搜索

[18609] 2021-08-04_内网渗透｜域内委派详解

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2021-08-04_内网渗透｜域内委派详解 内 网 渗 透 ｜ 域 内 委 派 详 解 原 创   2 2 d d b b c   H A C K 学 习 呀   2 0 2 1 - 0 8 - 0 4 收 录 于 话 题 # 内 网 渗 透   , 2 0 # 委 派   , 1 委 派 概 述 ： 委 派 概 述 ： 域 委 派 是 指 将 域 内 用 户 的 权 限 委 派 给 服 务 账 号 ， 使 得 服 务 账 号 能 以 用 户 的 权 限 在 域 内 展 开 活 动 。   简 言 之 ： 当 简 言 之 ： 当 A 访 问 服 务 访 问 服 务 B 时 ， 时 ， 服 务 服 务 B 拿 着 拿 着 A 用 户 的 凭 证 去 访 问 服 务 用 户 的 凭 证 去 访 问 服 务 C ， 这 个 过 程 称 为 委 派 。 ， 这 个 过 程 称 为 委 派 。 委 派 的 方 式 ： 委 派 的 方 式 ： 非 约 束 委 派 和 约 束 委 派 ， 基 于 资 源 的 约 束 委 派 。 非 约 束 委 派 和 约 束 委 派 ， 基 于 资 源 的 约 束 委 派 。 在 域 内 只 有 主 机 账 号 和 服 务 账 号 才 有 委 派 属 性 在 域 内 只 有 主 机 账 号 和 服 务 账 号 才 有 委 派 属 性   主 机 账 号 ： 主 机 账 号 ： 活 动 目 录 中 的 c o m p u t e r s 组 内 的 计 算 机 ， 也 被 称 为 机 器 账 号 。   服 务 服 务 账 号 ： 账 号 ： 域 内 用 户 的 一 种 类 型 ， 是 服 务 器 运 行 服 务 时 所 用 的 账 号 ， 将 服 务 运 行 起 来 加 入 域 内 将 服 务 运 行 起 来 加 入 域 内 ， 比 如 ： S Q L S e r v e r , M Y S Q L 等 ； 域 用 户 通 过 注 册 S P N 也 能 成 为 服 务 账 号 。 委 派 的 前 提 ： 委 派 的 前 提 ： 被 委 派 的 用 户 不 能 被 设 置 为 不 能 被 委 派 属 性 。
查 找 非 约 束 委 派 的 主 机 或 服 务 账 号 （ 域 控 默 认 配 置 非 约 束 委 派 属 性 ） ： 查 找 非 约 束 委 派 的 主 机 或 服 务 账 号 （ 域 控 默 认 配 置 非 约 束 委 派 属 性 ） ： 1 . 利 用 利 用 p o w e r s p l o i t 中 的 中 的 p o w e r v i e w 查 询 非 约 束 委 派 的 主 机   查 询 非 约 束 委 派 的 服 务 账 号   2 . 利 用 利 用 A D F i n d 查 找 域 中 配 置 非 约 束 委 派 的 用 户   查 找 域 中 配 置 非 约 束 委 派 的 主 机   I m p o r t - M o d u l e   . P o w e r V i e w . p s 1 ; G e t - N e t C o m p u t e r   - U n c o n s t r a i n e d   - D o m a i n   h i r o . c o m G e t - N e t U s e r   - U n c o n s t r a i n e d   - D o m a i n   h i r o . c o m   |   s e l e c t   n a m e A d F i n d . e x e   - b   " D C = h i r o , D C = c o m "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   c n   d i s t i n g u i s h e d N a m e
查 找 约 束 委 派 的 主 机 或 服 务 账 号 ： 查 找 约 束 委 派 的 主 机 或 服 务 账 号 ： 1 . 利 用 利 用 e m p i r e 中 的 中 的 p o w e r v i e w 查 询 约 束 委 派 的 主 机 ：   查 询 约 束 委 派 的 账 号 ：   2 . 利 用 利 用 A D F i n d 查 找 域 中 配 置 约 束 委 派 用 户 :   查 找 域 中 配 置 约 束 委 派 的 主 机 ：   非 约 束 委 派 非 约 束 委 派 大 致 流 程 ： 大 致 流 程 ： u s e r 访 问 s e r v e r A ， 于 是 向 D C 发 起 认 证 ， D C 会 检 查 s e r v e r A 的 机 器 账 号 的 属 性 ， 如 果 是 非 约 束 委 派 的 话 ， 会 把 用 户 的 T G T 放 在 放 在 S T 票 据 中 并 一 起 发 送 给 票 据 中 并 一 起 发 送 给 s e r v e r A   这 样 s e r v e r A 在 验 证 S T 票 据 的 同 时 也 获 取 到 了 用 户 的 T G T ， 并 把 把 T G T 储 存 在 自 己 的 储 存 在 自 己 的 l s a s s 进 程 中 进 程 中 以 备 下 次 重 用 ， 从 而 以 备 下 次 重 用 ， 从 而 s e r v e r A 就 可 以 使 用 这 个 就 可 以 使 用 这 个 T G T ， 来 模 拟 这 个 ， 来 模 拟 这 个 u s e r 访 问 任 何 服 务 。 访 问 任 何 服 务 。 A d F i n d . e x e   - b   " D C = h i r o , D C = c o m "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( u s e r A c c o u n t C o n t r o l : 1 . 2 . 8 4 0 . 1 1 3 5 5 6 . 1 . 4 . 8 0 3 : = 5 2 4 2 8 8 ) ) "   c n   d i s t i n g u i s h e d N a m e I m p o r t - M o d u l e   . p o w e r v i e w . p s 1 ; G e t - D o m a i n C o m p u t e r   - T r u s t e d T o A u t h   - D o m a i n   h i r o . c o m   |   s e l e c t   n a m e G e t - D o m a i n U s e r   - T r u s t e d T o A u t h   - D o m a i n   h i r o . c o m   |   s e l e c t   n a m e A d F i n d . e x e   - b   " D C = h i r o , D C = c o m "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 8 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   c n   d i s t i n g u i s h e d N a m e   m s d s - a l l o w e d t o d e l e g a t e t o A d F i n d . e x e   - b   " D C = h i r o , D C = c o m "   - f   " ( & ( s a m A c c o u n t T y p e = 8 0 5 3 0 6 3 6 9 ) ( m s d s - a l l o w e d t o d e l e g a t e t o = * ) ) "   c n   d i s t i n g u i s h e d N a m e   m s d s - a l l o w e d t o d e l e g a t e t o
从 攻 击 角 度 来 说 ： 如 果 攻 击 者 拿 到 了 一 台 配 置 了 非 约 束 委 派 的 机 器 权 限 ， 可 以 诱 导 管 理 员 来 访 问 该 机 器 ， 然 后 可 以 得 到 管 如 果 攻 击 者 拿 到 了 一 台 配 置 了 非 约 束 委 派 的 机 器 权 限 ， 可 以 诱 导 管 理 员 来 访 问 该 机 器 ， 然 后 可 以 得 到 管 理 员 的 理 员 的 T G T ， 从 而 模 拟 管 理 员 访 问 任 意 服 务 ， 相 当 于 拿 下 了 整 个 域 环 境 。 ， 从 而 模 拟 管 理 员 访 问 任 意 服 务 ， 相 当 于 拿 下 了 整 个 域 环 境 。 利 用 ： 利 用 ： 域 ： h i r o . c o m   域 控 ： W I N - K O N G   I P ： 1 9 2 . 1 6 8 . 2 2 8 . 1 0   域 管 ： a d m i n i s t r a t o r   受 委 派 机 器 ： W I N - E 6 F R 4 H V B P C I 现 在 将 W I N - E 6 F R 4 H V B P C I 这 个 机 器 账 号 设 置 为 非 约 束 委 派 。
通 过 命 令 行 打 开 a d s i e d i t . m s c 查 看 W I N - E 6 F R 4 H V B P C I 机 器 属 性 ， 可 以 看 到 ： 当 被 设 置 为 非 约 束 委 派 的 时 候 ， 它 的 当 被 设 置 为 非 约 束 委 派 的 时 候 ， 它 的 u s e r A c c o u n t C o n t r o l 会 包 含 会 包 含 T R U S T E D _ F O R _ D E L E G A T I O N 字 段 。 字 段 。
用 域 管 访 问 W I N - E 6 F R 4 H V B P C I 机 器 然 后 在 W I N - E 6 F R 4 H V B P C I 上 以 管 理 员 权 限 运 行 m i m i k a t z p r i v i l e g e : : d e b u g
导 出 票 据 s e k u r l s a : : t i c k e t s   / e x p o r t 此 时 拿 到 了 管 理 员 的 票 据 ， 用 m i m i k a t z 将 票 据 注 入 内 存 中 ， 然 后 访 问 域 控 导 入 票 据 k e r b e r o s : : p t t   [ 0 ; 1 1 e e a a ] - 2 - 0 - 6 0 8 1 0 0 0 0 - A d m i n i s t r a t o r @ k r b t g t - H I R O . C O M . k i r b i 查 看 票 据 k e r b e r o s : : l i s t 非 约 束 委 派 非 约 束 委 派 + s p o o l e r 打 印 机 打 印 机 费 约 束 委 派 常 规 利 用 感 觉 还 是 比 较 鸡 肋 ， 想 得 到 域 内 权 限 必 须 要 管 理 员 与 配 置 了 委 派 的 机 器 建 立 连 接 ， 所 以 有 国 外 的 大 佬 研 究 出 了 非 约 束 委 派 + s p o o l e r 打 印 机 来 强 制 与 指 定 的 主 机 进 行 连 接 。 开 始 域 控 为 s e r v e r 2 0 1 2 ， 后 面 网 上 有 的 大 佬 说 可 能 是 版 本 的 问 题 ， 后 面 升 级 到 了 s e r v e r 2 0 1 6 还 是 报 错 ， 这 种 情 况 复 现 不 了 了 ， 有 兴 趣 的 可 以 自 己 试 一 试 。 也 可 以 参 考 这 篇 文 章 。
约 束 委 派 约 束 委 派 由 于 非 约 束 委 派 的 不 安 全 性 ， 微 软 在 w i n d o w s   s e r v e r   2 0 0 3 中 引 入 了 约 束 委 派 ， 对 K e r b e r o s 协 议 进 行 了 拓 展 ， 引 入 了 S 4 U ， 其 中 S 4 U 支 持 两 个 子 协 议 ： S e r v i c e   f o r   U s e r   t o   S e l f   ( ) 和   S e r v i c e   f o r   U s e r   t o   P r o x y   ( ) ， 这 两 个 扩 展 都 允 许 服 务 代 表 用 户 从 K D C 请 求 票 证 。 ； ， 约 束 委 派 就 是 限 制 了 约 束 委 派 就 是 限 制 了 S 4 U 2 p r o x y 扩 展 的 范 围 扩 展 的 范 围 。 其 中 ： 其 中 ： （ 用 用 户 的 用 用 户 的 T G T 向 向 K D C 请 求 用 户 的 可 转 发 的 请 求 用 户 的 可 转 发 的 S T 1 ， 再 用 这 张 ， 再 用 这 张 S T 1 去 发 起 去 发 起 S 4 U 2 p r o x y 请 求 。 请 求 。 ）   通 过 此 扩 展 可 以 拿 到 一 张 标 识 任 意 用 户 身 份 的 S T ， 它 的 作 用 其 实 是 。 有 时 用 户 会 通 过 有 时 用 户 会 通 过 （ 例 如 （ 例 如 N T L M 或 什 至 基 于 表 单 的 身 份 验 证 ） 对 服 务 进 行 身 份 验 证 ， 因 此 他 们 不 会 将 或 什 至 基 于 表 单 的 身 份 验 证 ） 对 服 务 进 行 身 份 验 证 ， 因 此 他 们 不 会 将 T G S 发 送 给 服 务 。 在 这 种 情 况 下 ， 服 务 发 送 给 服 务 。 在 这 种 情 况 下 ， 服 务 可 以 可 以 ， 然 后 可 以 在 调 用 ， 然 后 可 以 在 调 用 S 4 U 2 P r o x y 时 将 其 用 作 依 据 。 时 将 其 用 作 依 据 。 例 如 网 站 A 服 务 器 可 以 使 用 它 去 向 K D C 请 求 一 张 用 户 B 身 份 的 S T 1 ， 网 站 A 服 务 器 再 用 这 张 S T 1 去 发 起 S 4 U 2 p r o x y 请 求 。 （ 拿 用 户 的 可 转 发 的 拿 用 户 的 可 转 发 的 S T 1 请 求 用 于 访 问 服 务 器 的 请 求 用 于 访 问 服 务 器 的 S T 2 ）   该 拓 展 作 用 是 使 用 一 张 用 户 A 身 份 的 S T 1 去 向 K D C 请 求 一 张 用 于 访 问 文 件 服 务 器 B 的 S T 2 ， 这 张 S T 2 的 身 份 还 是 用 户 的 ， 这 样 的 话 网 站 A 就 可 以 利 用 用 户 A 的 权 限 去 访 问 文 件 服 务 器 B 上 的 文 件 了 。 大 致 流 程 ： 大 致 流 程 ： S 4 U 2 S e l f S 4 U 2 p r o x y S 4 U 2 s e l f 可 以 代 表 自 身 请 求 针 对 其 自 身 的 可 转 发 的 K e r b e r o s 服 务 票 据 ( S T 1 ) S 4 U 2 p r o x y 可 以 以 用 户 的 名 义 请 求 其 它 服 务 的 S T 2 S 4 U 2 S e l f 协 议 转 换 其 他 协 议 其 他 协 议 调 用 调 用 S 4 U 2 S e l f 来 要 求 身 份 验 证 服 务 为 其 自 身 的 任 意 用 户 生 成 来 要 求 身 份 验 证 服 务 为 其 自 身 的 任 意 用 户 生 成 T G S S 4 U 2 p r o x y
u s e r 访 问 s e r v i c e A ， 向 D C 发 起 k e r b e r o s 认 证 ， 域 控 返 回 u s e r 的 T G T 和 S T 1 票 据 ， u s e r 使 用 S T 1 票 据 对 s e r v i c e A 进 行 访 问 如 果 配 置 了 s e r v i c e A 到 s e r v i c e B 的 约 束 委 派 ， 则 s e r v i c e A 能 使 用 使 用 S 4 U 2 P r o x y 协 议 将 用 户 发 给 自 己 的 可 转 发 的 协 议 将 用 户 发 给 自 己 的 可 转 发 的 S T 1 票 据 以 用 户 的 票 据 以 用 户 的 身 份 发 给 身 份 发 给 D C 。 。 域 控 返 回 域 控 返 回 s e r v i c e A 一 个 用 来 访 问 一 个 用 来 访 问 s e r v i c e B 的 的 S T 2 票 据 票 据 , 这 样 这 样 s e r v i c e A 就 能 以 用 户 的 身 份 对 就 能 以 用 户 的 身 份 对 s e r v i c e B 发 起 访 问 。 发 起 访 问 。 由 于 服 务 用 户 ， ， 但 是 如 果 能 拿 到 约 束 委 派 用 户 （ 或 主 机 ） 的 密 码 或 者 H a s h ， 就 可 以 。 利 用 ： 利 用 ： 域 ： h i r o . c o m   域 控 : W I N - K O N G @ 1 9 2 . 1 6 8 . 2 2 8 . 1 0   域 管 ： a d m i n i s t r a t o r   受 委 派 机 器 ： W I N - R R I 9 T 9 S N 8 5 D @ 1 9 2 . 1 6 8 . 2 2 8 . 1 5   域 用 户 ： w i n 7 首 先 在 域 控 上 将 域 用 户 首 先 在 域 控 上 将 域 用 户 w i n 7 注 册 成 为 注 册 成 为 S P N 服 务 账 号 服 务 账 号 s e t s p n   - S   c i f s / W I N - R R I 9 T 9 S N 8 5 D . h i r o . c o m   w i n 7 只 能 获 取 某 个 用 户 （ 或 主 机 ） 的 服 务 的 S T 1 而 非 T G T 所 以 只 能 模 拟 用 户 访 问 特 定 的 服 务 伪 造 S 4 U 的 请 求 ， 伪 装 成 服 务 用 户 以 任 意 用 户 的 权 限 申 请 访 问 指 定 服 务 的 S T 2
查 看 是 否 注 册 成 功 查 看 是 否 注 册 成 功 s e t s p n   - L   w i n 7 然 后 将 w i n 7 用 户 设 置 约 束 委 派 的 属 性 ， 为 访 问 域 控 的 c i f s （ 访 问 文 件 夹 访 问 文 件 夹 ） 通 过 命 令 行 打 开 a d s i e d i t . m s c 查 看 w i n 7 用 户 属 性 ， 可 以 看 到 ： 当 被 设 置 为 约 束 委 派 的 时 候 ， 它 的 当 被 设 置 为 约 束 委 派 的 时 候 ， 它 的 u s e r A c c o u n t C o n t r o l 会 包 含 会 包 含 T R U S T E D _ T O _ A U T H E N T I C A T E _ F O R _ D E L E G A T I O N 字 字 段 。 段 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理