欢迎访问本站!

首页科技正文

登1登2登3代理(www.22223388.com):行使MS-SAMR协议修改用户密码

admin2021-09-0337资讯

皇冠注册平台

是一个开放皇冠即时比分、皇冠官网注册的平台。皇冠注册平台(www.huangguan.us)专业解决皇冠会员怎么申请开户、怎么申请皇冠信用盘代理、皇冠公司的代理怎么拿的问题。

,

@(Tips)

行使MS-SAMR协议修改用户密码0x00 行使1. SetNTLM(1) 行使条件(2) Demo2. ChangeNTLM(1) 行使条件(2) Demo0x01 原理0x02 实现1. 挪用samlib的导出函数2. 直接挪用MS-SAMR(1) C语言(2) Impacket0x03 检测与缓解1. ChangeNTLM(1) 发生事宜(2) 流量特征2. SetNTLM(1) 发生事宜(2) 流量特征3. 缓解措施0x04 参考

本文为Windows RPC行使系列文章的第一篇,主要先容关于MS-SAMR的部门行使,在后续的文章中将继续先容RPC在渗透测试中的应用

作者: Loong716@Amulab

在渗透测试历程中,经常遇到拿到用户的NTLM哈希但无法解密出明文密码的情形。本文先容并剖析一种在仅知道域用户密码哈希时修改用户密码,并在使用完后恢复用户原密码的方式。完成响应工具实现,提出检测方式缓和解措施。

PS:本文提出的场景在实战中也有许多其他的解决设施,但本文仅讨论与changentlm、setntlm相关的内容

0x00 行使

思量以下几个场景:

  1. 我们拿下域控后,经常要搜集目的架构内用户的种种信息来寻找靶标,好比登录邮箱服务器、OA、NAS等可能使用域身份认证的系统

  2. 我们网络的攻击路径中的其中一环是行使某账户重置/修改目的账户密码

  3. 我们拿到某用户hash后,同样想通过该用户账户登录某系统,但目的系统不支持pth

我们虽然拿到了修改/重置密码的权限,但我们又不想直接修改目的用户的密码,由于这样用户在登录时就会发现自己的密码被修改了,此时有两种情形:

  1. 若是我们有重置密码权限就可以使用SetNTLM来将用户密码重置

  2. 若是有hash的话可以使用ChangeNTLM修改

登录目的系统后,再将目的密码还原

1. SetNTLM

该功效的效果是直接将域用户的密码或hash重置为新的密码或hash

(1) 行使条件

当前身份对要修改的用户有Reset Password权限


(2) Demo

假设我们此时拿到域控,想修改域内用户ntlmtest的密码来登录某系统,先Dcsync看一下用户当前的hash:

由于我们是域管了,基本上对目的用户都是有重置密码权限的,然后行使以下下令重置密码:

lsadump::setntlm /server: /user: /password:

登录目的系统以后,再通过以下下令还原密码:

lsadump::setntlm /server: /user: /ntlm:

2. ChangeNTLM

(1) 行使条件

需要对目的用户有Change Password权限,但该权限一样平常是Everyone拥有的,以是基本上拿到目的用户的hash/密码后都可以举行密码更改

(注重此处的更改密码权限并不是说可以直接随便改用户密码,而是在知道用户的密码的情形下更改一个新密码)

该方式受到域内密码战略的限制,好比域内默认的“密码最短使用限期”为1天,因此用户天天只能修改一次自己的密码

而且若是域内存在“强制密码历史”规则时,该方式在恢回复密码时便不能乐成,但若是没有“密码最短使用限期”的限制的话,我们多修改几回密码直到原密码在历史中祛除,然后再修改为原密码即可

(2) Demo

修改用户test2密码:

lsadump::changentlm /server: /user: /old: /newpassword:

恢回复密码:

lsadump::changentlm /server: /user: /oldpassword: /new:


0x01 原理

ChangeNTLM和SetNTLM的原理本质都是挪用MS-SAMR协议

差其余是ChangeNTLM是挪用SamrChangePasswordUser这一API来修改用户密码:

而SetNTLM是通过SamrSetInformationUser来重置用户密码

大要历程是差不多的,只不外焦点操作挪用API差异,这也是为什么两种方式需要的参数、权限都差异,此处以剖析ChangeNTLM为例

虽然原理本质是通过挪用RPC,但mimikatz并不是直接挪用RPC来修改,而是使用了一组以Sam开头的API,下图所示为部门API:

Mimikatz - kuhl_m_lsadump.c,L2267

最终挪用SamiChangePasswordUser来修改用户的密码

Mimikatz - kuhl_m_lsadump.c,L2171


这些API由samlib.dll导出:

查看SamiChangePasswordUser函数挪用树,可以看到挪用了NdrClientCall3,是不是很熟悉?这显著是举行RPC挪用的标志(xpn在他的文章exploring-mimikatz-part-2里有提到过)

我们再看一下挪用处的反编译代码,参数恰好可以和SamrChangePasswordUser的操作数对应

实在从流量中也可以看出挪用的是MS-SAMR协议:

登1登2登3代理

www.22223388.com)实时更新发布最新最快最有效的登1登2登3代理网址,包括新2登1登2登3代理手机网址,新2登1登2登3代理备用网址,皇冠登1登2登3代理最新网址,新2登1登2登3代理足球网址,新2网址大全。

0x02 实现

实现主要有两种思绪,一种是跟mimikatz一样直接挪用samlib.dll的导出函数,第二种是直接挪用SAMR协议的API

两种方式原理一样,但前者的挪用要加倍简朴,由于samlib里的导出函数对应了SAMR的API,实在相当于SAMR的上层实现,好比SamiChangePasswordUser对应SamrChangePasswordUser,而且参数加倍简化

整个历程挪用的API作用如下:

  • SamrConnect5: 获取Server工具的句柄

  • SamrEnumerateDomainsInSamServer: 枚举Server上的域名

  • SamrLookupDomainInSamServer: 获取域名对应域的SID

  • SamrOpenDomain: 获取Domain工具的句柄

  • SamrLookupNamesInDomain: 获取指定用户的RID

  • SamrOpenUser: 获取User工具的句柄

  • SamrChangePasswordUser: 修改用户工具的密码

1. 挪用samlib的导出函数

原理前面已经提过了,直接挪用samlib.dll里对应的导出函数即可,直接嫖参考mimikatz的源码即可实现,源码戳这里

2. 直接挪用MS-SAMR

这里以实现changentlm为例,setntlm同理

(1) C语言

微软官方已经把MS-SAMR的IDL给我们了:[MS-SAMR] - Appendix A: Full IDL,直接拿下来使用midl天生.h和.c文件即可(使用时还需要稍作修改):


注重这里有一个坑点,若是对SamrChangePasswordUser只指定第5、6、7个参数的话,会发生STATUS_LM_CROSS_ENCRYPTION_REQUIRED错误:

因此必须再指定LMCross和NewLmEncryptedWithNewNt这两个参数,尔后者是用新密码的NTLM Hash加密新密码的LM Hash获得的,这里我一最先很疑惑:从mimikatz的功效来看,并不需要我们转达新密码LM Hash,那么它这个加密操作是怎么完成的呢?

由于LM Hash早已在高版本Windows中弃用,于是我预测这个LM Hash可能跟新密码并没有关系(好比有些工具需要使用LMHASH:NTHASH的花样来指定hash,但LM Hash的值是若干并没有关系),于是我直接使用新密码的NTLM Hash来加密空密码对应的LM Hash:

...
unsigned char newLM[16];
PCWCHAR newLMHash = "AAD3B435B51404EEAAD3B435B51404EE";
StringToHex(newLMHash, newLM, sizeof(newLM));
status = RtlEncryptLmOwfPwdWithLmOwfPwd(newLM, newNT, &NewLMEncryptedWithNewNT);
if (!NT_SUCCESS(status))
{
 wprintf(L"[!] Calc NewLMEncryptedWithNewNT Error: %08X\n", status);
 exit(1);
}
...

最终乐成修改目的用户的密码,Demo实现效果如下,源码戳这里


(2) Impacket

既然是挪用RPC,而且恰好impacket对SAMR协议也有实现,以是也可以用impacket来写

完成后我向impacket项目提交了Pull Request,源码可以在commit中看到

效果如下,修改用户的密码:


恢复用户原hash:


0x03 检测与缓解

1. ChangeNTLM

(1) 发生事宜

ChangeNTLM会发生4723、4738两条日志,而且日志中的使用者和目的账户并不是统一个账户:

(2) 流量特征

在SamrOpenUser这个操作中(操作数为34),Samr User Access Change Password标志位被设置为1,在该步操作中还可以看到用户对应的RID:


以及挪用SamrChangePasswordUser(操作数为38):


2. SetNTLM

(1) 发生事宜

SetNTLM会发生4724、4661、4738这三条日志:




(2) 流量特征

同样在SamrOpenUser这个操作中(操作数为34),Samr User Access Set Password标志位被设置为1,也可以看到用户对应的RID:


挪用SamrSetUserInformation(操作数为37):


3. 缓解措施

对于ChangeNTLM,我们可以通过设置域内密码战略来增大攻击者的行使难度:

  • “密码最短使用限期” >= 1天

  • “强制密码历史” >= 5个

而对于SetNTLM,基本是攻击者拿到较高权限时才会举行的操作,因此主要靠我们前期的一些态势感知来检测攻击者的行为,纵然其拿到高权限,我们也可以通过事宜迅速检测出SetNTLM行为

0x04 参考

https://docs.microsoft.com/en-us/openspecs/windows_protocols/ms-samr/4df07fab-1bbc-452f-8e92-7853a3c7e380

https://github.com/gentilkiwi/mimikatz/blob/master/mimikatz/modules/kuhl_m_lsadump.c,L2165

https://stealthbits.com/blog/manipulating-user-passwords-with-mimikatz/


网友评论