搜索

[21920] 2021-04-30_内网协议NTLM之内网大杀器CVE-2019-1040漏洞

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-04-30_内网协议NTLM之内网大杀器CVE-2019-1040漏洞 内 网 协 议 N T L M 之 内 网 大 杀 器 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 转 自   潇 湘 信 安   L e m o n S e c   2 0 2 1 - 0 4 - 3 0 内 网 大 杀 器 内 网 大 杀 器 C V E - 2 0 1 9 - 1 0 4 0 P r e e m p t 的 研 究 人 员 发 现 了 如 何 在 N T L M 身 份 验 证 上 绕 过 M I C ( M e s s a g e   I n t e g r i t y   C o d e ) 保 护 措 施 并 修 改 N T L M 消 息 流 中 的 任 何 字 段 （ 包 括 签 名 ） 。 该 种 绕 过 方 式 允 许 攻 击 者 将 已 经 协 商 签 名 的 身 份 验 证 尝 试 中 继 到 另 外 一 台 服 务 器 ， 同 时 完 全 删 除 签 名 要 求 。 所 有 不 执 行 签 名 的 服 务 器 都 容 易 受 到 攻 击 。 这 个 漏 洞 其 实 就 是 可 以 绕 过 N T L M   M I C 的 防 护 ， 也 是 N T L M _ R E L A Y 漏 洞 。 攻 击 者 利 用 该 漏 洞 可 以 绕 过 N T L M 中 的 M I C （ M e s s a g e   I n t e g r i t y C o d e ） 。 攻 击 者 可 以 修 改 已 经 协 商 签 名 的 身 份 验 证 流 量 ， 然 后 中 继 到 另 外 一 台 服 务 器 ， 同 时 完 全 删 除 签 名 要 求 。 通 过 该 攻 击 方 式 可 使 攻 击 者 在 仅 有 一 个 普 通 域 账 号 的 情 况 下 ， 运 程 控 制 域 中 任 意 机 器 （ 包 括 域 控 服 务 器 ） 。 这 个 漏 洞 需 要 有 发 起 N T L M 请 求 才 能 进 行 漏 洞 利 用 ， 这 里 可 以 利 用 到 打 印 机 漏 洞 ， 这 个 其 实 也 不 算 是 什 么 漏 洞 ， 微 软 有 没 有 进 行 修 复 ， 所 以 会 利 用 到 p r i n t e r b u g . p y 的 工 具 ， 此 工 具 触 发 S p o o l S e r v i c e / p r i n t e r   b u g ， 强 制 W i n d o w s 主 机 通 过 M S - R P R N   R P C 接 口 向 攻 击 者 进 行 身 份 验 证 。 W i n d o w s 的 M S - R P R N 协 议 用 于 打 印 客 户 机 和 打 印 服 务 器 之 间 的 通 信 ， 默 认 情 况 下 是 启 用 的 。 协 议 定 义 的 R p c R e m o t e F i n d F i r s t P r i n t e r C h a n g e N o t i f i c a t i o n E x ( ) 调 用 创 建 一 个 远 程 更 改 通 知 对 象 ， 该 对 象 监 视 对 打 印 机 对 象 的 更 改 ， 并 将 更 改 通 知 发 送 到 打 印 客 户 端 。 任 何 经 过 身 份 验 证 的 域 成 员 都 可 以 连 接 到 远 程 服 务 器 的 打 印 服 务 （ s p o o l s v . e x e ） ， 并 请 求 对 一 个 新 的 打 印 作 业 进 行 更 新 ， 令 其 将 该 通 知 发 送 给 指 定 目 标 。 之 后 它 会 将 立 即 测 试 该 连 接 ， 即 向 指 定 目 标 进 行 身 份 验 证 （ 攻 击 者 可 以 选 择 通 过 K e r b e r o s 或 N T L M 进 行 验 证 ） 。 另 外 微 软 表 示 这 个 b u g 是 系 统 设 计 特 点 ， 无 需 修 复 。 由 于 打 印 机 是 以 s y s t e m 权 限 运 行 的 ， 所 以 我 们 访 问 打 印 机 r p c ， 迫 使 打 印 机 服 务 向 我 们 发 起 请 求 拿 到 的 n e t - n t l m   h a s h 是 机 器 用 户 h a s h 。 这 个 地 方 有 两 个 利 用 点 。 一 个 是 攻 击 E x c h a n g e   机 器 ， 迫 使 E x c h a n g e 机 器 用 户 向 我 们 发 起 请 求 ， 另 外 一 个 就 是 攻 击 域 管 机 器 ， 迫 使 域 管 机 器 用 户 向 我 们 发 起 请 求 。 都 是 机 器 用 户 发 起 的 请 求 ， 机 器 用 户 并 不 能 直 接 登 录 。 因 此 不 考 虑 R e l a y   到 s m b 。 我 们 考 虑 R e l a y 到 L d a p 来 进 行 攻 击 。 由 于 安 装 E x c h a n g e 后 ， E x c h a n g e 在 A c t i v e   D i r e c t o r y 域 中 具 有 高 权 限 ， E x c h a n g e 的 本 地 计 算 机 账 户 会 将 我 们 需 要 提 升 权 限 的 用 户 拉 入 到 用 户 组 E x c h a n g e   T r u s t e d   S u b s y s t e m ， 该 用 户 组 又 隶 属 于 E x c h a n g e   W i n d o w s   P e r m i s s i o n s 。 E x c h a n g e   W i n d o w s   P e r m i s s i o n s 组 可 以 通 过 W r i t e D a c l 方 式 访 问 A c t i v e   D i r e c t o r y 中 的 D o m a i n 对 象 ， 该 对 象 允 许 该 组 的 任 何 成 员 修 改 域 权 限 ， 从 而 可 以 修 改 当 前 域 A C L 达 到 提 权 目 的 。 身 份 验 证 签 名 （ 身 份 验 证 签 名 （ M I C ） ） M I C 是 校 验 和 ， 设 计 M I C 主 要 是 为 了 防 止 这 个 包 中 途 被 修 改 ， M I C 是 在 N T L M 身 份 验 证 的 最 后 一 条 消 息 （ A U T H E N T I C A T E 消 息 ） 中 发 送 的 签 名 。 M I C 是 使 用 H M A C _ M D 5 函 数 加 密 计 算 ， 它 用 取 决 客 户 端 密 码 的 密 钥 ， 称 为 会 话 密 钥 来 进 行 加 密 。 重 点 就 是 这 个 密 钥 是 客 户 端 的 密 码 加
密 。 N T L M 身 份 验 证 由 3 种 消 息 类 型 组 成 ： N T L M _ N E G O T I A T E ， N T L M _ C H A L L E N G E ， N T L M _ A U T H E N T I C A T E 。 为 了 确 保 恶 意 行 为 者 不 在 传 输 过 程 中 处 理 消 息 ， 在 N T L M _ A U T H E N T I C A T E 消 息 中 添 加 了 一 个 额 外 的 M I C （ 消 息 完 整 性 代 码 ） 字 段 。 M I C 是 使 用 会 话 密 钥 应 用 于 所 有 3 个 N T L M 消 息 的 串 联 的 H M A C _ M D 5 ， 该 会 话 密 钥 仅 对 启 动 认 证 的 帐 户 和 目 标 服 务 器 是 已 知 的 。 因 此 ， 试 图 篡 改 其 中 一 条 消 息 的 攻 击 者 （ 例 如 ， 修 改 签 名 协 商 ） 将 无 法 生 成 相 应 的 M I C ， 这 将 导 致 攻 击 失 败 。 它 也 出 现 在 N T L M 响 应 中 ， 在 N T L M _ A U T H E N T I C A T E 消 息 的 ' m s v A v F l a g ' 字 段 中 公 布 （ 标 志 0 x 2 表 示 该 消 息 包 括 M I C ） ， 它 应 该 完 全 保 护 服 务 器 免 受 试 图 移 除 M I C 并 执 行 N T L M 中 继 的 攻 击 者 的 攻 击 。 如 果 它 是 0 x 0 0 0 0 0 0 0 2 ， 它 告 诉 服 务 器 必 须 存 在 M I C ， 如 果 服 务 器 没 有 收 到 M I C 的 话 他 就 会 终 止 身 份 验 证 。 一 、 攻 击 域 一 、 攻 击 域 E x c h a n g e   S e r v e r / 管 理 员 管 理 员 前 提 条 件 前 提 条 件 1 . E x c h a n g e 服 务 器 可 以 是 任 何 版 本 （ 包 括 为 P r i v E x c h a n g e 修 补 的 版 本 ） 。 2 . 域 内 任 意 账 户 。 3 . C V E - 2 0 1 9 - 1 0 4 0 漏 洞 的 实 质 是 N T L M 数 据 包 完 整 性 校 验 存 在 缺 陷 ， 4 . 构 造 请 求 使 E x c h a n g e   S e r v e r 向 攻 击 者 进 行 身 份 验 证 ， H M A C _ M D 5 ( S e s s i o n   k e y ,   N E G O T I A T E _ M E S S A G E   +   C H A L L E N G E _ M E S S A G E   +   A U T H E N T I C A T E _ M E S S A G E ) 唯 一 的 要 求 是 ， 在 以 共 享 权 限 或 R B A C 模 式 安 装 时 ， E x c h a n g e 默 认 具 有 高 权 限 。 （ 由 于 能 产 生 S p o o l S e r v i c e 错 误 的 唯 一 要 求 是 任 何 经 过 身 份 验 证 的 域 内 帐 户 ） 故 可 以 修 改 N T L M 身 份 验 证 数 据 包 而 不 会 使 身 份 验 证 失 效 。 而 此 攻 击 链 中 攻 击 者 删 除 了 数 据 包 中 阻 止 从 S M B 转 发 到 L D A P 的 标 志 。 并 通 过 L D A P 将 该 身 份 验 证 中 继 到 域 控 制 器 ， 即 可 使 用 中 继 受 害 者 的 权 限 在 A c t i v e   D i r e c t o r y 中 执 行 操 作 。 比 如 为 攻 击 者 帐 户 授 予 D C S y n c 权 限 。
5 . 如 果 在 可 信 但 完 全 不 同 的 A D 林 中 有 用 户 ， 漏 洞 利 用 攻 击 链 漏 洞 利 用 攻 击 链 二 、 攻 击 域 二 、 攻 击 域 A D   S e r v e r / 管 理 员 管 理 员 前 提 条 件 前 提 条 件 漏 洞 利 用 攻 击 链 漏 洞 利 用 攻 击 链 同 样 可 以 在 域 中 执 行 完 全 相 同 的 攻 击 。 （ 因 为 任 何 经 过 身 份 验 证 的 用 户 都 可 以 触 发 S p o o l S e r v i c e 反 向 连 接 ） 1 . 使 用 域 内 任 意 帐 户 ， 通 过 S M B 连 接 到 被 攻 击 E x c h a n g e S e r v e r ， 并 指 定 中 继 攻 击 服 务 器 。 同 时 必 须 利 用 S p o o l S e r v i c e 错 误 触 发 反 向 S M B 链 接 。 2 . 中 继 服 务 器 通 过 S M B 回 连 攻 击 者 主 机 ， 然 后 利 用 n t l m r e l a y x 将 利 用 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 修 改 N T L M 身 份 验 证 数 据 后 的 S M B 请 求 据 包 中 继 到 L D A P 。 3 . 使 用 中 继 的 L D A P 身 份 验 证 ， 此 时 E x c h a n g e   S e r v e r 可 以 为 攻 击 者 帐 户 授 予 D C S y n c 权 限 。 攻 击 者 帐 户 使 用 D C S y n c 转 储 A D 域 中 的 所 有 域 用 户 密 码 哈 希 值 （ 包 含 域 管 理 员 的 h a s h ， 此 时 已 拿 下 整 个 域 ） 。 1 . 服 务 器 可 以 是 任 何 未 修 补 的 W i n d o w s   S e r v e r 或 工 作 站 ， 包 括 域 控 制 器 。 在 定 位 域 控 制 器 时 ， 至 少 需 要 一 个 易 受 攻 击 的 域 控 制 器 来 中 继 身 份 验 证 ， 同 时 需 要 在 域 控 制 器 上 触 发 S p o o l S e r v i c e 错 误 。 2 . 需 要 控 制 计 算 机 帐 户 。 这 可 以 是 攻 击 者 从 中 获 取 密 码 的 计 算 机 帐 户 ， 因 为 他 们 已 经 是 工 作 站 上 的 A d m i n i s t r a t o r 或 攻 击 者 创 建 的 计 算 机 帐 户 ， 滥 用 A c t i v e   D i r e c t o r y 中 的 任 何 帐 户 都 可 以 默 认 创 建 这 些 帐 户 。 3 . C V E - 2 0 1 9 - 1 0 4 0 漏 洞 的 实 质 是 N T L M 数 据 包 完 整 性 校 验 存 在 缺 陷 ， 故 可 以 修 改 N T L M 身 份 验 证 数 据 包 而 不 会 使 身 份 验 证 失 效 。 而 此 攻 击 链 中 攻 击 者 删 除 了 数 据 包 中 阻 止 从 S M B 转 发 到 L D A P 的 标 志 。 4 . 通 过 滥 用 基 于 资 源 的 约 束 K e r b e r o s 委 派 ， 可 以 在 A D 域 控 服 务 器 上 授 予 攻 击 者 模 拟 任 意 域 用 户 权 限 。 包 括 域 管 理 员 权 限 。 5 . 如 果 在 可 信 但 完 全 不 同 的 A D 林 中 有 用 户 ， 同 样 可 以 在 域 中 执 行 完 全 相 同 的 攻 击 。 （ 因 为 任 何 经 过 身 份 验 证 的 用 户 都 可 以 触 发 S p o o l S e r v i c e 反 向 连 接 ） 1 . 使 用 域 内 任 意 帐 户 ， 通 过 S M B 连 接 到 被 攻 击 域 控 服 务 器 ， 并 指 定 中 继 攻 击 服 务 器 。 同 时 必 须 利 用 S p o o l S e r v i c e 错 误 触 发 反 向 S M B 链 接 。 2 . 中 继 服 务 器 通 过 S M B 回 连 攻 击 者 主 机 ， 然 后 利 用 n t l m r e l a y x 将 利 用 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 修 改 N T L M 身 份 验 证 数 据 后 的 S M B 请 求 据 包 中 继 到 L D A P 。 3 . 使 用 中 继 的 L D A P 身 份 验 证 ， 将 受 害 者 服 务 器 的 基 于 资 源 的 约 束 委 派 权 限 授 予 攻 击 者 控 制 下 的 计 算 机 帐 户 。 4 . 攻 击 者 现 在 可 以 作 为 A D 服 务 器 上 的 任 意 用 户 进 行 身 份 验 证 。 包 括 域 管 理 员 。
C V E - 2 0 1 9 - 1 0 4 0 利 用 场 景 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 的 攻 击 链 目 前 已 经 确 定 的 两 种 攻 击 途 径 ， 一 个 是 攻 击 域 E x c h a n g e   S e r v e r ， 第 二 个 是 攻 击 域 A D   S e r v e r 。 攻 击 攻 击 K e r b e r o s 委 派 实 验 环 境 委 派 实 验 环 境 这 里 有 一 个 u s e r 用 户 和 一 个 域 管 理 用 户 a d m i n i s t r a t o r 这 里 利 用 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 打 K e r b e r o s 委 派 的 话 有 两 个 利 用 场 景 ， 假 如 我 们 已 经 获 取 到 了 域 内 某 台 机 器 的 权 限 ， 并 且 利 用 这 域 内 用 户 创 建 了 一 个 计 算 机 用 户 。 接 着 执 行 n t l m r e l a y x . p y 脚 本 ， 使 用 - - d e l e g a t e - a c c e s s 选 项 ， - - d e l e g a t e - a c c e s s 选 项 将 中 继 计 算 机 帐 户 （ 这 里 即 辅 助 域 控 制 器 ） 的 访 问 权 限 委 托 给 a t t a c k e r 。 接 着 通 过 - - e s c a l a t e - u s e r   参 数 设 置 t e s t 资 源 委 派 ， 最 重 要 的 就 是 - - r e m o v e - m i c 参 数 了 ， 可 以 去 除 m i c 验 证 。 接 着 这 里 触 发 p r i n t e r b u y . p y 脚 本 ， 将 触 发 辅 助 域 控 制 器 ( S D C ) 回 连 A t t a c k e r 主 机 ， 这 里 回 链 认 证 的 用 户 就 是 u s e r 用 户 . 接 着 这 里 可 以 看 到 ， n t l m r e l a y x . p y 通 过 l d a p 将 该 用 户 账 户 中 继 到 域 控 服 务 器 ( D C ) ， 设 置 了 t e s t $ 到 d m 辅 助 域 控 制 器 的 约 束 委 派 授 权 4 . 攻 击 者 现 在 可 以 作 为 A D 服 务 器 上 的 任 意 用 户 进 行 身 份 验 证 。 包 括 域 管 理 员 。 A t t a c k e r : k a l i   , 机 器 名 ： k a l i   : 1 9 2 . 1 6 8 . 8 . 1 3 5 D C : w i n d o w s   2 0 1 6   , 机 器 名 ： d c . o n e . c o m   : 1 9 2 . 1 6 8 . 8 .   1 7 8   , 域 ： o n e . c o m S D C : w i n d o w s   2 0 1 6 ,   机 器 名 ： d m . o n e . c o m   : 1 9 2 . 1 6 8 . 8 . 1 8 3   , 域 ： o n e . c o m
发 起 t e s t $ 到 d m 的 s 4 u ， 通 过 - i m p e r s o n a t e 参 数 模 拟 用 户 a d m i n i s t r a t o r 的 票 证 。 这 里 就 已 经 获 取 到 了 a d m i n i s t r a t o r 的 权 限 。 接 着 把 a d m i n i s t r a t o r 的 票 据 导 入 到 本 地 即 可 访 问 到 辅 助 域 控 制 器 了 ， 我 们 可 以 在 目 标 主 机 （ 辅 助 域 控 制 器 ） 上 模 拟 a d m i n i s t r a t o r 身 份 ， 使 用 s e c r e t s d u m p 转 储 哈 希 值 。 通 过 s e c r e t s d u m p   d u m p 出 所 有 密 码 哈 希 值 ： 我 们 也 可 以 通 过 直 接 通 过 l d a p s 来 添 加 机 器 用 户 来 达 到 配 置 委 派 。 这 个 需 要 域 控 制 器 添 加 到 l d a p s 的 证 书 才 能 连 接 l d a p s 。 首 先 使 用 O p e n S S L ， 创 建 新 的 私 钥 和 根 证 书 。 适 当 回 答 国 家 / 州 / 组 织 的 问 题 ， 并 且 密 码 需 要 配 置 号 接 着 把 创 建 好 的 c a . c r t 根 证 书 放 到 D C 上 面 ，   W I N + R   打 开 运 行 输 入 M M C   接 着 添 加 到 证 书 进 入 ， 首 先 根 节 点 添 加 证 书 选 项 $   o p e n s s l   g e n r s a   - a e s 2 5 6   - o u t   c a . k e y   4 0 9 6 $   o p e n s s l   r e q   - n e w   - x 5 0 9   - d a y s   3 6 5 0   - k e y   c a . k e y   - o u t   c a . c r t
然 后 把 根 证 书 导 入 进 入 到 域 控 制 器 里 面 ， 这 里 需 要 导 入 的 是 受 信 任 的 根 证 书 颁 发 机 构 这 里 ， 不 要 选 到 个 人 这 里 。 接 着 就 为 域 控 制 器 办 法 证 书 了 ， 在 域 控 制 器 中 创 建 一 个 r e q u e s t . i n f 的 文 件 ， 里 面 的 C N = 填 写 D C 的 完 整 名 称 ， 文 件 的 内 容 如 下 ： [ V e r s i o n ]   S i g n a t u r e = " $ W i n d o w s   N T $ "   [ N e w R e q u e s t ]   S u b j e c t   =   " C N = A C T I V E _ D I R E C T O R Y _ F Q D N "     / / 这 里 填 写 域 控 的 全 称   K e y S p e c   =   1   K e y L e n g t h   =   2 0 4 8   E x p o r t a b l e   =   T R U E   M a c h i n e K e y S e t   =   T R U E   S M I M E   =   F A L S E   P r i v a t e K e y A r c h i v e   =   F A L S E   U s e r P r o t e c t e d   =   F A L S E   U s e E x i s t i n g K e y S e t   =   F A L S E   P r o v i d e r N a m e   =   " M i c r o s o f t   R S A   S C h a n n e l   C r y p t o g r a p h i c   P r o v i d e r "   P r o v i d e r T y p e   =   1 2   R e q u e s t T y p e   =   P K C S 1 0   K e y U s a g e   =   0 x a 0
接 着 在 域 控 制 器 这 里 请 求 生 成 一 个 证 书 ， 请 注 意 ： 从 A c t i v e   D i r e c t o r y 服 务 器 本 身 运 行 该 证 书 以 确 保 正 确 的 私 钥 - > 证 书 关 联 接 着 回 到 具 有 o p e n s s l 的 环 境 中 创 建 一 个 v 3 e x t . t x t ， 文 本 内 容 如 下 : 接 着 根 据 c l i e n t . c s r 使 用 根 证 书 签 发 域 控 制 器 的 计 算 机 证 书 c l i e n t . c r t ， 并 且 检 测 是 否 正 确 接 着 把 c l i e n t . c r t 证 书 放 到 域 控 制 器 中 ， 执 行 命 令 导 入 证 书   K e y U s a g e   =   0 x a 0   [ E n h a n c e d K e y U s a g e E x t e n s i o n ]   O I D   =   1 . 3 . 6 . 1 . 5 . 5 . 7 . 3 . 1   ;   S e r v e r   A u t h e n t i c a t i o n   C : >   c e r t r e q   - n e w   r e q u e s t . i n f   c l i e n t . c s r   k e y U s a g e = d i g i t a l S i g n a t u r e , k e y E n c i p h e r m e n t   e x t e n d e d K e y U s a g e = s e r v e r A u t h   s u b j e c t K e y I d e n t i f i e r = h a s h   $   o p e n s s l   x 5 0 9             - r e q   - d a y s   3 6 5 0             - i n   c l i e n t . c s r   - C A   c a . c r t   - C A k e y   c a . k e y   - e x t f i l e   v 3 e x t . t x t             - s e t _ s e r i a l   0 1   - o u t   c l i e n t . c r t / /   检 测 证 书 是 否 正 确 $   o p e n s s l   x 5 0 9   - i n   c l i e n t . c r t   - t e x t   C : >   c e r t r e q   - a c c e p t   c l i e n t . c r t
接 着 重 新 加 载 l d a p s 来 启 用 刚 刚 的 证 书 ， 创 建 一 个 文 件 l d a p - r e n e w s e r v e r c e r t . t x t   ， 文 件 的 内 容 如 下 ： 创 建 好 了 之 后 就 重 新 加 载 l d a p s 服 务 来 来 达 到 启 用 l d a p s 。 接 着 和 刚 刚 的 攻 击 差 不 多 ， 这 里 使 用 n t l m r e l a y x . p y 脚 本 来 进 行 攻 击 ， 这 里 就 不 需 要 使 用 - - e s c a l a t e - u s e r   参 数 了 ， 等 下 会 通 过 连 接 l d a p s 来 添 加 机 器 用 户 ， 并 且 设 置 委 派 来 进 行 攻 击 。 触 发 p r i n t e r b u g 脚 本 发 起 N T L M   请 求 到 。 接 着 触 发 辅 助 域 控 制 器 回 连 攻 击 主 机 ， 回 连 使 用 的 认 证 用 户 是 辅 助 域 控 制 器 本 地 计 算 机 账 户 o n e . c o m / u s e r 这 个 账 户 。 n t l m r e l a y x . p y 脚 本 通 过 l d a p s 将 这 个 用 户 中 继 到 域 控 制 器 中 ， 攻 击 者 冒 用 u s e r 身 份 在 D C 上 面 创 建 一 个 新 的 用 户 ， 可 以 看 到 n t l m r e l a y x . p y 脚 本 创 建 了 一 个 L W W A H T Y W $ 机 器 用 户 ， 并 且 对 D M $ 也 就 是 辅 助 域 控 制 器 设 置 了 委 派 权 限   d n :   c h a n g e t y p e :   m o d i f y   a d d :   r e n e w S e r v e r C e r t i f i c a t e   r e n e w S e r v e r C e r t i f i c a t e :   1   - C : >   l d i f d e   - i   - f   l d a p - r e n e w s e r v e r c e r t . t x t
接 着 就 可 以 使 用 g e t S T . p y 脚 本   ， 使 用 - i m p e r s o n a t e 参 数 模 拟 用 户 a d m i n 请 求 其 票 证 然 后 导 入 票 据 即 可 成 功 攻 破 到 辅 助 域 控 制 器 中 成 功 登 录 进 入 到 辅 助 域 控 制 器 里 面 。 攻 击 攻 击 E x c h a n g e   S e r v e r 实 验 环 境 实 验 环 境
这 里 有 一 个 我 们 已 经 获 取 的 普 通 的 域 用 户 u s e r   ， 接 着 通 过 n t l m r e l a y x . p y 脚 本 进 行 N T L M 中 继 攻 击 ， 设 置 S M B 服 务 器 并 将 认 证 凭 据 中 继 到 L D A P 协 议 ， 这 里 由 于 E x c h a n g e 机 器 用 户 在 E x c h a n g e   T r u s t e d   S u b s y s t e m 组 ， E x c h a n g e   T r u s t e d   S u b s y s t e m   有 w r i t e - a c l 权 限 ， 可 以 给 任 意 用 户 添 加 D c s y n c 权 限 。 可 以 看 到 i m p a c k e t 包 里 面 的 l d a p a t t a c k . p y 默 认 就 是 一 开 始 通 过 修 改 用 户 A C L 来 提 升 用 户 权 限 这 里 通 过 - - e s c a l a t e - u s e r 来 提 升 指 定 用 户 权 限 。 ， 一 样 通 过 参 数 - - r e m o v e - m i c   来 利 用 C V E - 2 0 1 9 - 1 0 4 0 漏 洞 接 着 触 发 打 印 机 漏 洞 触 发 S p o o l S e r v i c e 的 b u g ， 来 发 起 N T L M 请 求 由 于 安 装 E x c h a n g e 后 ， E x c h a n g e 在 A c t i v e   D i r e c t o r y 域 中 具 有 高 权 限 ， E x c h a n g e 的 本 地 计 算 机 账 户 E X $ 会 被 加 入 用 户 组 E x c h a n g e   T r u s t e d S u b s y s t e m ， 该 用 户 组 又 隶 属 于 E x c h a n g e   W i n d o w s   P e r m i s s i o n s 。 E x c h a n g e   W i n d o w s   P e r m i s s i o n s 组 可 以 通 过 W r i t e D a c l 方 式 访 问 A c t i v e   D i r e c t o r y 中 的 D o m a i n 对 象 ， 该 对 象 允 许 该 组 的 任 何 成 员 修 改 域 权 限 ， 从 而 可 以 修 改 当 前 域 A C L 达 到 提 权 目 的 。 可 以 看 到 脚 本 一 开 始 遍 历 验 证 中 继 帐 户 所 在 用 户 组 及 权 限 ， 发 现 当 前 账 户 可 以 创 建 用 户 、 可 以 修 改 o n e . c o m 域 的 A C L ， 便 通 过 这 个 来 修 改 u s e r 的 A C L A t t a c k e r : k a l i   , 机 器 名 ： k a l i   : 1 9 2 . 1 6 8 . 8 . 1 3 5 D C : w i n d o w s   2 0 1 2   , 机 器 名 ： d c . o n e . c o m   : 1 9 2 . 1 6 8 . 8 .   1 7 8   , 域 ： o n e . c o m E x c h a n g e   S e r v e r   w i n d o w s   2 0 1 2 ,   机 器 名 ： e x . o n e . c o m   : 1 9 2 . 1 6 8 . 8 . 1 8 5   , 域 ： o n e . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理