本文深入探讨了CVE-2021-42278和CVE-2021-42287两个安全漏洞，这些漏洞允许攻击者通过特定步骤获取域内高权限。文章详细介绍了漏洞原理，包括如何创建与DC机器账户名字相同的账户，以及如何利用这些漏洞进行提权。同时，文章还提供了手工复现步骤，包括利用PowerShell脚本创建机器账户、请求TGT和S4U2self等。此外，还介绍了使用impacket工具包和CVE-2021-42287/CVE-2021-42278相关工具的实战应用。
前言
网络安全技术学习，承认⾃⼰的弱点不是丑事。只有对原理了然于⼼，才能突破更多的限制。拥有快速学习能力的白帽子，是不能有短板的，有的只能是大量的标准板和几块长板。知识⾯，决定看到的攻击⾯有多⼴；知识链，决定发动的杀伤链有多深。
一、漏洞原理
- CVE-2021-42278，机器账户的名字一般来说应该以$结尾，但AD没有对域内机器账户名做验证。
- CVE-2021-42287，与上述漏洞配合使用，创建与DC机器账户名字相同的机器账户（不以$结尾），账户请求一个TGT后，更名账户，然后通过S4U2self申请TGS
Ticket，接着DC在TGS_REP阶段，这个账户不存在的时候，DC会使用自己的密钥加密TGS
Ticket，提供一个属于该账户的PAC，然后我们就得到了一个高权限ST。 - 假如域内有一台域控名为 DC（域控对应的机器用户为 DC ） ， 此 时 攻 击 者 利 用 漏 洞 C V E − 2021 − 42287 创 建 一 个 机 器 用 户 S A M T H E A D M I N − 48 ），此时攻击者利用漏洞 CVE-2021-42287 创建一个机器用户 SAMTHEADMIN-48 ），此时攻击者利用漏洞CVE−2021−42287创建一个机器用户SAMTHEADMIN−48，再把机器用户 SAMTHEADMIN-48$ 的 sAMAccountName 改成 DC。然后利用 DC
去申请一个TGT票据。再把 DC 的sAMAccountName 改为 SAMTHEADMIN-48
最低0.47元/天 解锁文章
扫一扫
3117
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
