搜索

[21591] 2021-01-12_Kerberos相关攻击技巧(较全)

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-01-12_Kerberos相关攻击技巧(较全) K e r b e r o s 相 关 攻 击 技 巧 ( 较 全 ) 0 X X K   L e m o n S e c   2 0 2 1 - 0 1 - 1 2 前 言 前 言 在 笔 者 学 习 完 K e r b e r o s 之 后 ， 对 下 图 每 一 个 知 识 点 对 应 的 攻 击 方 式 以 及 其 中 的 坑 进 行 了 总 结 。 在 本 文 中 会 介 绍 下 面 的 每 一 种 攻 击 方 法 ， 但 因 篇 幅 问 题 在 这 里 不 会 详 细 介 绍 k e r b e r o s 的 具 体 协 议 。 请 君 选 取 所 爱 部 分 进 行 学 习 ， 如 文 章 略 有 文 笔 不 好 的 地 方 ， 可 对 比 其 他 师 傅 的 文 章 即 可 领 悟 。 目 录 目 录 A S - R E Q h a s h 传 递 攻 击 传 递 攻 击 ( P T H )   ： 哈 希 传 递 ( p t h ) 攻 击 是 指 攻 击 者 可 以 通 过 捕 获 密 码 的 h a s h 值 ( 对 应 着 密 码 的 值 ) , 然 后 简 单 地 将 其 传 递 来 进 行 身 份 验 证 ， 以 此 来 横 向 访 问 其 他 网 络 系 统 。 域 外 用 户 枚 举 域 外 用 户 枚 举 ： 当 我 们 不 在 域 内 时 ， 可 以 通 过 k e r b e r o s 中 的 A S _ R E Q 工 作 原 理 来 进 行 枚 举 域 内 账 号 。 密 码 喷 洒 攻 击 密 码 喷 洒 攻 击 ( P a s s w o r d   S p r a y i n g ) ： 确 定 域 策 略 后 ， 设 置 密 码 次 数 使 用 工 具 对 应 的 协 议 爆 破 密 码 。 K B 2 2 8 7 1 9 9 7 补 丁 与 补 丁 与 P T H 攻 击 攻 击 ： 看 了 多 篇 文 章 ， 在 文 章 说 了 有 些 人 认 为 P T H 无 法 使 用 s i d   5 0 0 以 外 的 用 户 登 录 ， 是 因 为 打 了 K B 2 2 8 7 1 9 9 7 补 丁 所 导 致 的 。 但 是 经 过 其 他 师 傅 的 研 究 ， 发 现 并 不 是 。 P a s s   t h e   H a s h   w i t h   R e m o t e   D e s k t o p ： 当 破 解 不 出 明 文 密 码 时 ， 可 以 通 过 H a s h 这 种 方 式 3 3 8 9 登 录 。 A S - R E P 黄 金 票 据 黄 金 票 据 ： 获 得 域 控 权 限 后 用 来 做 " 万 能 钥 匙 " 后 门 A S - R E P   R o a s t i n g 攻 击 攻 击 ： 是 一 种 对 " 特 定 设 置 " 用 户 账 号 ， 进 行 离 线 爆 破 的 攻 击 方 式 。 T G S - R E P
S P N ： S P N 全 程   S e r v i c e   P r i n c i p a l   N a m e s ， 是 服 务 器 上 所 运 行 服 务 的 唯 一 标 识 ， 每 个 使 用 k e r b e r o s 认 证 的 服 务 都 需 要 一 个 S P N 。 K e r b e r o s a s t 攻 击 攻 击 ： 这 种 攻 击 方 法 主 要 利 用 了 T G T _ R E P 阶 段 使 用 对 方 N T L M   H a s h 返 回 的 加 密 数 据 ， 通 过 碰 撞 加 密 数 据 破 解 用 户 密 码 。 白 银 票 据 白 银 票 据 ： 获 取 某 域 账 号 H A S H 之 后 ， 伪 造 服 务 票 据 S T 。 通 过 伪 造 的 T G S ， 可 以 直 接 发 送 给 S e r v e r ， 访 问 指 定 的 某 个 服 务 ， 来 进 行 攻 击 。 此 过 程 无 需 K D C 。 S 4 U 非 约 束 委 派 攻 击 非 约 束 委 派 攻 击 ： 拿 到 非 约 束 委 派 的 主 机 权 限 ， 如 能 配 合 打 印 机 B U G 。 则 可 以 直 接 拿 到 域 控 权 限 。 约 束 委 派 攻 击 约 束 委 派 攻 击 ： 拿 到 配 置 了 约 束 委 派 的 域 账 户 或 主 机 服 务 账 户 ， 就 能 拿 到 它 委 派 服 务 的 a d m i n i s t r a t o r 权 限 。 基 于 资 源 的 约 束 委 派 攻 击 基 于 资 源 的 约 束 委 派 攻 击 ： 1 . 如 果 拿 到 将 主 机 加 入 域 内 的 域 账 号 ， 即 使 是 普 通 账 号 也 可 以 拿 到 那 些 机 器 的 s y s t e m 权 限 。 2 . “ 烂 番 茄 ” 本 地 提 权 P A C P A C 与 与 K e r b e r o s 的 关 系 的 关 系 ： P A C 是 特 权 属 性 证 书 ， 用 来 向 S e r b e r 端 表 明 C l i e n t 的 权 限 。 M S 1 4 - 0 6 8 ： 能 够 将 任 意 一 台 域 机 器 提 升 成 域 控 相 关 权 限 A S - R E Q 阶 段 阶 段 H a s h 传 递 攻 击 传 递 攻 击 ( P T H ) 0 x 0 0   P T H 简 介 简 介 哈 希 传 递 ( p t h ) 攻 击 是 指 攻 击 者 可 以 通 过 捕 获 密 码 的 h a s h 值 ( 对 应 着 密 码 的 值 ) , 然 后 简 单 地 将 其 传 递 来 进 行 身 份 验 证 ， 以 此 来 横 向 访 问 其 他 网 络 系 统 。 攻 击 者 无 须 通 过 解 密 h a s h 值 来 获 取 明 文 密 码 。 因 为 对 于 每 个 S e s s i o n   h a s h 值 都 是 固 定 的 ， 除 非 密 码 被 修 改 了 ( 需 要 刷 新 缓 存 才 能 生 效 ) ， 所 以 p t h 可 以 利 用 身 份 验 证 协 议 来 进 行 攻 击 。 攻 击 者 通 常 通 过 抓 取 系 统 的 活 动 内 存 和 其 他 技 术 来 获 取 哈 希 。 0 x 0 1   P T H 限 制 限 制 在 0 3 之 后 有 了 u a c ， 所 以 本 地 只 有 s i d   为 5 0 0 和 a d m i n i s t r a t o r s   组 里 的 域 账 户 能 p t h 。 域 D o m a i n   a d m i n 默 认 在 本 地 管 理 员 组 。 但 是 s i d 5 0 0 账 户 的 权 限 好 像 会 受 到 限 制 。 当 u a c 某 设 置 为 1 时 ， 本 地 管 理 组 内 的 用 户 都 可 以 p t h ， 域 不 变 。 修 改 注 册 表   改 为 1 0 x 0 2   P T H 常 用 攻 击 方 法 常 用 攻 击 方 法 c m d   / c   r e g   a d d   H K L M S O F T W A R E M i c r o s o f t W i n d o w s C u r r e n t V e r s i o n P o l i c i e s s y s t e m   / v   L o c a l A c c o u n t T o k e n F i l t e r P o l i c y   / t   R E G _ D W O R D   / d   1   / f
( 1 )   m i m i k a t z   交 互 式 获 取 这 种 方 法 需 要 本 地 管 理 员 权 限 ( 2 )   p s e x e c 在 这 里 推 荐 使 用 i m p a c k e t 套 装 ， 有 e x e 和 p y 版 本 。 获 取 的 是 s y s t e m 权 限 ( 3 )   w m i e x e c 获 取 的 是 对 方 h a s h 的 权 限 ， 如 下 面 为 a d m i n i s t r a t o r 0 x 0 3   批 量 批 量 P T H 攻 击 攻 击 p r i v i l e g e : : d e b u g s e k u r l s a : : p t h   / u s e r : D D   / d o m a i n : .   / n t l m : 3 5 c 8 3 1 7 3 a 6 f b 6 d 1 4 2 b 0 3 5 9 3 8 1 d 5 c c 8 4 c p s e x e c . e x e   a d m i n @ 1 0 . 7 3 . 1 4 7 . 3 0   - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 8 5 2 a 8 4 4 a d f c e 1 8 f 6 6 0 0 9 b 4 f 1 4 e 0 a 9 8 d e p y t h o n   p s e x e c . p y     a d m i n i s t r a t o r @ 1 0 . 7 3 . 1 4 7 . 2 9       - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 8 5 2 a 8 4 4 a d f c e 1 8 f 6 6 0 0 9 b 4 f 1 4 e 0 a 9 8 d e p y t h o n   w m i e x e c . p y   - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 0 8 e b 9 7 6 1 c a c a 8 f 3 c 3 8 6 9 6 2 b 5 a d 4 b 1 9 9 1   a d m i n i s t r a t o r @ 1 9 2 . 1 6 8 . 2 0 . 3
使 用 C r a c k M a p E x e c 来 进 行 0 x 0 4   P T H 所 使 用 的 认 证 协 议 实 验 所 使 用 的 认 证 协 议 实 验 在 看 文 章 时 遇 到 了 很 有 趣 的 一 点 ， 说 禁 止 n t l m 认 证 那 么 p t h 就 无 法 使 用 了 。 这 是 错 误 的 在 这 篇 文 章 中 对 比 的 说 明 了 P T H 所 使 用 的 方 法 ！ 当 我 们 机 器 处 于 域 环 境 中 时 ， 如 果 客 户 端 是 以 I P 地 址 访 问 服 务 端 的 ， 那 么 此 使 仍 旧 会 使 用 N T L M 协 议 进 行 身 份 认 证 ， 因 为 此 时 没 有 提 供 S e r v e r 的 S P N ( s e r v e r   p r i n c i p a l   n a m e ) 。 接 下 来 会 使 用 p s e x e c . p y 来 进 行 演 示 ， 因 为 它 有 一 个 - k 参 数 。 使 用 K e r b e r o s 身 份 验 证 ， 根 据 目 标 参 数 从 文 件 中 获 取 凭 证 。 如 果 获 取 不 到 则 从 命 令 行 指 定 参 数 中 获 取 ！ h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 1 8 4 5 7 3 . h t m l h t t p : / / b l o g . s y c s e c . c o m / 2 0 1 8 / 1 0 / 0 2 / W h a t - i s - P a s s - t h e - H a s h - a n d - t h e - L i m i t a t i o n s - o f - m i t i g a t i o n - m e t h o d s / # p t h % E 6 % 9 4 % B B % E 5 % 8 7 % B B % E 5 % 8 E % 9 F % E 7 % 9 0 % 8 6 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 8 0 1 8 6 . h t m l
在 这 里 写 着 首 先 会 从 文 件 中 获 取 ， 如 果 找 到 了 对 应 了 凭 证 。 那 么 则 可 能 不 从 参 数 中 获 取 ， 导 致 失 败 ！ 因 此 在 这 里 可 以 先 使 用 命 令 清 除 凭 证 这 时 候 使 用 命 令 去 清 除 凭 证 之 后 在 使 用 p s e x e c 就 可 以 了 ， 在 这 里 需 要 注 意 域 名 、 机 器 名 ！ 接 下 来 抓 包 演 示 ！ 实 验 环 境 实 验 环 境 在 这 里 拿 到 了 域 控 的 N T L M   h a s h 被 攻 击 机 器   1 9 2 . 1 6 8 . 2 0 . 3   b j . c o m p c 1 攻 击 机   1 9 2 . 1 6 8 . 2 0 .   6 6   s h a d m i n i s t r a t o r ( 本 地 管 理 登 录 ) k l i s t k l i s t   p u r g e p y t h o n   p s e x e c . p y   b j . c o m / a d m i n i s t r a t o r @ p c 1 . b j . c o m   - k   - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 0 8 e b 9 7 6 1 c a c a 8 f 3 c 3 8 6 9 6 2 b 5 a d 4 b 1 9 9 1 0 8 e b 9 7 6 1 c a c a 8 f 3 c 3 8 6 9 6 2 b 5 a d 4 b 1 9 9 1
使 用 工 具   p s e x e c . p y 在 这 里 执 行 命 令 ， 并 开 启 抓 包 ！ 可 以 看 到 这 种 方 式 使 用 的 就 是 k e r b e r o s 认 证 ！ 并 且 认 证 成 功 ， 我 们 已 经 p s e x e c 登 录 了 ！ 那 么 在 这 里 来 对 比 一 下 ， 使 用 I P 登 录 是 否 是 N T L M 认 证 ！ p y t h o n   p s e x e c . p y   b j . c o m / a d m i n i s t r a t o r @ p c 1 . b j . c o m   - k   - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 0 8 e b 9 7 6 1 c a c a 8 f 3 c 3 8 6 9 6 2 b 5 a d 4 b 1 9 9 1
可 以 从 w i r e s h a r k 中 详 细 的 看 到 它 是 N T L M 认 证 ！ 因 此 P T H 攻 击 不 管 是 N T L M 认 证 还 是 K e r b e r o s 认 证 都 是 存 在 的 ！ 只 是 在 不 同 的 环 境 中 使 用 的 认 证 方 式 不 同 罢 了 ！ 参 考 链 接 域 外 用 户 枚 举 域 外 用 户 枚 举 0 x 0 0   原 理 分 析 原 理 分 析 在 域 外 也 能 和 域 进 行 交 互 的 原 因 ， 是 利 用 了 k e r b e r o s 协 议 认 证 中 的 A S - R E Q 阶 段 。 只 要 我 们 能 够 访 问 域 控 8 8 ( k e r b e r o s 服 务 ) 端 口 ， 就 可 以 通 过 这 种 方 式 去 枚 举 用 户 名 并 且 进 行 k e r b e r o s 协 议 的 暴 力 破 解 了 ！ p y t h o n   p s e x e c . p y   a d m i n i s t r a t o r @ 1 9 2 . 1 6 8 . 2 0 . 3   - h a s h e s   6 2 4 a a c 4 1 3 7 9 5 c d c 1 a 5 c 7 b 1 e 0 0 f 7 8 0 0 1 7 : 0 8 e b 9 7 6 1 c a c a 8 f 3 c 3 8 6 9 6 2 b 5 a d 4 b 1 9 9 1 刨 根 问 底 ： H a s h 传 递 攻 击 原 理 探 究 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / t e r m i n a l / 8 0 1 8 6 . h t m l
0 x 0 1   攻 击 优 势 攻 击 优 势 相 比 于 L D A P 的 暴 力 破 解 ， 这 里 K e r b r u t e 使 用 的 是 k e r b e r o s   p r e - a u t h 协 议 ， 不 会 产 生 大 量 的 日 志   ( 4 6 2 5   -   A n   a c c o u n t   f a i l e d   t o   l o g o n ) 但 是 会 产 生 以 下 日 志 ： 口 令 验 证 成 功 时 产 生 日 志   ( 4 7 6 8   -   A   K e r b e r o s   a u t h e n t i c a t i o n   t i c k e t   ( T G T )   w a s   r e q u e s t e d ) 口 令 验 证 失 败 时 产 生 日 志   ( 4 7 7 1   -   K e r b e r o s   p r e - a u t h e n t i c a t i o n   f a i l e d ) 0 x 0 2   攻 击 方 法 攻 击 方 法 k e r b r u t e _ w i n d o w s _ a m d 6 4 . e x e 下 载 地 址 ： 在 这 里 我 们 需 要 获 取 d c 的 i p ， 域 名 。 将 想 要 爆 破 的 用 户 放 入 u s e r . t x t 表 中 ， 这 样 就 可 以 获 取 到 了 ！ 在 我 们 获 取 到 用 户 名 后 ， 可 以 将 它 用 来 爆 破 ！ h t t p s : / / g i t h u b . c o m / r o p n o p / k e r b r u t e / r e l e a s e s k e r b r u t e _ w i n d o w s _ a m d 6 4 . e x e   u s e r e n u m   - - d c   1 9 2 . 1 6 8 . 6 0 . 1   - d   h a c k e . t e s t l a b   u s e r . t x t
如 果 登 陆 成 功 ， 会 产 生 日 志 ( 4 7 6 8   -   A   k e r b e r o s   a u t h e n t i c a t i o n   t i c k e t ( T G T )   w a s   r e q u e s t e d ) ： 如 下 图 P Y 版 本 版 本   p y K e r b r u t e 下 载 链 接 此 工 具 是 三 好 学 生 师 傅 写 的 p y 版 本 的 枚 举 爆 破 工 具 ， 相 比 于 k e r b r u t e ， 多 了 以 下 两 个 攻 击 ！ 增 加 对 T C P 协 议 的 支 持 k e r b r u t e _ w i n d o w s _ a m d 6 4 . e x e   p a s s w o r d s p r a y   - d   h a c k e . t e s t l a b   u s e r . t x t   Q W E 1 2 3 ! @ # h t t p s : / / g i t h u b . c o m / 3 g s t u d e n t / p y K e r b r u t e
增 加 对 N T L M   h a s h 的 验 证 此 工 具 分 为 用 户 枚 举 和 口 令 验 证 两 个 功 能 。 1 . E n u m A D U s e r . p y 进 行 用 户 枚 举 ， 支 持 T C P 和 U D P 协 议 。 命 令 实 例 ： 2 . A D P w d S p r a y . p y 这 个 脚 本 进 行 口 令 破 解 功 能 ， 支 持 T C P 和 U D P 协 议 ， 支 持 明 文 口 令 和 N T L M   h a s h 使 用 明 文 密 码 ： p y t h o n 2   E n u m A D U s e r . p y   1 9 2 . 1 6 8 . 6 0 . 1   t e s t . c o m   u s e r . t x t   t c p p y t h o n 2   E n u m A D U s e r . p y   1 9 2 . 1 6 8 . 6 0 . 1   t e s t . c o m   u s e r . t x t   u d p p y t h o n 2   A D P w d S p r a y . p y   1 9 2 . 1 6 8 . 6 0 . 1   h a c k e . t e s t l a b   u s e r . t x t   c l e a r p a s s w o r d   Q W E 1 2 3 ! @ #   t c p
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理