搜索

[26980] 2020-05-08_内网渗透（一）域渗透之SPN服务主体名称

文档创建者：s7ckTeam
浏览次数：51
最后更新：2025-01-19
2020-05-08_内网渗透（一）域渗透之SPN服务主体名称 内 网 渗 透 （ 一 ）   |   域 渗 透 之 S P N 服 务 主 体 名 称 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 5 - 0 8 以 下 文 章 来 源 于 安 全 加   ， 作 者 谢 公 子 S P N S P N ( S e r v i c e P r i n c i p a l   N a m e s ) 服 务 主 体 名 称 ， 是 服 务 实 例 ( 比 如 ： H T T P 、 S M B 、 M y S Q L 等 服 务 ) 的 唯 一 标 识 符 。 K e r b e r o s 认 证 过 程 使 用 S P N 将 服 务 实 例 与 服 务 登 录 账 户 相 关 联 ， 如 果 想 使 用   K e r b e r o s   协 议 来 认 证 服 务 ， 那 么 必 须 正 确 配 置 S P N 。 如 果 在 整 个 林 或 域 中 的 计 算 机 上 安 装 多 个 服 务 实 例 ， 则 每 个 实 例 都 必 须 具 有 自 己 的   S P N 。 如 果 客 户 端 可 能 使 用 多 个 名 称 进 行 身 份 验 证 ， 则 给 定 服 务 实 例 可 以 具 有 多 个 S P N 。 S P N   始 终 包 含 运 行 服 务 实 例 的 主 机 的 名 称 ， 因 此 服 务 实 例 可 以 为 其 主 机 的 每 个 名 称 或 别 名 注 册 S P N 。 一 个 用 户 账 户 下 可 以 有 多 个 S P N ， 但 一 个 S P N 只 能 注 册 到 一 个 账 户 。 在 内 网 中 ， S P N 扫 描 通 过 查 询 向 域 控 服 务 器 执 行 服 务 发 现 。 这 对 于 红 队 而 言 ， 可 以 帮 助 他 们 识 别 正 在 运 行 重 要 服 务 的 主 机 ， 如 终 端 ， 交 换 机 等 。 S P N 的 识 别 是 k e r b e r o a s t i n g 攻 击 的 第 一 步 。 下 面 通 过 一 个 例 子 来 说 明 下 面 通 过 一 个 例 子 来 说 明 S P N 的 作 用 ： 的 作 用 ： 当 某 用 户 需 要 访 问 M y S Q L 服 务 时 ， 系 统 会 以 当 前 用 户 的 身 份 向 域 控 查 询 S P N 为 M y S Q L 的 记 录 。 当 找 到 该 S P N 记 录 后 ， 用 户 会 再 次 与 K D C 通 信 ， 将 K D C 发 放 的 T G T 作 为 身 份 凭 据 发 送 给 K D C ， 并 将 需 要 访 问 的 S P N 发 送 给 K D C 。 K D C 中 的 T G S 服 务 对 T G T 进 行 解 密 。 确 认 无 误 后 ， 由 T G S 将 一 张 允 许 访 问 该 S P N 所 对 应 的 服 务 的 S T 服 务 票 据 和 该 S P N 所 对 应 的 服 务 的 地 址 发 送 给 用 户 ， 用 户 使 用 该 票 据 即 可 访 问 M y S Q L 服 务 。 S P N 分 为 两 种 类 型 ： 1 . 一 种 是 注 册 在 活 动 目 录 的 机 器 帐 户 ( C o m p u t e r s ) 下 ， 当 一 个 服 务 的 权 限 为   L o c a l   S y s t e m   或   N e t w o r k   S e r v i c e ， 则 S P N 注 册 在 机 器 帐 户 ( C o m p u t e r s ) 下 。 域 中 的 每 个 机 器 都 会 有 注 册 两 个 2 . S P N ： H O S T / 主 机 名     和     H O S T / 主 机 名 . x i e . c o m 另 一 种 是 注 册 在 活 动 目 录 的 域 用 户 帐 户 ( U s e r s ) 下 ， 当 一 个 服 务 的 权 限 为 一 个 域 用 户 ， 则 S P N 注 册 在 域 用 户 帐 户 ( U s e r s ) 下 。 这 里 以 S Q L S e r v e r 服 务 注 册 为 例 ： S Q L S e r v e r 在 每 次 启 动 的 时 候 ， 都 会 去 尝 试 用 自 己 的 启 动 账 号 注 册 S P N 。 但 是 在 W i n d o w s 域 里 ， 默 认 普 通 机 器 账 号 有 权 注 册 S P N ， 但 是 普 通 域 用 户 账 号 是 没 有 权 注 册 S P N 的 。 这 就 会 导 致 这 样 一 个 现 象 ， S Q L   S e r v e r 如 果 使 用 “ L o c a l   S y s t e m   a c c o u n t ” 来 启 动 ， K e r b e r o s 就 能 够 成 功 ， 因 为 S Q L   S e r v e r 这 时 可 以 在 D C 上 注 册 S P N 。 如 果 用 一 个 域 用 户 来 启 动 ， K e r b e r o s 就 不 能 成 功 ， 因 为 这 时 S P N 注 册 不 上 去 。 解 决 办 法 ： 解 决 办 法 ： 可 以 使 用 工 具 S e t S P N   - S 来 手 动 注 册 S P N 。 但 是 这 不 是 一 个 最 好 的 方 法 ， 毕 竟 手 工 注 册 不 是 长 久 之 计 。 如 果 S P N 下 次 丢 了 ， 又 要 再 次 手 动 注 册 。 安 全 加 安 全 加   . 安 世 加   专 注 于 信 息 安 全 业 ， 通 过 互 联 平 台 、 线 下 沙 、 培 训 、 峰 会 、 才 招 聘 等 多 种 形 式 ， 培 养 安 全 才 ， 提 升 业 的 整 体 素 质 ， 助 推 安 全 态 圈 的 健 康 发 展 。
所 以 比 较 好 的 方 法 ， 是 让 S Q L   S e r v e r 当 前 启 动 域 账 号 有 注 册 S P N 的 权 力 。 要 在 D C 上 为 域 账 号 赋 予   “ R e a d   s e r v i c e P r i n c i p a l N a m e ”   和   “ W r i t e s e r v e r P r i n c i p a l N a m e ”   的 权 限 即 可 。 S P N 的 配 置 的 配 置 微 软 官 方 文 档 ： h t t p s : / / d o c s . m i c r o s o f t . c o m / z h - c n / w i n d o w s - s e r v e r / n e t w o r k i n g / s d n / s e c u r i t y / k e r b e r o s - w i t h - s p n 在   S P N   的 语 法 中 存 在 四 种 元 素 ， 两 个 必 须 元 素 和 两 个 额 外 元 素 ， 其 中   < s e r v i c e   c l a s s >   和   < h o s t >   为 必 须 元 素 ： 使 用 使 用 S e t S P N 注 册 注 册 S P N S e t S P N 是 一 个 本 地 W i n d o w s 二 进 制 文 件 ， 可 用 于 检 索 用 户 帐 户 和 服 务 之 间 的 映 射 。 该 实 用 程 序 可 以 添 加 ， 删 除 或 查 看 S P N 注 册 。 主 机 ： w i n 7 . x i e . c o m 域 控 ： w i n 2 0 0 8 . x i e . c o m 当 前 用 户 ： x i e / t e s t 注 ： 注 册 注 ： 注 册 S P N 需 要 域 管 理 员 权 限 ， 普 通 域 成 员 注 册 会 提 示 权 限 不 够 ！ 需 要 域 管 理 员 权 限 ， 普 通 域 成 员 注 册 会 提 示 权 限 不 够 ！ 以 以 t e s t 用 户 的 身 份 进 行 用 户 的 身 份 进 行 S P N 服 务 的 注 册 服 务 的 注 册 S P N 格 式 ： < s e r v i c e   c l a s s > / < h o s t > : < p o r t > / < s e r v i c e   n a m e > < s e r v i c e   c l a s s > ： 标 识 服 务 类 的 字 符 串 ， 可 以 理 解 为 服 务 的 名 称 ， 常 见 的 有 W W W 、 M y S Q L 、 S M T P 、 M S S Q L 等 ； 必 须 元 素 < h o s t > ： 服 务 所 在 主 机 名 ， h o s t 有 两 种 形 式 ， F Q D N ( w i n 7 . x i e . c o m ) 和 N e t B I O S ( w i n 7 ) 名 ； 必 须 元 素 < p o r t > ： 服 务 端 口 , 如 果 服 务 运 行 在 默 认 端 口 上 , 则 端 口 号 ( p o r t ) 可 以 省 略 ； 额 外 元 素 < s e r v i c e   n a m e > ： 服 务 名 称 , 可 以 省 略 ； 额 外 元 素 一 些 服 务 的 S P N 示 例 ： # E x c h a n g e 服 务 e x c h a n g e M D B / e x 0 1 . x i e . c o m # R D P 服 务 T E R M S E R V / t e 0 1 . x i e . c o m # W S M a n / W i n R M / P S R e m o t i n g 服 务 W S M A N / w s 0 1 . x i e . c o m s e t s p n   - S   S Q L S e r v e r / w i n 7 . x i e . c o m : 1 4 3 3   t e s t         # t e s t 必 须 是 当 前 的 用 户 或 s e t s p n   - U   - A   S Q L S e r v e r / w i n 7 . x i e . c o m : 1 4 3 3   t e s t         # t e s t 必 须 是 当 前 的 用 户
以 以 W I N 7 主 机 的 身 份 在 主 机 的 身 份 在 D C ( w i n 2 0 0 8 . x i e . c o m ) 上 进 行 上 进 行 S P N 服 务 服 务 ( S Q L S e r v e r ) 的 注 册 的 注 册 这 里 由 于 之 前 用   t e s t   用 户 注 册 过 ， 所 以 会 提 示 重 复 ， 我 们 可 以 将 端 口 修 改 为 其 他 端 口 ， 则 不 是 重 复 的 S P N 了 S P N 的 发 现 的 发 现 由 于 每 台 服 务 器 都 需 要 注 册 用 于 K e r b e r o s 身 份 验 证 服 务 的 S P N ， 因 此 这 为 在 不 进 行 大 规 模 端 口 扫 描 的 情 况 下 收 集 有 关 内 网 域 环 境 的 信 息 提 供 了 一 个 更 加 隐 蔽 的 方 法 。 使 用 S e t S P N 查 询 ： w i n d o w s 系 统 自 带 的 s e t s p n 可 以 查 询 域 内 的 S P N 。 s e t s p n   - S   S Q L S e r v e r / w i n 7 . x i e . c o m : 1 5 3 3 / M S S Q L   w i n 7         # w i n 7 必 须 是 当 前 的 主 机 名 查 看 当 前 域 内 所 有 的 S P N ： s e t s p n     - Q     * / * 查 看 指 定 域 x i e . c o m 注 册 的 S P N ： s e t s p n   - T   x i e . c o m   - Q   * / *             如 果 指 定 域 不 存 在 ， 则 默 认 切 换 到 查 找 本 域 的 S P N 查 找 本 域 内 重 复 的 S P N ： s e t s p n   - X 删 除 指 定 S P N ： s e t s p n   - D   M y S Q L / w i n 7 . x i e . c o m : 1 4 3 3 / M S S Q L   h a c k 查 找 指 定 用 户 / 主 机 名 注 册 的 S P N ： s e t s p n   - L   u s e r n a m e / h o s t n a m e

P o w e r S h e l l - A D - R e c o n ：
该 工 具 包 提 供 了 一 些 探 测 指 定 S P N 的 脚 本 ， 例 如 E x c h a n g e ， M i c r o s o f t   S Q L S e r v e r ， T e r m i n a l 等 G e t U s e r S P N s . p s 1 ： G e t U s e r S P N s   是   K e r b e r o a s t   工 具 集 中 的 一 个   p o w e r s h e l l   脚 本 ， 用 来 查 询 域 内 用 户 注 册 的   S P N 。 G e t U s e r S P N s . v b s ： G e t U s e r S P N s   是   K e r b e r o a s t   工 具 集 中 的 一 个   v b s   脚 本 ， 用 来 查 询 域 内 用 户 注 册 的   S P N 。 # D i s c o v e r - P S M S S Q L S e r v e r s . p s 1 的 使 用 , 扫 描 M S S Q L 服 务 I m p o r t - M o d u l e   . D i s c o v e r - P S M S S Q L S e r v e r s . p s 1 ; D i s c o v e r - P S M S S Q L S e r v e r s # D i s c o v e r - P S M S E x c h a n g e S e r v e r s . p s 1 的 使 用 ， 扫 描 E x c h a n g e 服 务 I m p o r t - M o d u l e   . D i s c o v e r - P S M S E x c h a n g e S e r v e r s . p s 1 ; D i s c o v e r - P S M S E x c h a n g e S e r v e r s # 扫 描 域 中 所 有 的 S P N 信 息 I m p o r t - M o d u l e   . D i s c o v e r - P S I n t e r e s t i n g S e r v i c e s . p s 1 ; D i s c o v e r - P S I n t e r e s t i n g S e r v i c e s I m p o r t - M o d u l e   . G e t U s e r S P N s . p s 1
P o w e r V i e w . p s 1 ： P o w e r V i e w 是   P o w e r S p o l i t   中   R e c o n 目 录 下 的 一 个 p o w e r s h e l l 脚 本 ， P o w e r V i e w   相 对 于 上 面 几 种 是 根 据 不 同 用 户 的   o b j e c t s i d   来 返 回 ， 返 回 的 信 息 更 加 详 细 。 c s c r i p t   . G e t U s e r S P N s . v b s I m p o r t - M o d u l e   . P o w e r V i e w . p s 1 G e t - N e t U s e r   - S P N
P o w e r S h e l l e r y ： P o w e r S h e l l e r y 下 有 各 种 各 样 针 对 服 务 S P N 探 测 的 脚 本 。 其 中 一 些 需 要 P o w e r S h e l l   v 2 . 0 的 环 境 ， 还 有 一 些 则 需 要 P o w e r S h e l l   v 3 . 0 环 境 。 R i s k y S P N 中 的 F i n d - P o t e n t i a l l y C r a c k a b l e A c c o u n t s . p s 1 ： 该 脚 本 可 以 帮 助 我 们 自 动 识 别 弱 服 务 票 据 ， 主 要 作 用 是 对 属 于 用 户 的 可 用 服 务 票 据 执 行 审 计 ， 并 根 据 用 户 帐 户 和 密 码 过 期 时 限 来 查 找 最 容 易 包 含 弱 密 码 的 票 据 。 该 脚 本 将 提 供 比 k l i s t 和 M i m i k a t z 更 详 细 的 输 出 ， 包 括 组 信 息 ， 密 码 有 效 期 和 破 解 窗 口 。 使 用 d o m a i n 参 数 ， 将 返 回 所 有 具 有 关 联 服 务 主 体 名 称 的 用 户 帐 户 ， 也 就 是 将 返 回 所 有 S P N 注 册 在 域 用 户 下 的 用 户 。 # P o w e r s h e l l e r y / S t a b l e - i s h / G e t - S P N /   下 G e t - S P N . p s m 1 脚 本 的 使 用 , 需 要 p o w e r s h e l l 3 . 0 及 以 上 版 本 才 能 使 用 I m p o r t - M o d u l e   . G e t - S P N . p s m 1 G e t - S P N   - t y p e   s e r v i c e   - s e a r c h   " * " G e t - S P N   - t y p e   s e r v i c e   - s e a r c h   " * "   - L i s t   y e s   |   F o r m a t - T a b l e # P o w e r s h e l l e r y / S t a b l e - i s h / A D S /   下 G e t - D o m a i n S p n . p s m 1 脚 本 的 使 用 I m p o r t - M o d u l e   . G e t - D o m a i n S p n . p s m 1 G e t - D o m a i n S p n I m p o r t - M o d u l e   . F i n d - P o t e n t i a l l y C r a c k a b l e A c c o u n t s . p s 1 ; F i n d - P o t e n t i a l l y C r a c k a b l e A c c o u n t s   - F u l l D a t a   - V e r b o s e
扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 目 前 目 前 2 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 I m p o r t - M o d u l e   . F i n d - P o t e n t i a l l y C r a c k a b l e A c c o u n t s . p s 1 ; F i n d - P o t e n t i a l l y C r a c k a b l e A c c o u n t s   - D o m a i n   " x i e . c o m "
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理