渗透技巧——Pass the Hash with Remote Desktop
在渗透测试中,如果获得了某个用户的NTLM hash,我们可以尝试使用Pass the hash的 *** 对WMI和 *** B服务进行登录,那么,Pass the hash能否用于远程桌面呢?这其中有什么限制条件呢?本文将要进行测试并总结。
关于Pass the hash的利用可参考之前的文章:
《域渗透——Pass The Hash的实现》
本文将要介绍以下内容:
Restricted Admin mode介绍
Pass the Hash with Remote Desktop的适用条件
Pass the Hash with Remote Desktop的实现 ***
官方说明:
https://blogs.technet.microsoft.com/kfalde/2013/08/14/restricted-admin-mode-for-rdp-in-windows-8-1-2012-r2/
本节参照官方说明,加入个人理解,如果有误,欢迎纠正
Restricted Admin mode,直译为受限管理模式,主要功能是使得凭据不会暴露在目标系统中
Windows 8.1和Windows Server 2012 R2默认支持该功能
Windows 7和Windows Server 2008 R2默认不支持,需要安装补丁2871997、2973351
注:
相关资料可参考:
https://docs.microsoft.com/en-us/security-updates/SecurityAdvisories/2016/2871997
https://support.microsoft.com/en-us/help/2973351/microsoft-security-advisory-registry-update-to-improve-credentials-pro
*** 1: 安装补丁3126593
实现原理同下文的 *** 2(修改注册表)
参考链接:
https://support.microsoft.com/en-us/help/2973351/microsoft-security-advisory-registry-update-to-improve-credentials-pro
*** 2: 修改注册表
位置:
新建键值,值为,代表开启;值为,代表关闭
对应命令行开启的命令如下:
REG ADD "HKLM\System\CurrentControlSet\Control\Lsa" /v DisableRestrictedAdmin /t REG_DWORD /d 00000000 /f
客户端命令行:
mstsc.exe /restrictedadmin
如果当前系统不支持Restricted Admin mode,执行后弹出远程桌面的参数说明,如下图
如果当前系统支持Restricted Admin mode,执行后弹出远程桌面的登录界面,如下图
值得注意的是,Restricted Admin mode使用当前Windows登录凭据,不需要输入口令,直接登录即可
注:
正是这项功能使得Pass the hash的利用有了可能
更进一步,Pass the Hash with Remote Desktop的前提就是系统支持Restricted Admin mode
具体的说,Server需要开启Restricted Admin mode,Client需要支持Restricted Admin mode
注:
一些资料提到Pass the Hash with Remote Desktop适用于Windows 8.1和Windows Server 2012 R2,这个结论并不确切,准确的说,Windows 7和Windows Server 2008 R2安装补丁后同样适用
测试环境:
Server:
OS: Server2012 R2
IP: 192.168.62.136
Computer Name: remoteserver
User Name: administrator
NTLM hash: d25ecd13fddbb542d2e16da4f9e0333d
开启Restricted Admin mode
Client:
支持Restricted Admin mode
实际上为
需要管理员权限
mimikatz命令如下:
privilege::debug
sekurlsa::pth /user:administrator /domain:remoteserver /ntlm:d25ecd13fddbb542d2e16da4f9e0333d "/run:mstsc.exe /restrictedadmin"
执行后弹出远程登录界面,如下图
选择,成功实现远程登录
下载地址:
https://github.com/FreeRDP
可供参考的文章:
https://labs.portcullis.co.uk/blog/new-restricted-admin-feature-of-rdp-8-1-allows-pass-the-hash/
https://www.kali.org/penetration-testing/passing-hash-remote-desktop/
FreeRDP实现了远程桌面协议,支持传入hash
支持Linux、Windows和MAC,下载地址如下:
https://github.com/FreeRDP/FreeRDP/wiki/PreBuilds
linux下使用明文远程登录的参数:
xfreerdp /u:administrator /p:test123! /v:192.168.62.136 /cert-ignore
测试成功
linux下使用hash远程登录的参数:
xfreerdp /u:administrator /pth:d25ecd13fddbb542d2e16da4f9e0333d /v:192.168.62.136 /cert-ignore
测试失败
Windows下也是同样的测试结果
猜测新版FreeRDP移除了该功能,其他人也有同样的测试结果,链接如下:
https://nullsec.us/rdp-sessions-with-xfreerdp-using-pth/
https://twitter.com/egyp7/status/776053410231558148
补充:
包含pth功能的旧版FreeRDP的的下载地址:
https://labs.portcullis.co.uk/download/FreeRDP-pth.tar.gz
需要重新编译,支持pth参数
Restricted Admin mode本来是为了提高系统的安全性,但是却支持了Pass the Hash的利用
所以在防御上,针对Pass the Hash的利用进行防御就好,开启Restricted Admin mode有助于提高系统的安全性
可参考微软官方文档,地址如下:
http://www.microsoft.com/en-us/download/details.aspxid=36036
本文对Pass the Hash with Remote Desktop的 *** 进行了分析,找到了其中的限制条件(Server需要开启Restricted Admin mode,Client需要支持Restricted Admin mode),对Restricted Admin mode的关键部分进行了说明。
渗透技巧——Pass the Hash with Remote Desktop
说了多年的经济调整,需要有更多的实际行动。 近期“供给侧改革”成为新闻中的高频词。何为“供给侧改革”?简单来说,“供给侧”与“需求侧”相对应。需求侧有投资、消费、出口三驾马车,三驾马车决定短期经济增...
<-- --> 抽奖要是能中大奖可以说是惊喜连连了,而对于大多数没怎么中过奖的人来说,能中一次奖真的是特别的开心,那么中奖绝缘体中奖了发点什么好呢,友谊长存小编就来说说吧。 中奖绝缘体...
这段时间我很慌,真的很慌,因为好像不管怎么努力,感觉也看不到还清债务的那一天。加之催收不断以各种手段紧逼,心态有些失衡,花了大量时间去想怎么赚钱,发了疯的尝试,像一只蛮牛,丢了睿智,失了聪明, 慌张...
李思思怀二胎:暂停工作做个平凡的母亲...
如何卸载毒霸网址大全? 1、打开360软件管家,找到“金山毒霸”。随后点击后方的“一键卸载”。方法/步骤3 打开“计算机管理窗口”,随后点击服务和应用程序下的“服务”选项。2、问题展示第一步,打开电脑...
多余的腹部脂肪不仅不好看,而且还很难摆脱。除了美感的问题以外,腹部脂肪是身上最危险的一种脂肪,因为它跟很多疾病有直接联系。 看看肚子上的赘肉,有时候真想割下来一点,但是有想法,却没那个胆子。每个...