搜索

[8321] 2014-10-02_敞开的地狱之门：Kerberos协议的滥用

文档创建者：s7ckTeam
浏览次数：30
最后更新：2025-01-17
2014-10-02_敞开的地狱之门：Kerberos协议的滥用 敞 开 的 地 狱 之 门 ： K e r b e r o s 协 议 的 滥 用 F r e e B u f   2 0 1 4 - 1 0 - 0 2 作 者   R a b b i t _ R u n 微 软 的 活 动 目 录 默 认 使 用 微 软 的 活 动 目 录 默 认 使 用 K e r b e r o s 处 理 认 证 请 求 。 在 处 理 认 证 请 求 。 在 B l a c k H a t   2 0 1 4 上 神 器 上 神 器 M i m i k a t z 的 作 者 剖 析 了 微 软 实 现 的 的 作 者 剖 析 了 微 软 实 现 的 K e r b e r o s 协 议 中 存 在 的 安 全 缺 陷 ， 并 通 过 神 器 协 议 中 存 在 的 安 全 缺 陷 ， 并 通 过 神 器 M i m i k a t z 新 添 功 能 新 添 功 能 “ G o l d e n   T i c k e t ” 展 示 了 如 何 利 用 这 些 安 全 缺 陷 ， 让 展 示 了 如 何 利 用 这 些 安 全 缺 陷 ， 让 K e r b e r o s 把 把 守 的 地 狱 之 门 为 大 家 敞 开 。 守 的 地 狱 之 门 为 大 家 敞 开 。 一 、 快 速 介 绍 一 、 快 速 介 绍 K e r b e r o s   是 W i n d o w s 活 动 目 录 中 使 用 的 客 户 / 服 务 器 认 证 协 议 ， 为 通 信 双 方 提 供 双 向 身 份 认 证 。 相 互 认 证 或 请 求 服 务 的 实 体 被 称 为 委 托 人 （ p r i n c i p a l ） 。 参 与 的 中 央 服 务 器 被 称 为 密 钥 分 发 中 心 （ 简 称 K D C ） 。 K D C 有 两 个 服 务 组 成 ： 身 份 验 证 服 务 （ A u t h e n t i c a t i o n   S e r v e r ， 简 称 A S ） 和 票 据 授 予 服 务 （ T i c k e t   G r a n t i n g   S e r v e r ， 简 称 T G S ） 。 在 W i n d o w s 域 环 境 下 ， 身 份 验 证 服 务 和 票 据 授 予 服 务 可 同 时 运 行 在 任 何 可 写 域 控 服 务 器 上 。 （ P S : K e r b e r o s 其 实 是 希 腊 神 话 中 看 守 地 狱 大 门 的 三 头 猛 犬 的 名 字 ， 这 只 猛 犬 除 了 比 一 般 的 狗 多 出 两 个 头 外 ， 还 有 喷 火 与 喷 硫 酸 的 特 异 功 能 。 ） 1 . 相 关 术 语 相 关 术 语 委 托 人 （ p r i n c i p a l ） 是 一 个 具 有 唯 一 标 识 的 实 体 ， 可 以 是 一 台 计 算 机 或 一 项 服 务 ， 通 过 使 用 K D C 颁 发 的 票 据 来 进 行 通 信 。 委 托 人 可 以 分 为 两 类 ： 用 户 和 服 务 ， 分 别 具 有 不 同 种 类 的 标 识 符 。 用 户 通 过 如 “ u s e r @ R E A L M ” 格 式 的 用 户 主 体 名 称 （ U s e r P r i n c i p a l   N a m e ， 简 称 U P N ） 来 标 识 。 记 住 R E A L M 一 定 是 大 写 的 。 例 如 用 户 “ b o b ” 在 “ b h u s a . c o m ” 域 中 应 该 表 示 为 b o b @ B H U S A . C O M 。 服 务 主 体 名 称 （ S e r v i c e   P r i n c i p a l   N a m e ， 简 称 S P N ） 是 用 于 域 中 的 服 务 和 计 算 机 账 户 。 S P N 的 格 式 形 如 “ s e r v i c e c l a s s / h o s t _ p o r t / s e r v i c e N a m e ” 。 例 如 ，   主 机 “ d c 1 . b h u s a . c o m ” 上 L D A P 服 务 的 S P N 可 能 类 似 于 “ l d a p / d c 1 . b h u s a . c o m ” ， “ l d a p / d c 1 ” 和 “ l d a p / d c 1 . b h u s a . c o m / b h u s a . c o m ” 。 参 考 全 限 定 主 机 名 和 仅 主 机 名 ， 一 个 服 务 可 能 注 册 为 多 个 S P N 。 同 通 常 是 执 行 D N S 查 询 来 规 范 化 主 机 名 称 。 这 就 解 释 了 D N S 为 什 么 是 微 软 K e r b e r o s 环 境 中 的 一 个 必 要 组 件 。 查 询 服 务 的 “ 规 范 化 ” 名 称 ， 然 后 生 成 请 求 服 务 的 S P N 。 2 . 认 证 步 骤 认 证 步 骤 K e r b e r o s 认 证 过 程 概 览 用 户 要 访 问 活 动 目 录 中 的 一 项 服 务 需 经 过 以 下 几 个 步 骤 ： 1 . 客 户 端 对 用 户 口 令 执 行 散 列 运 算 。 此 散 列 值 （ 即 用 户 密 钥 ） 成 为 客 户 端 和 K D C 共 享 的 长 期 密 钥 （ l o n g   t e r m   k e y ） 。 2 . K R B _ A S _ R E Q - 客 户 端 加 密 一 个 时 间 戳 ， 然 后 发 送 给 身 份 验 证 服 务 。
3 . K R B _ A S _ R E P - 身 份 验 证 服 务 会 解 密 时 间 戳 ， 若 解 密 成 功 ， 表 明 了 客 户 端 获 得 某 个 特 定 用 户 的 口 令 （ 即 验 证 了 用 户 的 身 份 ） 。 A S 向 客 户 端 回 复 两 条 信 息 ： ① 短 期 会 话 密 钥 ， 用 于 客 户 端 向 K D C 发 起 后 续 的 请 求 ， 该 消 息 经 客 户 端 的 长 期 密 钥 加 密 。 （ 此 短 期 会 话 密 钥 仅 适 用 于 该 客 户 端 和 K D C 之 间 ） ② 票 据 授 予 票 据 （ T i c k e t   G r a n t i n g   T i c k e t ， 简 称 T G T ） ， 包 含 有 关 用 户 名 、 域 名 、 时 间 和 组 成 员 资 格 等 信 息 。 该 消 息 经 仅 可 知 K D C 的 密 钥 加 密 （ 在 W i n d o w s 环 境 中 为 k r b t g t 账 户 的 N T - H a s h ） 。 记 住 记 住 K D C 不 记 录 状 态 ： 客 户 端 每 次 请 求 访 问 一 项 服 务 不 记 录 状 态 ： 客 户 端 每 次 请 求 访 问 一 项 服 务 时 ， 时 ， T G T 都 会 被 转 发 都 会 被 转 发 。 客 户 端 和 K e r b e r o s 的 预 认 证 过 程 4 . K R B _ T G S _ R E Q - 客 户 端 使 用 A S 返 回 的 会 话 密 钥 构 建 访 问 特 定 服 务 的 请 求 。 客 户 端 把 T G T 连 同 请 求 一 起 发 送 到 票 据 授 予 服 务 。 5 . K R B _ T G S _ R E P - 票 据 授 予 服 务 解 密 T G T 和 服 务 请 求 ， 然 后 如 果 请 求 被 允 许 ， 票 据 授 予 服 务 向 客 户 端 发 送 一 个 服 务 票 据 （ S e r v i c e   T i c k e t ， 简 称 S T ） ， 包 括 两 个 部 分 ： ① 远 程 服 务 器 的 部 分 - 包 含 请 求 用 户 的 组 成 员 资 格 、 时 间 戳 、 用 于 客 户 端 和 远 程 服 务 器 之 间 通 信 的 会 话 密 钥 。 使 用 远 程 服 务 器 和 K D C 共 享 的 长 期 密 钥 加 密 这 部 分 消 息 。 ② 客 户 端 的 部 分 - 包 含 用 于 客 户 端 和 远 程 服 务 器 之 间 通 信 的 会 话 密 钥 。 使 用 步 骤 3 中 A S 回 复 的 短 期 会 话 密 钥 加 密 这 部 分 消 息 。 6 . K R B _ A P _ R E Q - 客 户 端 把 服 务 票 据 中 的 服 务 器 部 分 和 请 求 一 起 发 送 到 远 程 服 务 器 。 远 程 服 务 器 将 直 接 接 受 该 服 务 器 票 据 ， 并 不 需 要 和 K D C 直 接 通 信 ， 因 为 该 票 据 是 用 远 程 服 务 器 和 K D C 共 享 的 长 期 密 钥 加 密 过 的 。 解 密 成 功 即 表 明 K D C 已 经 允 许 了 此 次 通 信 。 K e r b e r o s 信 任 模 型 的 核 心 是 每 个 委 托 人 （ p r i n c i p a l ） 和 K D C 的 通 信 是 在 利 用 仅 双 方 可 知 的 密 钥 构 建 的 安 全 通 道 中 进 行 。 当 委 托 人 （ p r i n c i p a l ） 之 间 需 要 通 信 的 时 候 ， 它 们 再 使 用 K D C 生 成 的 会 话 密 钥 。 K e r b e r o s 也 允 许 使 用 P K I 和 智 能 卡 进 行 身 份 认 证 。 用 户 会 被 提 示 输 入 一 个 智 能 卡 的 P I N 码 ， 而 不 是 口 令 。 W i n d o w s 使 用 P I N 码 来 访 问 智 能 卡 上 的 公 钥 证 书 （ p u b l i c   k e y   c e r t i f i c a t i o n ） 。 利 用 智 能 卡 的 私 钥 签 名 该 证 书 ， 并 发 送 到 K D C 。 K D C 验 证 证 书 上 的 签 名 是 否 源 于 可 信 实 体 。 然 后 K D C 发 送 公 钥 证 书 加 密 过 的 T G T 。 既 然 信 息 只 能 被 智 能 卡 的 私 钥 解 密 ， 用 户 也 就 通 过 了 域 的 身 份 认 证 。 然 而 ， 对 于 使 用 智 能 卡 进 行 身 份 认 证 的 账 户 来 说 ， 密 码 的 散 列 值 仍 然 存 储 在 域 控 服 务 器 上 。 此 外 ， 智 能 卡 只 能 对 “ 交 互 式 会 话 （ i n t e r a c t i v e   s e s s i o n s ） ” 提 供 保 护 。 也 就 意 味 着 智 能 卡 认 证 仅 能 用 于 登 录 域 中 的 计 算 机 。 二 、 二 、 K e r b e r o s 信 任 完 全 依 赖 于 信 任 完 全 依 赖 于 K D C 密 码 密 码 K e r b e r o s 协 议 是 无 状 态 的 ， 因 此 密 钥 分 发 中 心 和 票 据 授 予 服 务 并 没 记 录 以 前 的 交 互 信 息 。 因 此 票 据 授 予 服 务 所 需 使 用 的 全 部 信 息 都 位 于 T G T 票 据 中 。 因 为 T G T 使 用 K R B T G T 的 密 码 加 密 过 ， 理 论 上 讲 网 络 上 只 有 两 方 能 够 解 密 T G T ： 颁 发 票 据 的 K D C 和 接 受 票 据 并 创 建 访 问 网 络 资 源 的 服 务 票 据 的 票 据 授 予 服 务 。 这 种 情 况 让 K R B T G T 成 为 系 统 中 最 重 要 的 密 码 。 最 终 结 果 是 只 要 T G T 被 k r b t g t 账 户 密 码 正 确 地 加 密 ， T G T 中 的 所 有 信 息 都 是 可 信 的 。
F r e e B u f 小 科 普 小 科 普 k r b t g t 账 户 ： 每 个 域 控 制 器 都 有 一 个 “ k r b t g t ” 的 用 户 账 户 ， 是 K D C 的 服 务 账 户 ， 用 来 创 建 票 据 授 予 服 务 （ T G S ） 加 密 的 密 钥 。 三 、 关 于 三 、 关 于 k r b t g t 账 户 和 账 户 和 T G T 的 问 题 的 问 题 1 .   问 题 一 ： 微 软 对 长 期 密 钥 的 散 列 值 不 加 问 题 一 ： 微 软 对 长 期 密 钥 的 散 列 值 不 加 S A L T 微 软 实 现 的 K e r b e r o s 版 本 对 M I T 原 始 版 本 中 的 一 个 关 键 函 数 做 了 修 改 ， 最 终 降 低 了 底 层 的 安 全 性 。 在 M I T 原 始 版 本 中 ， 首 先 在 明 文 口 令 中 添 加 字 符 串 u s e r n a m e @ D O M A I N . C O M ， 然 后 经 过 散 列 运 算 生 成 长 期 密 钥 。 使 用 用 户 名 给 密 码 加 盐 ， 能 够 为 碰 巧 密 码 相 同 的 不 同 用 户 生 成 不 同 的 散 列 值 。 只 要 涉 及 到 密 钥 的 操 作 ， 仍 然 需 要 使 用 实 际 的 口 令 。 在 微 软 实 现 版 本 中 ， 口 令 转 换 成 U n i c o d e 格 式 ， 再 经 过 M D 4 运 算 生 成 没 有 加 盐 的 密 钥 。 这 种 情 况 也 被 称 为 N T - H a s h ， 和 微 软 十 多 年 来 存 储 长 度 大 于 1 4 字 符 的 密 码 的 格 式 一 样 。 缺 少 s a l t 意 味 着 任 何 需 要 密 钥 的 操 作 能 够 直 接 地 使 用 密 码 的 散 列 版 本 ， 而 不 是 使 用 实 际 的 密 码 。 这 听 上 去 像 大 家 耳 熟 能 详 的 “ p a s s - t h e - h a s h ” 攻 击 的 根 本 原 因 。 从 一 个 攻 击 者 的 角 度 出 发 ， 如 果 能 够 提 取 该 域 的 密 码 散 列 值 ， 也 就 可 以 利 用 K R B T G T 散 列 值 来 伪 造 T G T 。 虽 然 提 取 散 列 值 看 似 难 以 实 现 ， 然 而 实 际 上 ， 大 部 分 渗 透 人 员 认 为 在 普 通 的 企 业 环 境 中 这 并 不 是 一 件 困 难 的 事 情 。 我 们 会 在 白 皮 书 下 面 的 一 个 章 节 中 作 全 面 深 入 的 解 析 。 利 用 思 路 利 用 思 路 在 微 软 活 动 目 录 中 颁 发 的 T G T 是 可 移 植 的 。 由 于 K e r b e r o s 的 无 状 态 特 性 ， T G T 中 并 没 有 关 于 票 据 来 源 的 标 识 信 息 。 这 意 味 着 可 以 从 某 台 计 算 机 上 导 出 一 个 有 效 的 T G T ， 然 后 导 入 到 该 环 境 中 其 他 的 计 算 机 上 。 新 导 入 的 票 据 可 以 用 于 域 的 身 份 认 证 ， 并 拥 有 票 据 中 指 定 用 户 的 权 限 来 访 问 网 络 资 源 。 这 种 特 别 的 攻 击 方 法 被 称 为 “ p a s s - t h e - t i c k e t ” 攻 击 。
2 .   问 题 二 ： 长 期 不 变 的 密 码 问 题 二 ： 长 期 不 变 的 密 码 k r b t g t   密 码 的 另 一 个 问 题 是 ： 它 是 整 个 活 动 目 录 中 唯 一 的 不 会 自 动 更 新 的 密 码 。 查 看 几 个 活 跃 网 络 中 K R B T G T 账 户 的 年 龄 ， 账 户 已 有 五 年 或 更 多 没 更 改 密 码 的 情 况 并 不 少 见 。 在 下 面 的 例 子 中 ， 此 k r b t g t 密 码 是 最 后 设 置 于 2 0 0 5 年 4 月 。 使 用 “ n e t   u s e ” 命 令 显 示 k r g t g t 的 寿 命 k r b t g t 密 码 仅 在 两 种 情 况 下 将 会 自 动 更 新 。 第 一 种 情 况 第 一 种 情 况 ： 域 功 能 级 别 （ d o m a i n   f u n c t i o n a l   l e v e l ， 简 称 D F L ） 从 N T 5 （ 2 0 0 0 / 2 0 0 3 ） 升 级 到 N T 6 （ 2 0 0 8 / 2 0 1 2 ） 。 作 为 升 级 过 程 的 一 部 分 ， K R B T G T 账 户 的 密 码 获 得 更 改 。 每 次 域 功 能 级 别 的 升 级 都 会 面 临 一 些 特 有 的 挑 战 ， 而 这 些 挑 战 很 大 程 度 上 是 由 网 络 其 他 部 分 上 运 行 的 软 件 版 本 所 引 发 的 。 考 虑 升 级 过 程 可 能 耗 费 几 个 月 甚 至 一 年 的 时 间 ， 大 部 分 公 司 不 会 轻 易 对 现 有 网 络 进 行 升 级 操 作 。 第 二 种 情 况 第 二 种 情 况 ： 利 用 域 的 恢 复 数 据 来 实 施 域 的 裸 机 恢 复 （ b a r e   m e t a l   r e c o v e r y ） 。 域 的 恢 复 数 据 是 在 域 初 始 运 行 时 备 份 的 。 作 为 恢 复 过 程 的 一 部 分 ， K R B T G T 的 密 码 需 要 改 变 两 次 。 因 为 这 是 一 个 灾 难 恢 复 场 景 ， 并 且 需 要 域 的 恢 复 数 据 ， 而 域 的 恢 复 数 据 很 可 能 因 为 时 间 久 远 而 被 弄 丢 了 。 所 以 ， 该 场 景 难 以 在 现 实 世 界 中 发 生 。 F r e e B u f 小 科 普 小 科 普 b a r e   m e t a l   r e c o v e r y   ( 裸 机 恢 复 ) ： 硬 盘 发 生 灾 难 性 故 障 后 对 计 算 机 进 行 完 全 恢 复 。 该 过 程 包 括 通 过 一 个 完 全 恢 复 点 还 原 操 作 系 统 、 文 件 系 统 、 分 区 、 卷 和 数 据 。 四 、 客 户 端 的 有 效 性 四 、 客 户 端 的 有 效 性 由 于 K e r b e r o s 是 无 状 态 的 ， T G T 必 须 包 含 了 同 票 据 授 予 服 务 交 互 所 需 的 全 部 信 息 。 根 据 微 软 实 现 的 K e r b e r o s 协 议 扩 展 （ M S - K I L E ） ， K D C 负 责 设 置 T G T 中 相 应 的 标 志 位 ， 而 票 据 授 予 服 务 使 用 这 些 标 志 位 来 颁 发 服 务 票 据 。 默 认 情 况 下 ， T G T 携 带 了 有 关 用 户 的 组 成 员 资 格 、 票 据 所 使 用 的 加 密 类 型 以 及 票 据 的 有 效 期 等 信 息 。 此 外 ， 微 软 使 用 T G T 来 加 强 域 上 传 统 的 和 最 新 的 身 份 认 证 策 略 。 T G T 包 含 一 些 传 统 的 值 来 限 制 账 户 ， 例 如 登 录 时 长 、 账 户 是 否 禁 用 、 账 户 是 否 过 期 、 密 码 失 效 的 时 间 戳 。 “ 本 质 上 ， 客 户 端 有 效 性 体 现 在 T G T 中 的 账 户 策 略 功 能 ， 因 为 客 户 端 利 用 T G T 向 票 据 授 予 服 务 提 出 自 己 有 什 么 安 全 限 制 。 ”
值 得 注 意 的 是 ， K e r b e r o s 协 议 并 没 明 确 规 定 一 个 “ 票 据 授 予 服 务 如 何 验 证 账 户 是 否 被 禁 用 ” 的 机 制 ， 但 是 微 软 引 入 功 能 来 让 票 据 授 予 服 务 在 颁 发 服 务 票 据 之 前 验 证 T G T 是 否 被 禁 用 。 在 后 面 的 部 分 会 围 绕 这 个 话 题 进 行 深 入 探 讨 。 五 、 万 能 票 据 （ 五 、 万 能 票 据 （ G o l d e n   T i c k e t ） ） 综 上 所 述 ， 微 软 实 现 的 K e r b e r o s 版 本 中 存 在 的 一 系 列 问 题 所 引 发 的 后 果 是 ： K e r b e r o s 成 为 了 攻 击 者 实 施 P o s t - E x p l o i t a t i o n 的 游 乐 场 。 如 果 攻 击 者 能 够 攻 陷 K D C 和 提 取 K R B T G T 散 列 值 。 然 后 利 用 这 些 有 限 信 息 ， 攻 击 者 能 够 为 委 托 人 生 成 任 意 的 T G T 。 M i m i k a t z 工 具 把 这 种 特 性 称 之 为 “ 万 能 票 据 万 能 票 据 ” （ g o l d e n   t i c k e t ， 直 译 为 “ 黄 金 票 据 ” ， 为 突 出 功 能 上 的 特 点 ， 意 译 译 为 “ 万 能 票 据 ” ） 。 万 能 票 据 拥 有 一 些 有 趣 的 属 性 ， 会 导 致 传 统 企 业 域 中 一 些 严 重 的 安 全 问 题 。 首 先 ， 万 能 票 据 是 全 功 能 的 T G T 。 也 就 意 味 着 万 能 票 据 可 用 于 K e r b e r o s 认 证 的 任 何 服 务 。 票 据 授 予 服 务 盲 目 地 相 信 T G T 中 的 信 息 ， 然 后 处 理 T G T 并 颁 发 服 务 票 据 。 内 存 中 插 入 万 能 票 据 并 不 需 要 提 升 权 限 。 而 且 默 认 情 况 下 ， 万 能 票 据 的 有 效 期 是 1 0 年 。 其 次 ， 万 能 票 据 可 以 用 来 绕 过 当 前 K e r b e r o s 有 关 加 密 策 略 的 要 求 。 例 如 ， 可 以 使 用 D E S 或 R C 4 加 密 算 法 创 建 一 个 T G T ， 即 使 该 域 明 确 支 持 A E S ， 禁 止 使 用 D E S 或 R C 4 。 此 情 况 会 产 生 一 个 有 趣 的 现 象 ： T G T 使 用 D E S 加 密 而 服 务 票 据 使 用 A E S 加 密 。 票 据 授 予 服 务 似 乎 并 不 担 心 T G T ， 也 不 拒 绝 异 常 行 为 ， 因 为 没 有 机 制 让 票 据 授 予 服 务 报 告 关 于 策 略 的 错 误 。 再 次 ， 万 能 票 据 并 没 启 用 任 何 高 级 账 户 策 略 的 设 置 。 微 软 添 加 了 一 个 功 能 来 验 证 服 务 票 据 的 请 求 ， 以 确 保 已 禁 用 的 T G T 不 能 用 于 获 得 服 务 票 据 。 然 而 ， 该 功 能 的 实 现 存 在 问 题 。 只 有 当 T G T 的 寿 命 超 过 2 0 分 钟 时 ， 票 据 授 予 服 务 才 会 验 证 T G T 的 有 效 性 。 如 果 T G T 的 寿 命 低 于 2 0 分 钟 ， 票 据 授 予 服 务 将 直 接 颁 发 服 务 票 据 ， 而 不 去 验 证 T G T 的 有 效 性 ， 默 认 情 况 下 服 务 票 据 具 有 1 0 小 时 的 有 效 期 。 因 为 攻 击 者 可 以 利 用 M i m i k a t z 工 具 随 心 所 欲 的 产 生 票 据 ， 所 以 攻 击 者 只 需 清 除 旧 的 T G T ， 再 替 换 为 寿 命 少 于 2 0 分 钟 的 新 票 据 ， 轻 松 突 破 2 0 分 钟 的 限 制 条 件 。 最 终 ， 万 能 票 据 可 以 被 配 置 成 任 意 用 户 和 任 意 组 的 成 员 。 这 也 可 以 创 建 一 个 票 据 ， 票 据 中 任 何 用 户 都 可 以 是 任 意 组 的 成 员 。 这 可 以 用 来 绕 过 文 件 服 务 器 或 其 他 应 用 程 序 上 基 于 用 户 组 的 访 问 限 制 。 万 能 票 据 中 的 用 户 和 S I D 不 必 在 活 动 目 录 中 真 实 存 在 。 也 就 意 味 着 可 以 为 域 中 不 存 在 的 用 户 创 建 T G T , 并 仍 然 可 以 在 T G T 生 命 周 期 内 前 2 0 分 钟 内 从 票 据 授 予 服 务 获 得 服 务 票 据 。 归 根 结 底 ， 在 一 个 企 业 的 活 动 目 录 的 部 署 环 境 中 ， 如 果 K R B T G T 账 户 的 丢 失 ， 也 就 意 味 着 环 境 中 的 信 任 关 系 完 全 丧 失 。 考 虑 到 攻 击 者 可 以 生 成 任 意 的 K e r b e r o s 票 据 ， 能 绕 过 对 任 意 用 户 的 账 户 策 略 ， 能 够 让 用 户 成 为 任 意 组 的 成 员 ， 所 以 攻 击 者 简 直 可 以 横 行 无 阻 。 此 外 ， 监 狱 K R B T G T 账 户 极 少 更 改 散 列 值 ， 攻 击 者 可 以 在 较 长 的 时 间 内 使 用 这 些 伪 造 的 票 据 。 六 、 攻 击 演 示 六 、 攻 击 演 示 我 们 在 此 展 示 一 些 把 N T - H a s h 升 级 到 有 关 K e r b e r o s 票 据 的 研 究 。 假 设 攻 击 者 能 够 获 得 一 个 特 定 用 户 名 的 N T - H a s h ， 为 什 么 不 可 以 把 N T - H a s h 转 换 为 一 个 票 据 。 1 .   准 备 条 件 准 备 条 件 创 建 “ 万 能 票 据 ” 的 所 需 条 件 ： ① k r b t g t 账 户 的 N T - H a s h ： 该 散 列 值 是 用 于 K e r b e r o s 的 秘 密 密 钥 ， 仅 位 于 域 控 服 务 器 的 活 动 目 录 中 。 所 以 攻 击 者 必 须 攻 陷 域 控 服 务 器 并 提 权 至 管 理 员 权 限 ； ② 域 账 户 名 称 ： 通 常 是 域 管 理 员 “ d o m a i n   a d m i n ” ； ③ 域 名 ； ④ 域 S I D ： 可 以 从 域 用 户 的 S I D 或 通 过 s y s i n t e r n a l 中 p s G e t s i d . e x e 获 得 ； 2 . 攻 击 演 示 攻 击 演 示 在 W i n d o w s 中 可 以 使 用 M i m i k a t z 来 实 现 。 首 先 ， 我 们 把 N T - H A S H 放 入 M S V 1 _ 0 ， K e r b e r o s 服 务 账 户 的 相 关 信 息 如 下 图 所 示 ：
使 用 M i m i k a t z 插 入 N T - H a s h 当 散 列 值 插 入 到 内 存 中 ， 我 们 擦 除 掉 所 有 其 他 的 密 钥 ， 因 为 这 些 密 钥 可 能 干 扰 我 们 获 得 指 定 的 票 据 。 留 下 的 密 钥 只 有 上 图 中 插 入 到 镜 像 的 R C 4 密 钥 。 插 入 N T - H a s h 后 内 存 中 的 加 密 密 钥 列 表 然 后 我 们 尝 试 使 用 K e r b e r o s 访 问 一 个 服 务 。 在 此 我 们 看 到 一 个 票 据 的 请 求 。 注 意 到 支 持 的 加 密 类 型 仅 有 R C 4 ：
发 出 的 A S - R E Q 当 我 们 尝 试 使 用 访 问 网 络 资 源 时 在 此 我 们 看 到 产 生 的 T G T ： 仅 使 用 N T - H a s h 加 密 的 T G T 这 项 技 术 在 使 用 A E S 算 法 的 K e r b e r o s 环 境 也 是 有 效 的 。 与 预 认 证 唯 一 的 不 同 之 处 是 使 用 A E S 密 钥 加 密 时 间 戳 而 不 是 传 统 的 R C 4 （ 即 N T - H a s h ） 。 参 考 信 息 来 源   B l a c k h a t 2 0 1 4 ， 本 文 综 合 了 作 者 会 上 的 文 章 和 P P T 的 内 容 ， 各 有 取 舍 ； 同 时 也 查 阅 了 K e r b e r o s 相 关 资 料 ， 加 上 自 己 的 理 解 组 织 成 文 ， 尽 量 保 留 了 作 者 本 意 ； 本 文 涉 及 的 技 术 内 容 较 多 ， 既 有 K e r b e r o s 网 络 协 议 ， 又 有 微 软 关 于 密 码 存 储 技 术 ， 还 涉 及 到 域 控 技 术 ， 我 有 些 技 术 涉 及 不 够 深 入 ， 内 容 难 免 会 出 现 一 些 错 误 ， 欢 迎 大 家 批 评 指 正 。 后 续 会 发 布 关 于 如 何 防 范 万 能 票 据 的 文 章 ， 敬 请 期 待 ！ [ 译 自 译 自 R a b b i t _ R u n ， 喜 欢 文 章 请 点 赞 鼓 励 ， 转 载 请 注 明 来 自 ， 喜 欢 文 章 请 点 赞 鼓 励 ， 转 载 请 注 明 来 自 F r e e B u f . C O M ] 其 它 参 考 资 料 ： 其 它 参 考 资 料 ： 1 .   谈 谈 基 于 K e r b e r o s 的 W i n d o w s   N e t w o r k   A u t h e n t i c a t i o n h t t p : / / w w w . b l o g j a v a . n e t / j i n f e n g _ w a n g / a r c h i v e / 2 0 0 7 / 0 7 / 2 6 / 1 3 2 6 0 5 . h t m l 2 .   微 软   W i n d o w s   系 统 中 的   K e r b e r o s   认 证 详 解 h t t p : / / t e c h n e t . m i c r o s o f t . c o m / z h - c n / f f 8 0 6 1 4 6 . a s p x 3 .   M i m i k a t z 关 于 万 能 票 据 的 使 用 说 明 h t t p s : / / g i t h u b . c o m / g e n t i l k i w i / m i m i k a t z / w i k i / m o d u l e - ~ - k e r b e r o s 4 .   B l a c k h a t 2 0 1 4   A b u s i n g M i c r o s o f t   K e r b e r o s   S o r r y   Y o u   G u y s   D o n ' t   G e t   I t h t t p : / / d u c k w a l l - a b u s i n g - m i c r o s o f t - k e r b e r o s - s o r r y - y o u - g u y s - d o n % 2 7 t - g e t - i t - w p . p d f /
5 .   B l a c k h a t 2 0 1 4   A b u s i n g M i c r o s o f t   K e r b e r o s   S o r r y   Y o u   G u y s   D o n ' t   G e t   I t （ P P T ） h t t p s : / / w w w . b l a c k h a t . c o m / d o c s / u s - 1 4 / m a t e r i a l s / u s - 1 4 - D u c k w a l l - A b u s i n g - M i c r o s o f t - K e r b e r o s - S o r r y - Y o u - G u y s - D o n ' t - G e t - I t . p d f 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理