• SEO文章推广! 合作联系qq:122325244 正式全面改版 !免费SEO地址:https://www.seozhan.cn/tool 站长QQ群
  • 如果您觉得本站非常有看点,那么赶紧使用Ctrl+D 收藏SEO站长博客吧

怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

脚本编程 SEO站长博客 2个月前 (08-01) 26次浏览 已收录 0个评论

摘要

serviceFu

正在近期所举行的平安审计行动中,咱们的团队计划出了一种新的平安器械,并祈望能跟悉数社区一块分享。

当时正在举行平安审计早先前,咱们最先须要测试获取到客户搜集编制的初始访谒权。这位异常的客户之前曾参加过大宗的人力和物力资源来擢升企业搜集编制平安性。正在客户域名编制中的公共半客户须要举行智能卡认证,而且禁用了凭证缓存(Mimikatz 的 sekurlsa::logonPasswords 无效),况且还扶植了基于主机的日记记实编制(Powershell, Sysmon, HIPS)。

正在举行了留神剖判之后,咱们把防卫力放正在了一台更有“价钱”的供职器上。这台供职器之是以“有价钱”,是由于具有上等级权限的搜集管束员须要应用这台供职器来推广管束员职分。咱们获胜正在这台供职器上发觉了一个 0 day 缺陷,而且通过手动编码的外面计划出了缺陷诈欺代码,最终获胜拿到了 SYSTEM 权限。

有了 SYSTEM 权限之后,咱们就或许伪装成少许每每会登录目的编制的用户了,例如说通过注入用户经过或直接偷取他们的用户令牌。固然这种手艺能够有用实行提权和横向渗入,可是它央求咱们能寻找到行动会话能力实行身份伪装。以是,这个经过能够须要咱们恭候用户登录能力实行提权,当他们刊出账号之后,咱们就无法应用他们的账号了。是以,这种手艺只可用来寻找那些应用账号凭证登录的用户消息,而无法合用于采用智能卡认证的景况。

可是走运的是,客户的行动目次正在装置和修设时应用的是众个上等级权限的供职账号,况且涉及到域中的众台供职器。这些域供职账号应用了账号凭证来实行登录认证。Windows 会正在注册外 HKLM:\Security\Policy\Secrets 中为每一个供职的域供职账号供职账号存储一个加密后的凭证正在 lsadump::secrets module(Mimikatz)的助助下,咱们或许直接解密这些凭证。

接下来,咱们的首要题目就形成了何如寻找目的域供职账号下运转了那些供职组件:咱们是对每一个编制手动运转 mimikatz,仍旧正在搜聚到编制消息和注册外键实质后正在线下推广剖判?固然这并不是一个手艺难点,可是咱们很懒,能自愿化杀青的咱们坚信不会手动举行。下面的截图显示的是 mimikatz 导出的每一个供职账号的凭证消息:

假设咱们的器械运转正在一台登录了管束员权限账号的目的主机上,咱们将或许诈欺 Win32 API 来长途盘查目的主机中运转的供职。咱们能够通过解析供职启动名称来占定暂时运转境况是否为编制级账号。假使确定了运转境况,咱们就能够应用长途注册外 API 来存储编制消息和注册外消息了。接下来,正在拿到闭系注册外键之后,咱们能够应用 mimikatz 来对其举行解析息争密,并获取到供职账号凭证。须要防卫的是,咱们之是以采用 C++来开垦这款器械,首要也是推敲到之后能够轻松将其以模块的外面整合进原生的 C2 框架之中。

可是咱们得认可,这款器械只合用于这种特定景况,正在其他异常景况下该器械能够无法杀青你所央求的职分。但不管何如,它都或许助助你长途扫描出悉数目的域中域供职凭证的明文文本消息,这一点还辱骂常有效的。假使你对本项目感兴味的话,迎接到咱们的 GitHub 上留言或提交卸码。

   器械地点

serviceFu:【GitHub 传送门】


SEO站长博客 , 版权所有丨如未注明 , 均为原创丨本网站采用BY-NC-SA协议进行授权
转载请注明原文链接:怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西
喜欢 (0)
[h4ck3st@126.com]
分享 (0)
发表我的评论
取消评论
表情 贴图 加粗 删除线 居中 斜体 签到

Hi,您需要填写昵称和邮箱!

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址