域攻击之精准定位特权用户

阅读量357649

|评论1

|

发布时间 : 2018-01-11 16:38:53

 0x01 定位特权用户的用意

在域网络攻击的场景中,如果攻击者攻击获取了域内一个支点,为了获取域管理员权限,实现对域网络的整体控制,攻击者下一步的目标往往是搜集域内信息,追踪域内特权用户、域管理组用户的历史登录位置、当前登录位置等,为精确攻击获取域管理权限做准备。

例如,如果攻击者从当前支点上获取了一个本地管理员账号的口令散列值,而该账号很有可能是预装系统时保留的账号。此时攻击者可以使用PTH(Pass The Hash)方式,登录域内同类型的系统,逐台搜索,以找到特权用户的登录痕迹,从而获取特权用户的口令散列值,精准定位特权用户的作用显而易见。微软在2014年发布了KB2871997和KB2928120两个补丁,用来阻止域内主机本地用户的网络登录,本地用户的PTH方式已经死掉。

 

0x02 筛选本地管理员组中的域用户

本地用户的PTH方式已死,但域用户的PTH方式仍然有效。在许多情况下,为了方便用户使用,许多企业网络通过组策略,将一些普通域用户添加为登录主机的本地管理员组。如果那些主机中存在特权用户或者管理员组用户的登录痕迹,则有较大的概率获取这些用户的口令散列值,向获取最终的域管权限推进一大步。

在这种场景下,从当前支点出发,到获取特权用户口令散列值的路径包括3步:

1、哪些域用户被设置成为域内主机的本地管理员组成员。获取普通域用户的口令或散列值的概率远高于高权限用户,例如采用社工等方式;

2、哪些域内主机被设置为添加域内用户到本地管理员组;

3、获取第2步结果中主机的用户登录历史记录及会话信息有哪些,是否包含特权用户或管理组成员;

4、利用第1步中的用户登录第3步中筛选出有高权限登录记录或会话的主机,获取高权用户的口令散列值。

第1、2步骤主要依靠读取、分析域策略实现。域内所有组策略对所有域用户开放读权限。因此我们只要枚举这些域策略、筛选规则,找到这些组策略应用的域对象,将组策略与域对象的组信息、组内成员信息进行关联,即可得出结论。

组策略存放在$GPOPath\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf文件和$GPOPath\MACHINE\Preferences\Groups\Groups.xml文件中。在实验环境中,我们添加了一个名叫LocalAdmin的组策略,将reduser用户添加到登录主机的本地管理员组。

上图是Groups.xml的内容截图。下图则是组策略的设置选项中更友好地展示组策略的截图,2张图表示同一个组策略。

系统自带的GroupPolicy模块提供了Get-GPOReport命令,可将GUID参数的组策略转换为友好界面的XML或者HTML报告,截图如下。因此我们可以方便地对XML报告进行离线批量处理,快速获取我们想要的结果。GroupPolicy模块在域服务器中默认有,如果想在Windows 7等客户端系统中调用该模块,需要安装GPMC。

在实际的网络攻击中,在网络支点中安装GPMC还是有一定的困难。PowerView提供了类似的更为强大的功能,Get-DomainGPOLocalGroup命令,枚举分析所有的组策略,可方便得出结果。

Get-DomainGPOLocalGroup的原理是仅分析GptTmpl.inf文件中是否存在特权组的变动,这种方式会存在一定的缺陷。

在本文测试的组策略例子中,有2种方式可以让当前登录用户成为登录主机的本地管理员组。组策略编辑位置分别是“主机配置\首选项\控制面板设置\本地用户和组”、“用户配置\首选项\控制面板设置\本地用户和组”。使用第2种方式设置时GptTmpl.inf文件不存在,所以运行Get-DomainGPOLocalGroup没有结果。而使用第1种方式设置时,GptTmpl.inf存在,所以有运行结果,如下图。后续我将在此基础上,进行改进。

Get-DomainGPOComputerLocalGroup则是通过枚举分析所有的组策略,找出哪些主机被设置添加指定域用户到本地管理员组,这里不再演示。

 

0x03 获取指定主机的登录记录、会话、分组信息

上一节的第3步是针对域内指定主机或服务器,在普通权限下远程获取登录用户记录、当前会话、组及成员等信息,目前已经有许多方法和工具可供大家参考,这些工具分别基于C、Python、Ruby等语言,使用方便,小巧简单。PowerView提供了多个PowerShell命令,可方便地获取域内主机中的登录用户记录和会话信息、组信息等。下图是演示Get-NetLocalGroup命令,远程获取组成员的结果截图。图中可以看到在net use为空的情况下,通过Get-NetLocalGroup命令可直接获取域内远程主机win7x86cn(本机为Win7Sp1x8602)的本地管理组成员。在一般的企业网络中,往往主机非常多,逐个查询的效率比较低,可以使用脚本循环调用Get-NetLocalGroup命令来查询。Invoke-EnumerateLocalAdmin命令实现了类似的功能,可以从文件中读取主机列表,以指定的线程数目并行扫描探测,效率较高,这里不再演示。

 

0x04 小结

本文介绍了的远程主机登录记录、会话、分组等信息的方法,以及通过域策略的查找可加入主机本地管理员组的域用户的方法,在很多攻击场景都非常实用。而且在分析域网络的防护策略等方面也有很大的帮助。

 

0x05 参考文献

[1] http://www.harmj0y.net/blog/redteaming/pass-the-hash-is-dead-long-live-localaccounttokenfilterpolicy/

[2] https://msdn.microsoft.com/en-us/library/windows/desktop/ff182374(v=vs.85).aspx

[3] https://github.com/PowerShellMafia/PowerSploit/blob/dev/Recon/PowerView.ps1

[4] https://github.com/Veil-Framework/Veil-Pillage/blob/master/modules/enumeration/host/user_hunter.py

[5] https://docs.microsoft.com/zh-cn/sysinternals/downloads/psloggedon

[6] https://github.com/pentestgeek/smbexec/blob/master/lib/modules/enumeration/checkda.rb

[7] http://www.harmj0y.net/blog/redteaming/local-group-enumeration/

本文由三体虫子原创发布

转载,请参考转载声明,注明出处: https://www.anquanke.com/post/id/94461

安全客 - 有思想的安全新媒体

分享到:微信
+12赞
收藏
三体虫子
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66