搜索

[19807] 2021-08-31_红队大佬经验分享丨利用Exchange漏洞分析

文档创建者：s7ckTeam
浏览次数：39
最后更新：2025-01-18
2021-08-31_红队大佬经验分享丨利用Exchange漏洞分析 红 队 大 佬 经 验 分 享 丨 利 用 E x c h a n g e 漏 洞 分 析 i 春 秋   2 0 2 1 - 0 8 - 3 1 E x c h a n g e 是 微 软 出 品 的 邮 件 服 务 器 系 统 ， 凭 借 其 强 大 的 功 能 优 势 被 应 用 到 很 多 企 业 、 学 校 的 邮 件 系 统 搭 建 中 。 由 于 E x c h a n g e 的 广 泛 应 用 ， 黑 客 也 盯 上 了 它 。 攻 击 者 通 过 E x c h a n g e 服 务 器 进 行 身 份 验 证 后 ， 上 传 任 意 文 件 到 服 务 器 上 ， 并 以 S Y S T E M 权 限 运 行 ， 获 取 到 服 务 器 控 制 权 ， 漏 洞 危 害 巨 大 。 事 实 上 ， 近 年 来 E x c h a n g e 陆 续 出 现 了 多 个 的 高 危 漏 洞 ， 接 下 来 我 们 通 过 一 期 公 开 课 来 细 数 一 下 那 些 高 危 漏 洞 。 本 期 课 程 介 绍 在 攻 防 演 练 和 H W 中 ， 我 们 经 常 会 在 公 网 碰 到 E x c h a n g e 邮 箱 服 务 器 。 通 过 对 E x c h a n g e 邮 箱 服 务 器 进 行 漏 洞 利 用 ， 利 用 成 功 后 ， 可 以 利 用 E x c h a n g e 邮 箱 服 务 器 默 认 的 高 权 限 ， 来 给 指 定 用 户 授 予 D c s y n c 权 限 ， 进 而 接 管 整 个 域 环 境 。 本 节 公 开 课 从 E x c h a n g e 在 域 中 默 认 权 限 、 D c s y n c 权 限 、 E x c h a n g e 近 几 年 漏 洞 和 利 用 E x c h a n g e   W r i t e   D c s y n c   A c l 接 管 域 控 几 个 方 面 来 进 行 讲 解 。 本 期 讲 师 介 绍 谢 公 子 ， 来 自 深 信 服 — 深 蓝 攻 防 实 验 室 ， 目 前 在 实 验 室 担 任 攻 防 渗 透 专 家 的 岗 位 。 2 0 2 0 年 安 世 佳 年 度 优 秀 作 者 ； 经 验 丰 富 的 职 业 红 队 ； 多 次 获 得 省 级 攻 防 演 练 个 人 / 团 体 第 一 名 。 感 兴 趣 的 小 伙 伴 ， 识 别 感 兴 趣 的 小 伙 伴 ， 识 别 二 维 码 二 维 码 立 即 看 课 立 即 看 课 P S ： ： W e b 端 看 课 体 验 更 佳 ， 看 课 地 址 ： h t t p s : / / w w w . i c h u n q i u . c o m / o p e n / 6 9 1 4 8 知 识 延 伸 知 识 延 伸   1 、 域 内 定 位 、 域 内 定 位 E x c h a n g e 服 务 器 服 务 器 在 域 内 可 以 使 用 l d a p 定 位 ， 过 滤 规 则 " ( o b j e c t C a t e g o r y = m s E x c h E x c h a n g e S e r v e r ) " E x c h a n g e 在 域 内 的 位 置 在 域 内 的 位 置
可 以 通 过 s p n 来 定 位 2 、 、 E x c h a n g e 内 部 的 域 管 凭 据 内 部 的 域 管 凭 据 拿 到 E x c h a n g e 服 务 器 ， 有 很 大 概 率 就 是 域 管 直 接 登 录 的 ， 或 者 域 管 曾 经 登 录 过 。 拿 到 E x c h a n g e 服 务 器 权 限 的 时 候 ， 可 以 尝 试 直 接 d i r 下 域 控 的 C 盘 ， 看 有 没 有 权 限 。 如 果 没 有 权 限 ， 再 尝 试 使 用 m i m i k a t z 抓 一 波 密 码 ， 很 大 概 率 可 以 直 接 抓 到 域 管 或 者 高 权 限 用 户 ， 而 且 就 算 是 高 版 本 的 s e r v e r ， 在 E x c h a n g e 上 也 能 抓 到 明 文 密 码 。 3 、 、 E x c h a n g e 的 的 A C L 所 有 的 E x c h a n g e   S e r v e r 都 在 E x c h a n g e   W i n d o w s   P e r m i s s i o n s 组 里 面 ， 而 这 个 组 默 认 就 对 域 有 W r i t e A C L 权 限 ， 那 么 当 我 们 拿 下 E x c h a n g e 服 务 器 的 时 候 ， 就 可 以 尝 试 使 用 W r i t e A C L 赋 予 自 身 D c s y n c 的 权 限 。 使 用 p o w e r v i e w ， 为 当 前 E x c h a n g e 机 器 名 用 户 增 加 d c s y n c 权 限 ( 此 处 需 要 使 用 d e v 分 枝 中 的 p o w e r v i e w ) 。 由 于 这 个 权 限 ， E x c h a n g e 的 R C E 常 用 以 在 内 网 渗 透 中 用 来 提 升 到 域 管 权 限 。 因 此 在 C V E - 2 0 1 9 - 1 0 4 0 中 ， 除 了 可 以 攻 击 D C ， 也 有 人 选 择 攻 击 E x c h a n g e 。 今 年 上 半 年 ， 微 软 发 布 了 E x c h a n g e 多 个 高 危 漏 洞 的 风 险 通 告 ， 综 合 使 用 这 些 漏 洞 可 无 需 用 户 交 互 实 现 远 程 任 意 命 令 执 行 ， 危 害 较 大 。 微 软 已 发 布 相 关 安 全 更 新 ， 用 户 开 启 W i n d o w s 自 动 更 新 即 可 修 复 。 C V E - 2 0 2 1 - 2 6 8 5 5 该 漏 洞 是 E x c h a n g e 中 的 服 务 端 请 求 伪 造 漏 洞 （ S S R F ） ， 利 用 此 漏 洞 的 攻 击 者 能 够 发 送 任 意 H T T P 请 求 并 绕 过 E x c h a n g e   S e r v e r 身 份 验 证 ， 远 程 未 授 权 的 攻 击 者 可 以 利 用 该 漏 洞 以 进 行 内 网 探 测 ， 并 可 以 用 于 窃 取 用 户 邮 箱 的 全 部 内 容 。 C V E - 2 0 2 1 - 2 6 8 5 7 该 漏 洞 是 U n i f i e d   M e s s a g i n g   服 务 中 的 不 安 全 的 反 序 列 化 漏 洞 。 利 用 该 漏 洞 ， 攻 击 者 可 以 发 送 精 心 构 造 的 恶 意 请 求 ， 从 而 在 E x c h a n g e   S e r v e r 上 以 S Y S T E M 身 份 执 行 任 意 代 码 。 C V E - 2 0 2 1 - 2 6 8 5 8 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 C V E - 2 0 2 1 - 2 7 0 6 5 该 漏 洞 是 E x c h a n g e 中 的 任 意 文 件 写 入 漏 洞 。 该 漏 洞 需 要 进 行 身 份 认 证 ， 利 用 此 漏 洞 可 以 将 文 件 写 入 服 务 器 上 的 任 何 路 径 。 并 可 以 结 合 利 用 C V E - 2 0 2 1 - 2 6 8 5 5   S S R F 漏 洞 或 绕 过 权 限 认 证 进 行 文 件 写 入 。 讲 师 针 对 漏 洞 复 现 的 每 一 步 骤 认 真 讲 解 ， 感 兴 趣 的 小 伙 伴 可 点 击 最 下 方 “ 阅 读 原 文 阅 读 原 文 ” 完 整 看 课 学 习 ！ —   往 期 回 顾 往 期 回 顾   — 精 品 公 开 课 ▶   渗 透 测 试 必 备 技 能 ： 端 口 流 量 转 发 ▶   L i n u x 操 作 系 统 之 密 码 原 理 ▶   渗 透 测 试 之 前 渗 透 ： 服 务 器 沦 陷 ▶   W e b 安 全 之 账 号 测 试 ▶   渗 透 测 试 必 备 技 能 之 情 报 收 集 技 术 交 流 会 ▶   I O T 安 全 三 十 六 计 ▶   请 求 接 口 中 的 J S 参 数 校 验 ▶   敏 感 文 件 泄 露 漏 洞 挖 掘 ▶   渗 透 测 试 ： 情 报 收 集 ▶   代 码 审 计 实 操 ▶   S S R F 漏 洞 防 御 措 施 ▶   浅 析 勒 索 病 毒 ▶   J A V A 反 序 列 化 学 习 s e t s p n   - Q   I M A P / * p o w e r s h e l l . e x e   - e x e c   b y p a s s   - C o m m a n d   " &   { I m p o r t - M o d u l e   . p o w e r v i e w . p s 1 ; A d d - D o m a i n O b j e c t A c l   - T a r g e t I d e n t i t y   ’ D C = t e s t , D C = l o c a l ‘   - P r i n c i p a l I d e   n t i t y   e x c h a n g e 2 0 1 6 $   - R i g h t s   D C S y n c   - V e r b o s e } " 漏 洞 详 情 漏 洞 详 情
▶   回 首 白 帽 老 兵 十 年 网 安 之 路 ▶   通 读 L i n u x 提 权 原 理 和 手 法 ▶   浅 析 红 队 基 础 设 施 ▶   W i n d o w s 域 渗 透 之 K e r b e r o s 委 派 安 全 小 科 普 ▶ X X E 漏 洞 知 识 ▶ c o o k i e 是 什 么 ▶ 浅 析 威 胁 情 报 ▶ 浅 析 僵 尸 网 络 ▶ 信 用 卡 安 全 ▶ 大 数 据 的 前 世 今 生 ▶ 大 牛 教 你 做 好 应 急 响 应 ▶ 免 费 的 陷 阱 ： 警 惕 公 共 W i - F i ▶ 无 线 键 盘 有 漏 洞 ▶ 0 d a y 危 机 ， 隐 藏 的 攻 防 战 ▶ 加 密 算 法 解 析 ▶ D N S 解 析 ▶   红 队 建 设 之 道 ▶   手 机 锁 屏 密 码 安 全 ▶   中 间 人 攻 击 ▶   十 分 钟 看 懂 隐 写 术 ▶   信 息 泄 露 问 题 ▶   狡 猾 的 漏 洞 利 用 ▶   R F I D 工 作 原 理 分 析 ▶   披 露 世 界 顶 级 黑 客 的 内 心 独 白 ▶   一 分 钟 看 穿 网 络 钓 鱼 九 月 开 班 计 划 九 月 开 班 计 划
E N D i 春 秋 官 方 公 众 号 为 大 家 提 供 春 秋 官 方 公 众 号 为 大 家 提 供 前 沿 的 网 络 安 全 技 术 简 单 易 懂 的 实 用 工 具 紧 张 刺 激 的 安 全 竞 赛 还 有 网 络 安 全 大 讲 堂 更 多 技 能 等 你 来 解 锁
点 击 阅 读 ， 立 即 看 课 学 习 点 击 阅 读 ， 立 即 看 课 学 习 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理