支付宝黑客网:结合CVE-2019-1040缝隙的两种域提权使用深度剖析

2019年6月，Microsoft发布了一条安全更新。该更新针对CVE-2019-1040缝隙进行批改。此次缝隙，侵犯者可以经过中间人侵犯，绕过NTLM MIC（音讯完整性检查）维护，将身份验证流量中继到方针服务器。
经过这种侵犯使得侵犯者在仅有一个一般域账号的情况下可以远程操控 Windows 域内的任何机器，包括域控服务器。
 
0x01 缝隙运用
侵犯办法一：Exchange
验证环境：
人物
系统版别
核算机名
IP地址
域
Attacker
Ubuntu Server 18.04
ubuntu
192.168.123.69
DC
Windows Server 2012 R2
topsec-dc
192.168.123.固件版别：V3.3150
test.local
Exchange
Windows Server 2012 R2
topsec
192.168.123.143
test.local
验证进程：
① 环境建立
装置装备域操控器
装置装备Exchange Server，参阅[1]
在域中新建一个用于检验的账户test
②实行ntlmrelayx.py脚本进行NTLM中继侵犯，设置 *** B服务器并将认证凭证中继到LDAP协议。其间–remove-mic选项用于铲除MIC标志，–escalate-user用于提高指定用户权限。

③ 实行printerbug.py脚本，触发SpoolService的bug。

④ SpoolService的bug导致Exchange服务器回连到ntlmrelayx.py，行将认证信息发送到ntlmrelayx.py。可以鄙人图中看到认证用户是TESTTOPSEC$。

接着ntlmrelayx.py开端实行LDAP侵犯，加上-debug选项后可以看到更详细的信息。
首要，经过遍历验证中继帐户地点用户组及权限，发现当时账户可以创建用户、可以批改test.local域的ACL，由于域中的Exchange Windows Permissions用户组被答应批改ACL，如下图所示：

该用户组下的成员正是中继的核算机账户TOPSEC

因而脚本会首选批改ACL来提权，由于这比较创建用户的办法更隐秘一些。详细办法是经过LDAP批改域的安全描述符（Security Des研究人员进一步解说说，这项抉择得到了“微软在以前几年供给的安全光学系统和改进”的支撑。criptor），可以鄙人面的数据包中看到ACL中每一条详细的访问操控条目（ACE，Access Control Entries）：

⑤ 完结ACL的批改后，test就可以经过secretsdump.py的DCSync功用dump出全部暗码哈希值：

侵犯办法二：Kerberos派遣
验证环境：
人物
系统版别
核算机名
IP地址
域
Attacker
Ubuntu Server 18.04
ubuntu
192.168.123.69
DC
Windows Server 2012 R2
topsec-dc
192.168.123.212
test.local
SDC
Windows Server 2012 R2
topsec
192.168.123.62
test.local
验证进程：
① 环境建立
装置装备域操控器，一起敞开LDAPS支撑，由于该侵犯办法需求增加新的核算机账户，必须在LDAPS进行。敞开办法参阅[2]
装置装备辅佐域操控器，参阅[3]
在域中新建一个用于检验的账户topsec，一个域办理员admin
② 和侵犯办法一相同，实行ntlmrelayx.py本，运用–delegate-access选项，delegate-access选项将中继核算机帐户（这儿即辅佐域操控器）的访问权限托付给attacker。

③ attacker对辅佐域操控器(SDC)实行printerbug.py脚本

printerbug.py脚本实行成功后，将触发辅佐域操控器(SDC)回连Attacker主机，回连运用的认证用户是辅佐域操控器(SDC)本地核算机账户TEST/TOPSEC$。
ntlmrelayx.py经过ldaps将该用户账户中继到域控服务器(DC)，由于这种侵犯办法下所冒用的身份TEST/TOPSEC$并不在Exchange Windows Permissions组内，不具有批改ACL权限，可是可以经过此身份在DC上增加一个新核算机账户（下图中EJET *** TB$）, 并批改其束缚派遣授权，颁发它对受害核算机（辅佐域操控器）的派遣权限。


④运用getSP.py脚本，经过-impersonate参数模仿用户admin请求其票证，保存为ccache，admin用户为Domain Admins组的成员，具有对辅佐域操控器(SDC)的办理与访问权限。

[1] [2] [3] [4] [5] [6]  下一页

随机值是创建新的TXT文件所必需的，该文件将填充base64的payload。 然后运用“certutil”Windows实用程序解码文件内容，终究运用以下指令实行：六、Analysis log of Windows支付宝黑客网:结合CVE-2019-1040缝隙的两种域提权使用深度剖析

httpURLConnection2.setDoOutput(true); self.from_object(d)值得注意的是LeastPrivilege，代表权限为一般用户

其他，趋势科技的技巧副总裁 Mark Nunnikhoven 也供给了一个简略的网安攻略，介绍若何确保 Amazon S3 的bucket 的数据网安。

下面全部类型的文件都可以用来实行远程保管的powershell payload以绕过AppLocker规则。yum install -y openssl-devel readline-devel libxml2-devel libxslt-devel mysql mysql-devel mysql-libs mysql-server urw-fonts libX11-devel libXext-devel qconf fontconfig-devel libXrender-devel unzipremote_dns_subnet 224-不受束缚的键盘记录；

User : krbtgt第二波解密的黑客东西包内容包括odd.tar.xz.gpg, swift.tar.xz.gpg and windows.tar.xz.gpg支付宝黑客网:结合CVE-2019-1040缝隙的两种域提权使用深度剖析

经过库房中的数值我们可以知道,该函数的第二个参数和第四个参数系统传的是0。　　经过设定正常行为的基线，这些安全分析引擎可以将恶意行为从正常行为中区分出来，并经过进一步的分析来承认这些行为是否归于恶意侵犯活动。怅惘的是，AIDE并不包括自动工作检查的功用。你可以创建一个bas脚本来工作检查，并将它设为一个方案任务(cron job)。为此，可以让AIDE将效果倒到一个文件中，那样你可以守时检查。示例性的bash脚本就像这样：

假如在AndroidManifest文件中将某个Content Provider的exported特色设置为true，则多了一个侵犯该APP的侵犯点。假如此Content Provider的完结有问题，则或许发生任意数据访问、SQL注入、目录遍历等风险。 def log(message)

下面是John的照应包（我知道真实暗码），经过恰当批改hash格式，hashcat看起来有点问题：域环境中最常见的情况就是：检验效果
本文标题:支付宝黑客网:结合CVE-2019-1040缝隙的两种域提权使用深度剖析