . p y   - p   P a s s w o r d 1 2 3   - r   P E N T E S T L A B _ 0 0 1 . k i r b i   - w   P E N T E S T L A B . k i r b i   - g   5 1 2 k e r b e r o s : : p t t   P E N T E S T L A B . k i r b i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理