如何使用serviceFu这款功能强大的远程收集服务帐户凭据工具

serviceFu

在近期所进行的安然审计活动中,我们的团队设计出了一种新的安然对象,并盼望能跟全部社区一路分享。

当时在进行安然审计开始前,我们首先必要考试测验获取到客户收集系统的初始造访权。这位特殊的客户之前曾投入过大年夜量的人力和物力资本来提升企业收集系统的安然性。在客户域名系统中的大年夜多半客户都必要进行智能卡认证,并且禁用了凭据缓存(Mimikatz的sekurlsa::logonPasswords无效),而且还设置了基于主机的日志记录系统(Powershell, Sysmon, HIPS)。

在进行了仔细阐发之后,我们把留意力放在了一台更有“代价”的办事器上。这台办事器之以是“有代价”,是由于拥有高等级权限的收集治理员必要应用这台办事器来履行治理员义务。我们成功在这台办事器上发清楚明了一个0 day破绽,并且经由过程手动编码的形式设计出了破绽使用代码,终极成功拿到了SYSTEM权限。

有了SYSTEM权限之后,我们就能够冒充成一些常常会登录目标系统的用户了,比如说经由过程注入用户进程或直接偷取他们的用户令牌。虽然这种技巧可以有效实现提权和横向渗透,然则它要求我们能探求到活动会话才能实现身份冒充。是以,这个历程可能必要我们等待用户登录才能实现提权,当他们注销账号之后,我们就无法应用他们的账号了。以是,这种技巧只能用来探求那些应用账号凭据登录的用户信息,而无法适用于采纳智能卡认证的环境。

不过幸运的是,客户的活动目录在安装和设置设置设备摆设摆设时应用的是多个高等级权限的办事账号,而且涉及到域中的多台办事器。这些域办事账号应用了账号凭据来实现登录认证。Windows会在注册表HKLM:\Security\Policy\Secrets中为每一个办事的域办事账号办事账号存储一个加密后的凭据在lsadump::secrets module(Mimikatz)的赞助下,我们能够直接解密这些凭据。

接下来,我们的主要问题就变成了若何找出目标域办事账号下运行了那些办事组件:我们是对每一个系统手动运行mimikatz,照样在网络到系统信息和注册表键内容后在线下履行阐发?虽然这并不是一个技巧难点,然则我们很懒,能自动化完成的我们肯定不会手动进行。下面的截图显示的是mimikatz导出的每一个办事账号的凭据信息:

假设我们的对象运行在一台登录了治理员权限账号的目标主机上,我们将能够使用Win32 API来远程查询目标主机中运行的办事。我们可以经由过程解析办事启动名称来判断当前运行情况是否为系统级账号。假如确定了运行情况,我们就可以应用远程注册表API来存储系统信息和注册表信息了。接下来,在拿到相关注册表键之后,我们可以应用mimikatz来对其进行解析和解密,并获取到办事账号凭据。必要留意的是,我们之以是采纳C++来开拓这款对象,主要也是斟酌到之后可以轻松将其以模块的形式整合进原生的C2框架之中。

不过我们得承认,这款对象只适用于这种特定环境,在其他特殊环境下该对象可能无法完成你所要求的义务。但不管如何,它都能够赞助你远程扫描出全部目标域中域办事凭据的明文文本信息,这一点照样异常有用的。假如你对本项目感兴趣的话,迎接到我们的GitHub上留言或提交卸码。

对象地址

serviceFu:【GitHub传送门】

赞(0) 打赏
分享到: 更多 (0)
免责申明:本站所有资料均来自于网络,版权归原创者所有!本站不提供任何保证,不保证真实性,并不承担任何法律责任

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

阿里云优惠网 更专业 更优惠

阿里云优惠券阿里云大礼包