搜索

[103] 2019-12-06_域渗透-权限维持之DSRM

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-15
2019-12-06_域渗透-权限维持之DSRM 域 渗 透 - 权 限 维 持 之   D S R M A d m i n   T e a m   2 0 1 9 - 1 2 - 0 6 以 下 文 章 来 源 于 重 生 信 息 安 全   ， 作 者 T 3 n g Y u 一 、 一 、 利 用 简 述 利 用 简 述 除 了 k r b t g t 服 务 帐 号 外 ， 域 控 上 还 有 个 可 利 用 的 账 户 ： 目 录 服 务 还 原 模 式 （ D S R M ） 账 户 ， 这 个 密 码 是 在 D C 安 装 的 时 候 设 置 的 ， 所 以 一 般 不 会 被 修 改 。 但 是 微 软 对 D S R M 帐 号 进 行 了 限 制 ， 只 允 许 在 控 制 台 登 录 。 可 以 通 过 修 改 注 册 表 的 方 式 ， 将 如 下 注 册 表 键 值 ： H K L M S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a D S R M A d m i n L o g o n B e h a v i o r   中 的 D S R M A d m i n L o g o n B e h a v i o r 改 为 2 ， 就 可 以 通 过 网 络 验 证 并 登 录 到 D C 。 这 样 D S R M 账 户 就 可 以 看 做 一 个 本 地 管 理 员 帐 号 。 可 以 通 过 导 出 的 H A S H 结 合 P T H 方 式 ， 持 续 控 制 D C ， 即 使 域 内 用 户 密 码 都 进 行 了 修 改 也 可 以 利 用 。   二 、 更 改 二 、 更 改 D S R M   密 码 的 两 种 方 法 密 码 的 两 种 方 法 （ 1 ） 密 码 通 过 明 文 指 定 ： n t d s u t i l     s e t   d s r m   p a s s w o r d r e s e t   p a s s w o r d   o n   s e r v e r   n u l l < P A S S W O R D > Q Q 这 里 要 求 输 入 的 密 码 不 是 A d m i n i s t r a t o r 的 密 码 ， 是 D S R M 的 单 独 密 码 （ 2 ） 通 过 域 账 户 同 步 H a s h n t d s u t i l   s e t   d s r m   p a s s w o r d s y n c   f r o m   d o m a i n   a c c o u n t   < y o u r   u s e r   h e r e > Q Q   重 生 信 息 安 全 重 生 信 息 安 全   . 专 注 安 全 行 业 ， 分 享 最 新 安 全 技 术 及 咨 询 .
三 、 三 、 D S R M   账 户 账 户 H a s h 同 步 的 问 题 讨 论 同 步 的 问 题 讨 论 1 .   设 置 R S R M 账 户 明 文 密 码 使 用 A d m i n i s t r a t o r 设 置 D S R M 账 户 密 码 后 ， 抓 h a s h 发 现 A d m i n i s t r a t o r 的 S A M 数 据 库 中 存 贮 的 N T L M   h a s h 变 为 D S R M 账 户 密 码 设 置 的 密 码 h a s h A d m i n i s t r a t o r   明 文 ： q w e 1 2 3 # @ ! . .     N T L M - H a s h ： 4 a * * * * * D S R M 账 户 明 文 密 码 ： q w e 1 3 5 7 9 . .     N T L M - H a s h ： 8 0 * * * * * 这 时 通 过 远 程 连 接 A d m i n i s t r a t o r 账 号 明 文 密 码 仍 然 可 以 正 常 连 接 ： 重 新 更 改 A d m i n i s t r a t o r 密 码 后 抓 取 S A M 数 据 库 中 的 N T L M   h a s h 发 现 其 值 不 变 ， N T D S . d i t 数 据 库 文 件 中 的 N T L M   h a s h 改 变 ； 重 新 设 置 D S R M 账 户 明 文 密 码 H a s h 更 改   2 . 使 用 域 用 户 同 步 D S R M 账 户 A d m i n i s t r a t o r   明 文 ： [ z x c 1 2 3 # @ ! . . ]   N T L M - H A S H ： e 3 f 4 c a 1 c 5 1 3 7 9 4 8 4 b 2 4 4 7 4 f 8 d 9 a 5 c c f 8 J a c k 0 1 明 文 ： [ q w e 1 2 3 # @ ! . . ]   N T L M - H A S H ： 4 a 4 5 5 8 a 9 6 b a 8 c 1 1 a e f 7 3 4 a 3 4 4 2 1 b 8 0 6 8 （ 1 ） 同 步 J a c k 用 户
抓 密 码 发 现 n t d s . d i t 和 s a m 数 据 库 中 的 N T L M 值 不 一 样 ， s a m 中 的 A d m i n i s t r a t o r   h a s h 变 为 j a c k 0 1 的 h a s h ， 也 就 是 我 们 指 定 的 域 用 户 的 h a s h   此 时 ， A d m i n i s t r a t o r 的 凭 证 可 以 正 常 使 用 ：   （ 2 ） 同 步 A d m i n i s t r a t o r 用 户 n t d i t 和 s a m 数 据 库 的 H a s h 相 同 用 都 是 e 3 f 4 c a 1 c 5 1 3 7 9 4 8 4 b 2 4 4 7 4 f 8 d 9 a 5 c c f 8 ， 也 就 是 A d m i n i s t r a t o r 的 明 文 h a s h 。 更 改 a d m i n i s t r a t o r 密 码
为 q a z 1 2 3 # @ ！ . .       H A S H [ 2 9 2 7 9 c c 8 e 3 d 7 d 4 8 4 6 1 6 4 8 8 9 4 e 4 c e 3 4 7 9 ] 抓 密 码 发 现 N t d s . d i t 数 据 库 的 H a s h 更 改 ， 但 是 s a m 数 据 库 不 变 。 使 用 更 改 后 的 密 码 h a s h 登 录 ： 从 上 述 我 们 可 以 得 出 如 下 结 论 ： （ 1 ） D R S M 的 两 种 设 置 方 法 只 是 更 改 了 本 地 的 A d m i n i s t r a t o r 的 s a m 数 据 库 的 h a s h ， 相 当 于 域 控 上 的 一 个 本 地 用 户 （ 2 ） A d m i n i s t r a t o r 账 号 可 以 正 常 使 用 ， 不 受 影 响 （ 3 ） D R S M 设 置 与 指 定 的 域 用 户 无 关 ， 其 H a s h 只 有 重 新 设 置 才 会 更 改 ， 指 定 用 户 更 改 密 码 不 影 响   四 、 四 、 使 用 使 用 D S R M 账 户 远 程 链 接 账 户 远 程 链 接 1 .   使 用 D S R M 账 户 连 接 的 前 提 （ 1 ） 系 统 要 求 ： 在 安 装 了 K B 9 6 1 3 2 0 补 丁 的 W i n d o w s   S e r v e r   2 0 0 8 及 之 后 的 W i n d o w s   S e r v e r 版 本 开 始 支 持 在 D C 上 使 用 指 定 的 域 帐 户 同 步 D S R M 密 码 （ 2 ） 更 改 D S R M 的 密 码 方 式 ： 同 步 域 用 户 的 方 式 （ 3 ） 开 启 支 持 D S R M 账 户 网 络 连 接 ： 需 要 修 改 注 册 表 项 ， 默 认 没 有 改 项 C m d : r e g   a d d   " H K L M S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a "   / f   / v   D s r m A d m i n L o g o n B e h a v i o r   / t   R E G _ D W O R D   / d   2 P o w e r s h e l l : N e w - I t e m P r o p e r t y   " H K L M : S y s t e m C u r r e n t C o n t r o l S e t C o n t r o l L s a "   - N a m e   " D s r m A d m i n L o g o n B e h a v i o r "   - V a l u e   2   - P r o p e r t y T y p e " D W O R D "
1 .   利 用 方 式 ： （ 1 ） R D P 远 程 桌 面 客 户 端 ， 可 以 使 用 ” m s t s c   / c o n s o l e ” 或 者 ” m s t s c   / a d m i n ” ， W i n d o w s   S e r v e r   2 0 1 2   R 2 没 有 试 验 成 功 （ 2 ） P t h 通 过 设 置 D S R M 明 文 密 码 ， 发 现 D S R M   的 明 文 和 h a s h 不 能 利 用 在 指 定 同 步 域 用 户 A d m i n i s t r a t o r 用 户 密 码 后 更 改 该 域 用 户 的 密 码 测 试 ， 发 现 可 以 利 用 但 是 重 启 之 后 无 法 利 用 ：
五 、 五 、 渗 透 利 用 渗 透 利 用 该 方 式 利 用 比 较 简 单 ， 只 需 要 知 道 一 个 有 效 域 用 户 的 h a s h 即 可 ， 但 需 要 两 点 需 要 注 意 ： （ 1 ） 域 控 上 是 否 经 常 同 步 域 用 户 （ 2 ） 域 控 是 否 经 常 重 启 （ 小 概 率 ） 因 此 我 们 需 要 在 域 控 上 进 行 判 断 ， 查 找 S e c u r i t y - 4 7 9 4 事 件 （ D S R M 同 步 域 用 户 ） 和 开 关 机 记 录
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理