域内攻击手法——域内用户枚举和密码喷洒

已于 2024-06-21 18:58:45 修改
阅读量1.1k 收藏 28
点赞数 10
分类专栏： 内网渗透 文章标签： 内网渗透 红蓝对抗
于 2024-06-21 18:57:52 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_45954730/article/details/139866924
版权

一、域内用户枚举

1、域内用户枚举原理

域内用户枚举可以在无域内有效凭据的情况下，枚举出域内存在的用户名，并对其进行密码喷洒攻击，以此获得域内的有效凭据，在 Kerberos 协议认证的 AS-REQ 阶段，客户端向 AS 发送的请求包中，cname字段对应的值是用户名，AS对用户名进行验证，当用户状态分别为用户存在且启用（需要密码认证）、用户存在但被禁用、用户不存在时，AS-REP返回的数据包各不相同，如下图所示，会产生3种状态的数据包，利用这一点，可以对目标与域进行域内用户枚举。

用户状态AS-REP返回包信息
用户存在且启用，但是没有提供密码KRB5DC_ERR_PREAUTH_REQUIRED（需要额外的预认证）
用户存在但禁用KRB5DC_ERR_CLIENT_REVOKED NT Status: STATUS_ACCOUNTDISADLED（用户状态不可用）
用户不存在KRB5DC_ERR_C_PRINCIPAL_UNKNOWN（在Kerberos数据库中找不到此用户）

2、域内用户枚举抓包分析

为了更直观的查看各种用户状态，接下来对各种状态的用户使用工具向AS请求TGT票据，在该过程中使用WireShark进行抓包，查看对于不同用户状态其AS-REP返回包信息。这里用域内用户枚举工具kerbrute针对以下用户进行枚举，并抓包分析

用户用户状态
Mary用户存在且启用，但是没有提供密码
Guest用户存在但禁用
Unknow用户不存在

在用户字典中放入Mary、Guest、Unknow3个用户名使用用户枚举工具kerbrute进行用户名枚举，在该过程使用WireShark抓包，kerbrute该工具使用方法如下:

kerbrute.exe userenum -d god.org usernames.txt
# 参数
username    	# 用户枚举模式
-d        		# 指定域名
usernames.txt   # 用户名字典文件，用户名可以不加域名后缀

kerbrute工具项目地址：https://github.com/ropnop/kerbrute

使用kerbrute工具进行用户名枚举，指定的域名为god.org，枚举的用户名字典为usernames.txt，可以看到枚举出的有效域用户名Mary

在这里插入图片描述通过WireShark在枚举过程中抓包，数据包如下：
在这里插入图片描述138、139两个数据包是用户Unknow的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_C_PRINCIPAL_UNKNOWN，对应的是用户不存在状态。
在这里插入图片描述在这里插入图片描述140、142两个数据包是用户Mary的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_PREAUTH_REQUIRED，对应的是用户存在且启用，但是没有提供密码，需要额外的预认证。
在这里插入图片描述在这里插入图片描述141、143两个数据包是用户Guest的枚举，从AS-REP包可以看到返回状态为KRB5DC_ERR_CLIENT_REVOKED NT Status: STATUS_ACCOUNTDISADLED，对应的是用户存在但禁用状态。

在这里插入图片描述在这里插入图片描述

3、域内用户枚举工具

  • kerbrute
    Kerbrute是一款使用Go语言编写的域内用户名枚举和密码喷洒工具，上面已经使用过了。

    kerbrute.exe userenum --dc <域控IP> -d <域名> <用户名字典>

  • pyKerbrute
    pyKerbrute是一款使用Python编写的域内用户名枚举和密码喷洒工具。它可以通过TCP和UDP两种模式进行工作，用户名字典中的用户名格式不需要加域名后缀。域内用户名枚举命令如下：

    python2 EnumADUser.py <域控IP> <域名> <用户名字典> udp     # UDP模式
python2 EnumADUser.py <域控IP> <域名> <用户名字典> tcp     # TCP模式

    在这里插入图片描述

4、域内用户枚举攻击防御

由于域内用户名枚举是发送大量的 AS-REQ 包，根据返回包的内容筛选出存在的域用户，因此可通过以下方法进行检测。

  • 流量层面：可通过检测同一IP在短时间内是否发送了大量的AS-REQ包来判断。如果同一IP在短时间内发送大量的AS-REQ包（如1min内大于30个AS-REQ包），则可判断为异常。
  • 日志层面：默认情况下域内用户名枚举并不会对不存在的用户名发起的AS-REQ包产生任何事件日志，因此日志层面不太好检测。

二、域内密码喷洒

1、域内密码喷洒原理

在Kerberos协议认证的AS-REQ阶段，请求包cname对应的值是用户名。当用户名存在时，在密码正确和密码错误两种情况下，AS-REP的返回包不一样。如下图所示为用户密码错误时的返回包状态，所以可以利用这一点对域用户名进行密码喷洒攻击。
这种针对所有用户的自动密码猜测通常是为了避免账户被锁定，因为如果目标域设置了用户锁定策略，针对同一个用户的连续密码猜测会导致账户被锁定，所以只有对所有用户同时执行特定的密码登录尝试，才能增加破解的概率，消除账户被锁定的概率。普通的爆破就是用户名固定来爆破密码，但是密码喷酒是用固定的密码去爆破用户名。

用户状态AS-REP返回包信息
用户存在密码错误KRB5KDC_ERR_PREAUTH_FAILED（用户存在密码错误）

2、域内密码喷洒抓包分析

基于以上原理，我们针对webadmin用户在AS-REQ阶段密码正确和错误的情况下，通过Wireshark抓包看看AS-REP的返回状态。这里使用kekeo工具向AS发起TGT票据申请，发送AS-REQ请求包，在该过程使用WireShark抓包

tgt::ask /user:<域用户名> /domain:<域名> /password:<域用户密码>

在这里插入图片描述第 4个是 AS-REQ 包，它是针对用户 webadmin 进行预认证的，第5个是AS-REP包，由于webadmin用户不存在，因此AS-REP包返回KRB5KDC_ERR_PREAUTH_FAILED错误。

在这里插入图片描述在这里插入图片描述第17个AS-REP包，是针对用户 webadmin 密码正确的情况返回的正常的AS-REP包返里面包含TGT票据。

3、域内密码喷洒工具

当攻击者不在域内时，可以先通过域内用户名枚举来枚举出域内存在的用户，然后再进行域内密码喷洒来尝试喷洒出有效的域用户密码。针对域内密码喷洒攻击，网上有很多开源的项目，下面介绍几款域内密码喷洒工具。

  • kerbrute
    如果通过net accounts /domain可以查询得知目标域不存在密码锁定策略，则可以针对单个用户进行密码字典爆破
    在这里插入图片描述
    该工具的密码喷洒命令如下:
    kerbrute_windows_amd64.exe passwordspray --dc <域控IP> -d <域名> <用户名字典> <单个密码>    # 适用于有锁定策略的情况
kerbrute_windows_amd64.exe bruteuser --dc <域控IP> -d <域名> <密码字典> <单个用户名>        # 适用于没有锁定策略的情况，严格来说这种是爆破
# 参数
passwordspray			# 密码喷酒模式
--dc					# 指定域控 IP
-d						# 指定域名
    在这里插入图片描述
  • pyKerbrute
    在密码喷洒模式下，可以使用明文密码或密码Hash。密码喷洒命令如下：
    python2 ADPwdSpray.py <域控IP> <域名> <用户名字典> clearpassword <明文密码> tcp/udp
python2 ADPwdSpray.py <域控IP> <域名> <用户名字典> ntlmhash <ntlmhash> tcp/udp

4、域内密码喷洒攻击防御

由于域内密码喷洒是通过发送大量的AS REQ包，根据返回包的内容判断密码是否正确，因此可通过以下方法进行检测。

  • 流量层面：可通过检测同一 IP 在短时间内是否发送了大量的AS-REQ包来判断。如果同一IP在短时间内发送大量的AS-REQ包（如1min内大于30个 AS-REQ 包），则可判断为异常。
  • 日志层面：当口令爆破成功时，会产生事件ID为4768且结果代码为0x0的审核成功的Kerberos身份验证服务事件日志。而当口令爆破失败时，默认情况下并不记录任何日志，因此日志层面不太好检测。

正常域用户登录主机，我们可以通过 net user /domain来列举出域内的用户。但是当我们用非域用户进行登录时，是不能使用 net user /domain这条命令的。如果当主机不在域内但是能与域控通信时，这种情况我们可以通过域内用户枚举的方式对进行用户枚举。然后利用枚举获取的域用户进行密码喷洒。

参考文档：
《域渗透攻防指南》(谢兆国 张秋圆)

Naive`
关注
  • 10
    点赞
  • 踩
  • 28
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
116_Windows 域渗透 - 用户密码枚举1
08-03
该命令将会从域环境中获取用户名，然后逐个以密码 Winter2016 进行认证枚举该命令将会从 users.txt 中提取用户名，与 passlist.txt
C#语言基础——结构体和枚举类型全面解析
09-02
下面小编就为大家带来一篇C#语言基础——结构体和枚举类型全面解析。小编觉得挺不错的，现在就分享给大家，也给大家做个参考。一起跟随小编过来看看吧
域内用户名枚举和密码喷洒
tomyyyyy
08-27 390
域内用户名枚举和密码喷洒 于Kerberos本身是一种基于身份认证的协议，所以也可对进行暴力破解或用户名枚举，并且不需要域用户下，只要攻击者所控的机器可以与域控的KDC正常通信即可(可以ping通) 实验 我这里实验主要是域控administrator、域成员af、还有一台非域机。 nmap -p 88 --script krb5-enum-users --script-args krb5-en...
Active Directory枚举和攻击
Zyu0
12-30 340
现在只完成了其中一部分内容，每周更新，感兴趣的可以持续关注一下~
内网安全之域内密码喷洒
weixin_45910629的博客
04-06 1004
域内密码喷洒一般和域内用户名枚举一起使用，可以在无域内凭据的情况下，通过枚举出域内存在的用户名，进而对域内存在的用户名进行密码喷洒，以此来获得域内有效凭据。在Kerberos协议认证的AS-REQ阶段，请求包cname对应的值是用户名，当用户名存在，密码正确和密码错误时，AS-REP的返回包不一样。这种针对所有用户的自动密码猜测通常是为了避免账户被锁定，因为如果目标域设置了用户锁定策略的话，针对同一个用户的连续密码猜测会导致账户被锁定。
黑客枚举攻击，撞库导出12306几十万用户密码，可是不一定是真相
欢迎来到最伟大的操作系统官方博客
12-25 3431
现在很多网站都要注册，如果每个网站都有独立的用户名和密码，估计一般用户记不下来。我也经常去注册其他网站，用同样的用户名和密码。黑客就是利用这个相同用户名和密码原理，用其他网站的用户名和密码去12306，就是火车售票网，登录，成功了，就可以获得有效的用户名和密码。而不需要枚举获得用户名和密码。这个应该是社会工程学原理，获取大量用户名和密码。可能支付宝，QQ，新浪微博密码也是通过这个方式获得，这样，现
「 网络安全术语解读 」通用攻击模式枚举和分类CAPEC详解
所有成功的背后，都是痛苦的坚持，所有的痛苦，都是傻瓜般的不放弃!
01-23 1982
常见攻击模式枚举和分类（Common Attack Pattern Enumerations and Classifications ，CAPEC）是一个常见攻击模式的枚举和分类系统。它由MITRE公司开发，以CVE和CWE为基础，提供了公开的常见攻击模式列表和分类，旨在帮助安全专业人员更好地理解和应对常见的攻击模式。CAPEC当前最新版本为3.9，共收录了559种攻击模式，发布于2023年1月24号。
易语言枚举资源所有域
08-21
易语言枚举资源所有域源码系统结构:enumDomain,WNetCloseEnum,WNetEnumResource,WNetOpenEnum,WNetOpenEnum1,VarPtr, ======窗口程序集1 || ||------__启动窗口_创建完毕 || ||------_按钮1_被单击 || || ======程序...
UserEnum:域用户枚举工具
05-15
这些用户枚举脚本分别使用DsrGetDcNameEx2，CLDAP ping和NetBIOS MailSlot ping方法来确定远程域控制器上是否存在提供的文本文件中的任何用户名。 要求：先端> = 1.5，船头> = 2.4.0，asn1tools> = 0.53.0 注意：...
用户名枚举漏洞
LuckySec
12-20 3669
在应用系统登录的过程中，当输入错误的用户名信息时，应用程序将反馈相应的诸如“用户不存在”的错误提示，攻击者可通过该提示为依据对用户名进行枚举，猜解出已存在于应用系统的用户名信息，最终攻击者再对已有用户的密码进一步猜解，从而降低暴力破解的成本。当输入不存在的用户名时，系统提示“登录失败，不存在用户名！综上，根据返回信息的不同可不断枚举出系统存在的用户名信息。当输入存在的用户名时，系统提示“登录失败，密码错误！输入任意账号密码尝试登录。
用户名枚举/邮箱轰炸攻击
weixin_45596492的博客
03-24 4120
用户名枚举 漏洞描述 该漏洞存在于系统登陆页面，利用登陆时输入不存在用户名和正确用户名但密码错误时的回显信息不同这一特点，可枚举出系统中存在的账号信息。 漏洞影响 攻击者可借此漏洞枚举出系统中存在的所有账号，造成信息泄露，随后可针对这些用户名进行暴力破解或其他攻击尝试。 修复建议 该漏洞可以通过设置输入“不存在用户名”和“正确用户名但密码错误”的回显信息相同——例如“用户名或密码错误”来防范。 除此之外，还可以结合常见的防范暴力破解的方法： 增加安全的人机验证机制（例如验证码），并且验证码
域渗透—域用户账号密码爆破
good good study
03-24 4054
在常规的爆破中，我们都是先用很多密码去碰撞一个账号，这样很容易导致账号被锁定。而密码喷洒就是用一个密码去碰撞很多账号，此方法能有效的避免账号被锁定的问题获取了域用户后，进行密码喷洒。首先可以查询域内密码策略（net accounts /domain），根据密码策略再构造爆破字典。
域内攻击方法
wuxinweii的博客
11-30 3621
环境： 攻击方法：伪造信任票据 一、获取子域和父域的SID 以及域信任密钥 mimikaze中有此功能 在mimikaze输入：lsadump::trust /patch 指向分别为 域林和子域的SID以及双方的信任密钥 二、通过SID以及信任密钥伪造信任密钥 在mimikatz中输入： "kerberos::golden /domain:[当前所在域] /sid:[当前域的SID] /sids:[当前域的sid-519] /rc4:[信任密钥 /user:[将权限赋予谁] /service:[需要访问
Web安全实践（11）用户名枚举
weixin_34128501的博客
01-02 926
本系列导航http://www.cnblogs.com/xuanhun/archive/2008/10/25/1319523.html 安全技术区http://space.cnblogs.com/group/group_detail.aspx?gid=100566  前言 （作者：玄魂）    哎呀，好久没上博客园来了，先前的计划也搁浅了一段时间。考试，课程设计，找工作，上不了网，各...
如何通过审计安全事件日志检测密码喷洒(Password Spraying)攻击
weixin_33726313的博客
05-28 453
许多渗透测试人员和攻击者通常都会使用一种被称为“密码喷洒（Password Spraying）”的技术来进行测试和攻击。对密码进行喷洒式的攻击，这个叫法很形象，因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定，因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试，才能增加破...
暴力破解之简单枚举2
菜菜鸟的成长记录
11-16 995
输入正整数k,找到所有的正整数x>=y,使得1/k=1/x+1/y 样例输入 2 12 样例输出 1/2=1/6+1/3 1/2=1/4+1/4 1/12=1/156+1/13 1/12=1/84+1/14 1/12=1/60+1/15 1/12=1/48+1/16 1/12=1/36+1/18 1/12=1/30+1/20 1/12=1/28+1/21 1/12=1/
浅谈“用户名枚举”
热门推荐
→_→
07-21 1万+
一：漏洞名称： 用户名枚举 描述： 存在于系统登录页面，利用登陆时输入系统存在的用户名错误密码和不存在的用户名错误密码，返回不同的出错信息可枚举出系统中存在的账号信息。 检测条件： 存在于系统登录页面，利用登陆时输入系统存在的用户名错误密码和不存在的用户名错误密码，返回不同的出错信息可枚举出系统中存在的账号信息。 检测方法： 已知Web网站具有登录页面。 登录错误回显不一至。 漏洞修复： 找到网站或者web系统登录页面。 在web系统登录页面，通过手工方.
【L2-枚举-例】硬币
最新发布
06-16
对不起，您的问题似乎没有完全明确，关于"L2-枚举-例"硬币，我不太确定您是指哪种特定的概念或者技术用语。枚举（Enumeration）通常是在编程中用来定义一组命名常量的一种方法，而"硬币"可能指的是实际的货币单位或在某种游戏中使用的象征单位。如果您是想要了解编程中的枚举类型如何表示硬币面额，或者是在某个具体系统中的枚举例子，请提供更多的上下文信息。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值