首页 站长运维 脚本编程 怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

摘要

serviceFu

正在近期所举行的平安审计行动中,咱们的团队计划出了一种新的平安器械,并祈望能跟悉数社区一块分享。

当时正在举行平安审计早先前,咱们最先须要测试获取到客户搜集编制的初始访谒权。这位异常的客户之前曾参加过大宗的人力和物力资源来擢升企业搜集编制的平安性。正在客户域名编制中的公共半客户都须要举行智能卡认证,而且禁用了凭证缓存(Mimikatz的sekurlsa::logonPasswords无效),况且还扶植了基于主机的日记记实编制(Powershell, Sysmon, HIPS)。

正在举行了留神剖判之后,咱们把防卫力放正在了一台更有“价钱”的供职器上。这台供职器之是以“有价钱”,是由于具有上等级权限的搜集管束员须要应用这台供职器来推广管束员职分。咱们获胜正在这台供职器上发觉了一个0 day缺陷,而且通过手动编码的外面计划出了缺陷诈欺代码,最终获胜拿到了SYSTEM权限。

怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

有了SYSTEM权限之后,咱们就或许伪装成少许每每会登录目的编制的用户了,例如说通过注入用户经过或直接偷取他们的用户令牌。固然这种手艺能够有用实行提权和横向渗入,可是它央求咱们能寻找到行动会话能力实行身份伪装。以是,这个经过能够须要咱们恭候用户登录能力实行提权,当他们刊出账号之后,咱们就无法应用他们的账号了。是以,这种手艺只可用来寻找那些应用账号凭证登录的用户消息,而无法合用于采用智能卡认证的景况。

可是走运的是,客户的行动目次正在装置和修设时应用的是众个上等级权限的供职账号,况且涉及到域中的众台供职器。这些域供职账号应用了账号凭证来实行登录认证。Windows会正在注册外HKLM:\Security\Policy\Secrets中为每一个供职的域供职账号供职账号存储一个加密后的凭证正在lsadump::secrets module(Mimikatz)的助助下,咱们或许直接解密这些凭证。

接下来,咱们的首要题目就形成了何如寻找目的域供职账号下运转了那些供职组件:咱们是对每一个编制手动运转mimikatz,仍旧正在搜聚到编制消息和注册外键实质后正在线下推广剖判?固然这并不是一个手艺难点,可是咱们很懒,能自愿化杀青的咱们坚信不会手动举行。下面的截图显示的是mimikatz导出的每一个供职账号的凭证消息:

怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

假设咱们的器械运转正在一台登录了管束员权限账号的目的主机上,咱们将或许诈欺Win32 API来长途盘查目的主机中运转的供职。咱们能够通过解析供职启动名称来占定暂时运转境况是否为编制级账号。假使确定了运转境况,咱们就能够应用长途注册外API来存储编制消息和注册外消息了。接下来,正在拿到闭系注册外键之后,咱们能够应用mimikatz来对其举行解析息争密,并获取到供职账号凭证。须要防卫的是,咱们之是以采用C++来开垦这款器械,首要也是推敲到之后能够轻松将其以模块的外面整合进原生的C2框架之中。

怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

可是咱们得认可,这款器械只合用于这种特定景况,正在其他异常景况下该器械能够无法杀青你所央求的职分。但不管何如,它都或许助助你长途扫描出悉数目的域中域供职凭证的明文文本消息,这一点还辱骂常有效的。假使你对本项目感兴味的话,迎接到咱们的GitHub上留言或提交卸码。

   器械地点

serviceFu:【GitHub传送门】

标题:怎么利用serviceFu这款性能宏大的长途搜聚供职帐户笔据东西

分类:脚本编程

链接:https://www.seozhan.cn/30412.html

版权:本文内容由互联网用户自发贡献,该文观点仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌抄袭侵权/违法违规的内容, 请发送邮件至503806699@qq.com 举报,一经查实,本站将立刻删除

相关文章

评论 暂无评论