通过RPC协议中继NTLM身份验证渗透测试盘点
发布时间：2022-01-17 10:39:49 所属栏目：安全 来源：互联网
导读：几年来，不断有人利用NTLM中继了大量内容，以提升Windows网络中的特权。 在本文中，我们建议从impacket到已经很好的ntlmrelayx中添加对RPC协议的支持，并探索它提供的新渗透测试方法。 由于没有针对RPC协议的全局完整性验证要求，中间人攻击者可以将受害人的
|
几年来，不断有人利用NTLM中继了大量内容，以提升Windows网络中的特权。 在本文中，我们建议从impacket到已经很好的ntlmrelayx中添加对RPC协议的支持，并探索它提供的新渗透测试方法。 由于没有针对RPC协议的全局完整性验证要求，中间人攻击者可以将受害人的NTLM身份验证中继到通过RPC协议选择的目标。如果受害者在目标上具有管理特权，则攻击者可以在远程目标上执行代码，这个攻击是在一个完全打了补丁的Windows Server 2016域控制器上测试的。Compass Security在2020年1月发现了此漏洞，并向Microsoft安全响应中心披露了该漏洞，并将其标识为CVE-2020-1113。 Microsoft在2020年5月星期二的更新中发布了此修复程序，实施的解决方案增加了Task Scheduler Service的完整性要求。不过，该方案不能解决RPC缺少全局完整性要求的问题。 下图给出了NTLM中继攻击的简化视图：攻击者充当客户端的服务器，并充当服务器的客户端。他从客户端消息中提取NTLM身份验证块，并将其放入服务器的修改后的消息中，反之亦然。最后，他可以根据需要使用经过身份验证的会话。 为了使这种攻击奏效，攻击者就必须处于中间人的位置。这可以使用传统的欺骗技术(ARP，DNS，LLMNR和Netbios等)，或者通过一个错误或误用的特性(打印机错误、Juicy Potato等)触发到攻击者机器的连接来实现。 （编辑：宁德站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐