-
渗透技巧——Windows command line process auditing的绕过
0x00 前言 command line process auditing是Windows的一项功能,开启该功能后,ID为4688的日志将会记录进程创建时的命令行参数 本文将要介绍通过修改进程参数绕过日志记录的方法,测试开源工具SwampThing,分享实现SwampThing的C语言代码,分析利用思路,给出防御建议 SwampThing的地址: https://github.com/FuzzySecurity/Sharp-Suite/blob/master/SwampThing 0x01 简介 本文将要介绍以下内容: 实现原理 开启command line process auditing的方法 测试SwampThing 通过c++实现SwampThing 利用思路 防御建议 0x02 实现原理 方法上同创建傀儡进程类似,区别在于这个方法只修改新进程的CommandLine参数 关于傀儡进程的技术细节,可参考之前的文章: 《傀儡进程的实现与检测》 实现思路: 通过CreateProcess创建进程,传入参数lpCommandLine,传入参数CREATE_SUSPENDED使进程挂起 修改新进程的Commandline参数 通过ResumeThread唤醒进程,执行新的Commandline参数 如果新进程没有退出,再将Commandline参数还原 在具体实现上,还需要考虑以下问题: 1、进程的选择 启动的进程需要能够加载Commandline参数,例如cmd.exe,powershell.exe,wmic.exe等 2、修改远程进程的Commandline参数 通过NtQueryInformationProcess找到远程进程的基地址,计算偏移获得Commandline参数的位置,再分别通过ReadProcessMemory和WriteProcessMemory对Commandline参数进行读写 补充: 修改当前进程的Commandline参数可参考: https://github.com/3gstudent/Homework-of-C-Language/blob/master/MasqueradePEBtoCopyfile.cpp 0x03 开启command line process auditing 官方文档: https://docs.microsoft.com/en-us/windows-server/identity/ad-ds/manage/component-updates/command-line-process-auditing 该功能默认关闭,需要手动配置来开启 1、执行gpedit.msc进入组策略 2、开启进程审核功能 英文系统:...
-
域渗透——Kerberoasting
0x00 前言 Kerberoasting是域渗透中经常使用的一项技术,本文将参考公开的资料,结合自己的理解,详细介绍Kerberoasting的原理和实现,以及一个后门利用的方法,最后给出防御建议。 参考资料: http://www.harmj0y.net/blog/powershell/kerberoasting-without-mimikatz/ http://www.harmj0y.net/blog/redteaming/from-kekeo-to-rubeus/ https://malicious.link/post/2016/kerberoast-pt1/ https://malicious.link/post/2016/kerberoast-pt2/ https://malicious.link/post/2016/kerberoast-pt3/ https://adsecurity.org/?p=3458 https://adsecurity.org/?page_id=183 https://blog.netspi.com/faster-domain-escalation-using-ldap/ https://social.technet.microsoft.com/wiki/contents/articles/717.service-principal-names-spns-setspn-syntax-setspn-exe.aspx 0x01 简介 本文将要介绍以下内容: Kerberoasting相关概念 Kerberoasting的原理 Kerberoasting的实现 Kerberoasting的后门利用 Kerberoasting的防御 0x02 基本概念 SPN 官方文档: https://docs.microsoft.com/en-us/windows/desktop/AD/service-principal-names 全称Service Principal Names SPN是服务器上所运行服务的唯一标识,每个使用Kerberos的服务都需要一个SPN SPN分为两种,一种注册在AD上机器帐户(Computers)下,另一种注册在域用户帐户(Users)下 当一个服务的权限为Local System或Network Service,则SPN注册在机器帐户(Computers)下 当一个服务的权限为一个域用户,则SPN注册在域用户帐户(Users)下 SPN的格式 serviceclass/host:port/servicename 说明: serviceclass可以理解为服务的名称,常见的有www, ldap, SMTP, DNS, HOST等 host有两种形式,FQDN和NetBIOS名,例如server01.test.com和server01 如果服务运行在默认端口上,则端口号(port)可以省略 查询SPN 对域控制器发起LDAP查询,这是正常kerberos票据行为的一部分,因此查询SPN的操作很难被检测 (1) 使用SetSPN Win7和Windows...
-
渗透技巧——Windows下NTFS文件的USN Journal
0x00 前言 在上篇文章《渗透技巧——Windows下NTFS文件的时间属性》介绍了修改NTFS文件时间属性的方法和细节,以及取证上的建议。 本文将要继续研究NTFS文件另一处记录文件修改时间的位置——USN Journal,同样是分析利用思路,给出取证上的建议。 0x01 简介 本文将要介绍以下内容: 基本概念 读取USN Journal的方法 利用思路 取证建议 0x02 USN Journal的基本概念 官方文档: https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-2000-server/bb742450(v=technet.10) USN Journal (Update Sequence Number Journal),也称作Change Journal,用来记录NTFS volume中文件修改的信息,能够提高搜索文件的效率 每个NTFS volume对应一个USN Journal,存储在NTFS metafile的$Extend\$UsnJrnl中,也就是说,不同的NTFS volume对应的USN Journal不同 USN Journal会记录文件和目录的创建、删除、修改、重命名和加解密操作,每条记录的格式如下: typedef struct { DWORD RecordLength; WORD MajorVersion; WORD MinorVersion; DWORDLONG FileReferenceNumber; DWORDLONG ParentFileReferenceNumber; USN Usn; LARGE_INTEGER...
-
渗透技巧——Windows下NTFS文件的时间属性
0x00 前言 在渗透测试中,如果需要在目标系统上释放文件,将会改变父目录的时间属性(AccessTime,LastWriteTime,MFTChangeTime),如果需要覆盖目标系统上原有的文件,也会改变原有文件的时间属性(CreateTime,AccessTime,LastWriteTime,MFTChangeTime) 站在渗透的角度,需要找到修改文件时间属性的方法,用来消除痕迹 站在取证的角度,通过文件属性的异常能够找到攻击者的入侵痕迹 本文将会介绍修改文件属性的方法和细节,分享实现代码,结合利用思路给出在取证上的建议 0x01 简介 本文将要介绍以下内容: 基本概念 读取文件属性的方法 修改文件属性的方法 分享代码 利用思路 取证建议 0x02 基本概念 1、NTFS文件系统中的时间属性 包括以下四个: CreateTime(Created) AccessTime(Accessed) LastWriteTime(Modified) MFTChangeTime 前三个可通过右键->Properties获得,如下图 无法直接查看MFTChangeTime MFTChangeTime记录MFT(Master File Table)的修改时间,如果文件属性变化,就会更新MFTChangeTime 2、读取MFTChangeTime的方法 (1)通过NtQueryInformationFile读取 注: 通过WinAPI GetFileTime无法获得 (2)解析NTFS文件格式 Master File Table中的$STANDARD_INFORMATION(偏移0x10)和$FILE_NAME(偏移0x30)包含完整的文件属性 3、Win7系统默认CreateTime和AccessTime保持一致 Win7系统(以及更高版本)默认设置下,禁用了AccessTime的更新 也就是说,只读取文件的操作不会改变文件属性AccessTime,AccessTime同CreateTime保持一致,这是为了减少硬盘的读写 对应注册表位置HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem,键值NtfsDisableLastAccessUpdate 数值1代表禁用,为默认配置,数值0代表开启,修改注册表后重启系统才能生效 4、文件属性的变化规律 读取文件: 不会改变文件属性 覆盖文件: 改变4个属性 5、文件夹属性的变化规律 新建文件/删除文件/重命名文件: 改变父文件夹的AccessTime,LastWriteTime和MFTChangeTime...
-
渗透技巧——Windows下的Remote Registry
0x00 前言 Windows下的Remote Registry允许远程用户修改当前计算机的注册表设置 在渗透测试中,获得了管理员权限后,可以利用Remote Registry服务作为后门 我受到harmj0y博客的启发,打算对Remote Registry的后门利用方法做扩展,并且加入一些我在研究GPO的经验,整理成文。 参考资料: http://www.harmj0y.net/blog/activedirectory/remote-hash-extraction-on-demand-via-host-security-descriptor-modification/ 0x01 简介 本文将要介绍以下内容: Remote Registry的开启方法 工作组和域环境下的利用方法 防御检测 0x01 Remote Registry的正常使用 测试环境: Win7x64 192.168.112.128 1、开启Remote Registry服务 net start remoteregistry 2、添加ACL(Access Control List) 注册表位置:HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg (1)通过界面添加权限,指定用户 如下图 (2)通过poweshell实现 添加用户test1的完全访问权限 $acl = Get-Acl HKLM:\SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg $person = [System.Security.Principal.NTAccount]"test1" $access = [System.Security.AccessControl.RegistryRights]"FullControl" $inheritance = [System.Security.AccessControl.InheritanceFlags]"ObjectInherit,ContainerInherit" $propagation...
-
渗透技巧——Windows下的Access Control List
0x00 前言 Windows系统中的ACL(Access Control List),用来表示用户(组)权限的列表。 在渗透测试中,理解并运用ACL,尤其在后门利用(提权)方面,可供发挥的空间很大。 而站在防御的角度,如果系统被攻破,找到并清除攻击者留下的ACL后门,同样需要对ACL有一定的了解。 0x01 简介 本文将要介绍以下内容: ACL相关概念 查看ACL ACL利用(文件、注册表和域环境) ACL检测 0x02 ACL相关概念 官方文档: https://docs.microsoft.com/en-us/windows/desktop/SecAuthZ/access-control-lists ACL: Access Control List,用来表示用户(组)权限的列表,包括DACL和SACL ACE: Access Control Entry,ACL中的元素 DACL: Discretionary Access Control List,用来表示安全对象权限的列表 SACL: System Access Control List,用来记录对安全对象访问的日志 直观理解: Windows访问控制模型中会用到ACL,比如文件、注册表的权限都包括ACL,用来表示哪些用户(组)具有操作权限 例如对某个文件进行访问,系统将做以下判断: 如果没有DACL,系统将允许访问 如果存在DACL,但没有ACE,系统将拒绝所有访问 如果存在DACL,也存在ACE,那么会按照每个ACE指定允许或拒绝 实例演示 对于文件夹C:\Windows\SYSVOL\sysvol\test.com,查看文件夹属性 默认共有五条DACL,如下图 选中一条DACL,其中包含多个ACE,表示具有的权限,如下图 0x03 文件中的ACL 常用命令(icacls): 1、查看指定文件的ACL...
-
渗透技巧——Windows中net session的利用
0x00 前言 在Windows系统中,使用net use命令能够实现远程连接网络中其他计算机的共享资源,连接建立后会创建一个net session。 在渗透测试中,如果我们获得了一台Windows主机的权限,在上面发现了net session,就可以利用这个net session,使用net session的token创建进程。 0x01 简介 本文将要介绍以下内容: 查看net session的方法 net session的利用 net session的清除 利用思路 防御建议 0x02 测试环境 COMPUTER01: Win7 x64 域内一台主机 192.168.10.2 使用帐号test1登录 DC: Server2008 R2x64 域控服务器 192.168.10.1 在DC上使用域管理员帐号Administrator通过net use远程连接COMPUTER01,如下图 0x03 查看net session的方法 1、cmd命令 net session 如下图 2、LogonSessions 下载地址: https://docs.microsoft.com/en-us/sysinternals/downloads/logonsessions 如下图 可以发现,net session的Logon type为Network 3、c++实现...
-
域渗透——利用GPO中的计划任务实现远程执行(命令行实现原理与脚本细节)
0x00 前言 在上篇文章《域渗透——利用GPO中的计划任务实现远程执行》介绍了利用GPO中的计划任务实现远程执行的方法,分析利用思路,通过命令行实现了GPO和计划任务的创建、修改和删除。 这篇文章将要详细介绍命令行实现的原理和脚本的开发细节,记录定位问题和解决问题的过程。 0x01 简介 本文将要介绍以下内容: 定位问题 解决思路 脚本实现细节 0x02 定位问题 测试环境:Windows Server 2008 R2 domain:test.com 测试1 通过Group Policy Management Console (GPMC) 创建GPO,添加计划任务(Immediate Task) 成功实现计划任务的远程执行 测试2: 使用命令行实现创建GPO并添加计划任务(Immediate Task),步骤如下: 1、创建一个GPO new-gpo -name TestGPO1 | new-gplink -Target "dc=test,dc=com" GpoId为d7dacd95-883c-402f-9238-9e2643f8f309,如下图 2、创建计划任务的配置文件ScheduledTasks.xml 路径为:\\test.com\SYSVOL\test.com\Policies\{D7DACD95-883C-402F-9238-9E2643F8F309}\User\Preferences\ScheduledTasks ScheduledTasks.xml的内容如下: <ScheduledTasks clsid="{CC63F200-7309-4ba0-B154-A71CD118DBCC}"> <ImmediateTaskV2 clsid="{9756B581-76EC-4169-9AFC-0CA8D43ADB5F}" name="debug" image="0" changed="2018-12-11 11:11:11" uid="{92272F3D-762C-460A-94FA-F3E3B9EBACF0}"...
-
域渗透——利用GPO中的计划任务实现远程执行
0x00 前言 在之前的文章《渗透基础——Windows下计划任务的使用》曾介绍过计划任务的用法。而在域环境中,通过组策略(Group Policy Object)同样能够实现计划任务的远程执行,本文将要对这个方法进行介绍,分析利用思路。 0x01 简介 本文将要介绍以下内容: GPO中的计划任务简介 通过Group Policy Management Console (GPMC) 实现计划任务的远程执行 通过命令行实现计划任务的远程执行 新建GPO实现远程执行 修改已有的GPO,实现远程执行 GPO的常用操作 0x02 简介 值得阅读的资料: http://www.harmj0y.net/blog/redteaming/abusing-gpo-permissions/ https://adsecurity.org/?p=2716 http://www.sicherheitsforschung-magdeburg.de/uploads/journal/MJS_052_Willi_GPO.pdf GPO全称Group Policy Objects,用来存储Active Directory中的策略 自Windows Server 2008开始,GPO开始支持计划任务,便于管理域中的计算机和用户 默认情况下,域用户的组策略每90分钟更新,随机偏移为0-30分钟,域控制器的组策略每5分钟更新 注: 可通过命令实现组策略的强制更新 默认组策略的保存位置:\\<DOMAIN>\SYSVOL\<DOMAIN>\Policies\,所有域内主机都能访问 注: 之前的文章《域渗透-利用SYSVOL还原组策略中保存的密码》曾介绍过这个文件位置 默认存在两个组策略,每个文件夹对应一个组策略: {6AC1786C-016F-11D2-945F-00C04fB984F9}对应Default Domain Controllers Policy {31B2F340-016D-11D2-945F-00C04FB984F9}对应Default Domain Policy 如下图 0x03 通过Group Policy...
-
Exchange Web Service(EWS)开发指南
0x00 前言 Exchange Web Service(EWS)提供了一个访问Exchange资源的接口,我在github没有找到很合适的参考项目,于是对这方面的内容做一个系统性的整理,开源一份EWS的实现代码ewsManage,便于后续的二次开发。 0x01 简介 本文将要介绍以下内容: 使用EWS Managed API访问Exchange资源 使用EWS SOAP XML message访问Exchange资源 开源代码ewsManage ewsManage功能介绍 0x02 简介 官方文档: https://docs.microsoft.com/en-us/exchange/client-developer/exchange-server-development 两种访问Exchange资源的方法: 使用EWS Managed API 使用EWS SOAP XML message 测试环境: Exchange Server 2013 SP1 user: test1@test.com pwd: test123! url: https://test.com/ews/Exchange.asmx AutodiscoverUrl: test1@test.com 0x03 使用EWS Managed API 官方资料: https://docs.microsoft.com/en-us/exchange/client-developer/exchange-web-services/get-started-with-ews-managed-api-client-applications 这里使用EWS Managed...