AD域渗透 | PTH&PTK哈希传递攻击手法

AD域渗透的第二篇，托更一下Kerberos协议的分析文章，等到攻击手法研究明白了，再把协议分析放上来，防止像那些理解不明不白的人写的东西一样祸害人。

发生情况

在高版本的windows server下账号密码不再以明文的方式保存，转而以hash的形式储存，但是假如我们在攻击的时候抓取到了用户hash也可以直接用hash来直接通过验证，模拟用户登录

原理

由于验证原理的问题密码是在本地计算成hash，然后使用hash加密时间戳作为pre-Authention-data来上传，因此如果我们使用自己的脚本来进行验证，使用密码和使用hash是没有本质区别的；同时需要注意一个问题，上面提到的hash时密码经过RC4方式计算出来的，而在一些域中不支持RC4，使用AES key（使用sekurlsa:ekeys导出key），这时候进行攻击的时候就可以通过传递key来实现目的（Pass the Key）

补丁问题

kb2871997，禁止了本地管理员进行远程连接，从而组织了管理员权限执行wmi，psexec等危险命令，但是这个补丁不知道为什么漏了一个默认（user SID=500）本地管理员账户

因此防御PTH攻击的手段就是，打补丁，禁用500账号

攻击手段

mimikatz

PTH

0.依旧不浪费过多时间介绍如何获得hash，此处获得密码的操作在域控上实现

1.获取用户hash

privilege::debug

sekurlsa::logonpasswords

2.使用pth模拟登录

sekurlsa::pth /user:de1ay /domain:de1ay.com /ntlm:161cff084477fe596a5db81874498a24

之后会在原机器上谈一个cmd会话，因此这种方法需要有操作机