欢迎访问Sunbet官网(www.sunbet.us),Allbet欧博官网(www.ALLbetgame.us)!

首页Sunbet_安全预警正文

通过RPC协议中继NTLM身份验证渗透测试总结

e6e9fdb1a932f3282020-05-23128技术

几年来,不断有人利用NTLM中继了大量内容,以提升Windows网络中的特权。

在本文中,我们建议从impacket到已经很好的ntlmrelayx中添加对RPC协议的支持,并探索它提供的新渗透测试方法。

CVE-2020-1113

由于没有针对RPC协议的全局完整性验证要求,中间人攻击者可以将受害人的NTLM身份验证中继到通过RPC协议选择的目标。如果受害者在目标上具有管理特权,则攻击者可以在远程目标上执行代码,这个攻击是在一个完全打了补丁的Windows Server 2016域控制器上测试的。

Compass Security在2020年1月发现了此漏洞,并向Microsoft安全响应中心披露了该漏洞,并将其标识为CVE-2020-1113。

Microsoft在2020年5月星期二的更新中发布了此修复程序,实施的解决方案增加了Task Scheduler Service的完整性要求。不过,该方案不能解决RPC缺少全局完整性要求的问题

NTLM中继101

下图给出了NTLM中继攻击的简化视图:

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第1张

攻击者充当客户端的服务器,并充当服务器的客户端。他从客户端消息中提取NTLM身份验证块,并将其放入服务器的修改后的消息中,反之亦然。最后,他可以根据需要使用经过身份验证的会话。

为了使这种攻击奏效,攻击者就必须处于中间人的位置。这可以使用传统的欺骗技术(ARP,DNS,LLMNR和Netbios等),或者通过一个错误或误用的特性(打印机错误、Juicy Potato等)触发到攻击者机器的连接来实现。

示例回顾

NTLM中继已在多种攻击中使用和重用:

1. 打印机错误:一种从Windows Server触发SMB连接的好方法(与不受约束的委托结合使用特别方便);

2. PrivExchange:或如何从拥有Exchange邮箱的任何用户升级为Domain Admins;

3. 断开MIC :或如何完全绕过继电器保护。

这些攻击中继了以下协议:

SMB→SMB(打印机错误);

HTTP→LDAP(PrivExchange);

RPC的一些背景知识

定义

1. 远程过程调用(RPC)是指程序在其他地址空间(例如在另一台计算机上)中执行过程。

2. DCE / RPC是由Open Group设计的RPC协议标准;

3. MSRPC(aka MS-RPCE)是Microsoft的DCE / RPC的修改版本;

谁会使用RPC?

RPC用于远程系统管理,WMI基于DCOM,该DCOM使用RPC作为传输方式(有时通过SMB):

1. 监控和远程管理工具支持WMI(快速搜索将提供例如Solarwinds,NetCrunch,PRTG,LanSweeper,Kaseya等),并且必须配置特权服务帐户。

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第2张

注意:此监控解决方案需要具有管理权限的凭据,一旦获取管理权限的凭据,此帐户将尝试连接到网络中的所有主机。

2. 系统管理员还可以使用WMI手动执行远程任务,可能使用特权帐户。

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第3张

默认情况下,RPC用于Windows防火墙,因为它用于远程管理。

身份验证和完整性

安全服务提供商,依赖RPC的工具使用标准Windows安全提供程序进行身份验证,可能有以下值:

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第4张

请注意,默认值为WINNT,这意味着NTLM身份验证通过。

认证级别

身份验证级别设置RPC交换中是否存在身份验证和完整性检查:

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第5张

再次注意,默认值为CONNECT,这意味着没有完整性检查。

幸运的是,大多数基于RPC的协议都具有最低的安全要求(在Microsoft的每个协议文档的第2.1节中都有详细记录):

MS-SAMR:服务器SHOULD

MS-LSAD:请求者不得使用RPC提供的安全支持提供程序机制(用于身份验证、授权、机密性或防篡改服务)。

不幸的是,其他一些具有较少的限制性要求:

MS-DCOM:服务器应注册[MS-RPCE] 2.2.1.1.7节中指定的一个或多个安全提供程序,安全提供者的选择取决于实现。

MS-TSCH:RPC服务器必须要求RPC_C_AUTHN_GSS_NEGOTIATE或RPC_C_AUTHN_WINNT授权。 RPC客户端必须使用[MS-RPCE] 2.2.1.1.8节中指定的RPC_C_AUTHN_LEVEL_PKT_PRIVACY(值= 6)身份验证级别。

攻击过程

MS-WMI使用MS-DCOM,它是一个很好的攻击载体。然而,由于典型的WMI代码执行需要对多个RPC接口进行身份验证,因此它不是NTLM中继攻击的最佳选择(没有重新身份验证方法)。

MS-TSCH是管理计划任务的协议,在atexec.py中使用,这是否意味着我们可以中继NTLM身份验证并使用预定的任务执行代码?当然是的。

我们修改后的impacket包含以下三个新组件:

1. RPCRelayServer响应传入RPC连接;

2. RPCRelayClient启动到目标的RPC连接;

3. RPCAttack(基于ATExec)在目标上执行代码;

PoC或GTFO

在我们的设置中,攻击者计算机具有IP 172.16.100.21,目标计算机DC是具有最新补丁程序版本的Windows Server 2016,并且具有IP 172.16.100.1。受害用户WINLAB \scooper-da在DC计算机的本地Administrators组中,并使用IP 172.16.100.14从该计算机打开一个SMB连接。

攻击者启动ntlmrelayx.py

攻击者将安装我们的自定义版本的impacket,并在其IP为172.16.100.21的主机上启动该工具,他想在目标172.16.100.1上添加本地管理员(名为compass):

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第6张

通过受害者触发连接

受害人从计算机172.16.100.14打开与攻击者计算机的SMB连接,这模仿了管理员使用前面提到的工具访问共享或执行管理任务:

, net view \\172.16.100.21\noshare\

该工具将启动连接并进行中继,由于中继用户是目标计算机上的本地管理员,因此他有权添加我们的新管理员:

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第7张

结果,将创建一个新用户并将其添加到本地Administrators组。

中继攻击的破坏力

测试了以下场景:

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第8张

服务器端的SMB签名(在我们的测试中设置为必需,如默认的DC安装一样)可防止从RPC中继到SMB。在客户端,默认情况下不需要SMB签名,这可以成功中继到RPC。

一些有趣的用例

在对iOS数字取证和事件响应(DFIR)进行例行调查之后,研究人员发现了一些可疑事件,这些事件早在2018年1月就影响了iOS上的默认邮件应用程序。研究人员分析了这些事件,发现了一个影响苹果iphone和ipad的可利用漏洞。ZecOps在很长一段时间内,在企业用户、vip和mssp上检测到该漏洞的多个触发器。

该漏洞的攻击范围包括向受害者的邮箱发送自定义电子邮件,使其能够在iOS 12上的iOS MobileMail应用程序或在iOS 13上发送的邮件中触发该漏洞。

几乎没有可疑事件包括黑客通常使用的字符串(例如414141…4141),经过确认,我们验证了这些字符串是由电子邮件发送者提供的。值得注意的是,尽管有证据显示证实了受攻击者的电子邮件是由受害者的iOS设备接收和处理的,但本应接收并存储在邮件服务器上的相应电子邮件却丢失了。因此,我们推断这些电子邮件可能已被有意删除。

我们知道从2018年1月开始在iOS 11.2.2上发生了多个触发事件,当前,攻击者可能正在滥用这些漏洞,详情请点此。在研究触发这些漏洞的过程中,我们已经看到一些可疑受害者之间的相似之处。

1.所有经过测试的iOS版本都容易受到攻击,包括iOS 13.4.1;2.根据我们的发现,这些漏洞都是在iOS 11.2.2或更高版本上主动触发的;3.iOS 6及更高版本容易受到攻击,iOS 6于2012年发布,iOS6之前的版本可能也会受到攻击,但我们尚未检查较早的版本。因为在iOS 6发行时,iPhone 5已上市。

漏洞详情

研究人员发现,MIME库中MFMutableData的实现缺少对系统调用ftruncate()的漏洞检查,该漏洞导致越界写入。我们还找到了一种无需等待系统调用ftruncate失败即可触发OOB-Write的方法。此外,我们发现了可以远程触发的堆溢出。众所周知,这两种漏洞都是可以远程触发的。OOB写入漏洞和堆溢出漏洞都是由于相同的漏洞而引发的,即未正确处理系统调用的返回值。远程漏洞可以在处理下载的电子邮件时触发,在这种情况下,电子邮件将无法完全下载到设备上。

受影响的库:/System/Library/PrivateFrameworks/MIME.framework/MIME;易受攻击的函数:-[MFMutableData appendBytes:length:]。

利用漏洞后的异常行为

除了手机邮件应用暂时放缓外,用户观察不到任何其他异常行为。在iOS 12上尝试利用漏洞(成功/失败)之后,用户只会注意到邮件应用程序突然崩溃。在iOS13上,除了暂时的速度下降之外,这不会引起注意。如果随后进行另一次攻击并删除电子邮件,则失败的攻击在iOS 13上不会明显。

在失败的攻击中,攻击者发送的电子邮件将显示消息:“此消息无内容。”

崩溃取证分析,用户经历的部分崩溃(多次崩溃中的一部分)如下;崩溃的指令是stnp x8,x9,[x3],这意味着x8和x9的值已被写入x3并由于访问存储在x3中的无效地址0x000000013aa1c000而崩溃。

为了找出导致进程崩溃的原因,我们需要看一下MFMutableData的实现。

下面的调用树是从崩溃日志中提取的,只有选定的一些设备才会发生崩溃。通过分析MIME库,-[MFMutableData appendBytes:length:]的伪代码如下:在崩溃发生之前执行以下调用堆栈:如果数据大小达到阈值,则使用文件存储实际数据,当数据更改时,应相应更改映射文件的内容和大小,系统调用ftruncate()被inside -[MFMutableData _flushToDisk:capacity:]调用以调整映射文件的大小。ftruncate的帮助文档是这样说明的:如上所示,如果调用失败,则返回-1,并且全局变量errno指定漏洞。这意味着在某些情况下,此系统调用将无法截断文件并返回漏洞代码。但是,在ftruncate系统调用失败时,_flushToDisk无论如何都会继续,这意味着映射的文件大小不会扩展,执行最终会到达appendBytes()函数中的memmove(),从而导致mmap文件出现超出边界(OOB)的写入。

滥用用户帐户

使用最少的特权来进行渗透测试,对于安全专业人员来说是一个极大的挑战,所以管理员必须使用高权限帐户处理所有事情。

RPC→RPC:你从监控工具获得连接,并在其他主机上获得管理员访问权限。

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第9张

滥用计算机帐户

有时(通常是在旧的Exchange服务器上),一个计算机帐户是另一台计算机的管理员。

通过RPC协议中继NTLM身份验证渗透测试总结  技术 第10张

此BloodHound捕获显示了一个常见的情况,即用一个计算机账户管理给其他计算机。

RPC→RPC:如果你在受害计算机上具有低特权会话,则可以使用RottenPotato触发与攻击者计算机的RPC连接并将其中继到目标。

SMB→RPC:受害者计算机如果激活后台处理程序服务,你可以使用打印机错误触发与攻击者计算机的SMB连接,并将其中继到目标。

编码

我们将于6月中旬将对impacket的修改推送到以下GitHub存储库,请你注意查看:

https://github.com/CompassSecurity/impacket

缓解措施

此攻击依赖于几个漏洞,CVE-2020-1113只是其中之一。以下是一些解决潜在漏洞的缓解措施:

1. 及时修补你的Windows!

2. 通过GPO对整个网络中的客户端和服务器强制执行数据包签名;

3. 检查你的Active Directory ACL:应该使用最小特权原则;

4. 网络分段可以帮助防止中继攻击。

5. 立即停止使用NTLM。

以下想法可以改善ntlmrelayx中对RPC的支持:

1. 支持会话重用:RPC攻击目前只有一次机会,不能像SMB那样通过socks代理保存和重用会话。

2. 开发更多的RPC攻击:使用未经分析的MS-DCOM,MS-WMI或其他协议,有可能使攻击的工作范围超出CVE-2020-1113。

3. 支持更多的RPC接口:某些客户端将在身份验证之前执行未经身份验证的RPC调用。 PoC目前仅支持IID_IObjectExporter接口(99FCFEC4-5260-101B-BBCB-00AA0021347A)。

可以找到其他向量来获得传入的RPC连接:

Remote Juicy Potato:在“打印机错误”的线索中发现一个错误会很有趣,该错误会触发通过RPC远程验证到给定主机的调用。

本文翻译自:https://blog.compass-security.com/2020/05/relaying-ntlm-authentication-over-rpc/:
Intel 无线 AP Windows Wi-Fi驱动 RCE 漏洞的分析(CVE-2020-0558)

0x01  漏洞描述 本月初,ZDI发布了三个内存损坏漏洞(ZDI-20-494,ZDI-20-495和ZDI-20-496-统称为CVE-2020-0558),影响了两个适用于各种英特尔的Windows Wi-Fi驱动程序双频无线适配器。根据供应商文档描述,这些驱动程序适用于AC 7265 Rev D,AC 3168,AC 8265和AC8260无线适配器。ZDI-20-494和ZDI-20-496都是具有共同根源的越界写入漏洞,并且位于两个驱动程序(即Netwtw04.sys和Netwtw06.sys)中。ZDI-20-495是一个堆栈缓冲区溢出漏洞,仅影响Netwtw06.sys驱动程序。这些漏洞是由百度安全实验室的谢海阔和王颖发现的,最初于2019年11月底向ZDI报告。 可以在GitHub上找到这三个漏洞的Po