从 VEEAM 到域管理员

在最近的内部渗透测试中，我查看了一些 Nessus 扫描数据，发现了“Microsoft Windows SMB 共享非特权访问”。从 […]

分享

在最近的一次内部渗透测试中，我查看了一些 Nessus 扫描数据，发现了“Microsoft Windows SMB 共享非特权访问”。从下面的屏幕截图中我们可以看到，Nessus 发现了一个开放的服务器消息块 (SMB) 文件共享。

发现的文件夹标有“VEEAM”。导航到相关文件夹后，有多个子文件夹包含以下命名方案（<hostname> 备份）。快速谷歌搜索后，我发现 VEEAM 有多种产品和解决方案，但在本例中，客户似乎正在使用备份和复制产品。一个非常有趣的子文件夹是“DC Backups”。

作为攻击者，访问域控制器的备份可能会导致整个域被攻陷。为了开始操作 VEEAM 备份文件，我首先下载了 VEEAM 备份和复制软件的免费版本。

安装的 Veeam 软件包含一个名为“VBK Extract”的工具，它允许您提取 VBK 文件。利用此工具，我们可以开始提取过程。

打开提取实用程序后，过程非常简单。选择备份文件，选择目标提取文件夹，然后选择虚拟机备份。

当提取过程完成后，用户将收到一个弹出警报，确认提取已成功完成。

提取工具将 VBK 文件转换为虚拟硬盘 (VHD) 格式。

此格式可在 Windows 中使用磁盘管理本地安装。如下所示，磁盘管理允许执行“附加 VHD”操作。

成功连接 VHD 后，将出现一个新的驱动器号（例如 F:）。

导航到新的驱动器号将允许您访问域控制器的硬盘内容。具体来说，在这种情况下，我们要提取 NTDS.dit 和 SYSTEM 文件。

使用这些文件，个人可以使用多种不同的工具来提取所有用户的 Active Directory 域密码哈希。在此过程中，我能够利用域管理员的密码哈希来验证我是否可以登录客户端网络上的服务器。

补救措施：

深入了解 VEEAM 的备份配置手册– 备份过程可以使用密码加密备份。仅凭这一点就无法提取这些服务器备份。如果您的组织使用任何备份软件 – 请确保它正在加密备份并将其存储在安全的位置。