域内密码喷洒详解

admin 2024年12月2日22:55:38评论18 views字数 1246阅读4分9秒阅读模式

简介

域内密码喷洒(Passwoerd Spraying)一般和域内用户名枚举一起使用

在Kerberos协议认证的AS-REQ阶段,在密码正确和密码错误两种情况下,AS-REP的返回包不一样。所以可以利用这一点对域内用户名进行密码喷洒攻击。如果目标域设置了用户锁定策略,可以提高爆破成功率

域内密码喷洒工具

Kerbrute

kerbrute是一款使用Go语言编写的域内用户名枚举和密码喷洒工具,域内用户名枚举命令如下
攻击命令,指定攻击方式  指定域控  指定域名  指定用户字典  指定密码,可明文自动转换Hash

如下图所示

域内密码喷洒详解

如果没有密码锁定策略,可以针对某个用户进行爆破

域内密码喷洒详解

pyKerbrute

在密码喷洒模式下,可以使用明文密码或密码Hash。密码喷洒命令如下,域内开放端口389LDAP服务端口,kerberos88端口
域内密码喷洒详解
域内密码喷洒详解
使用mimkatz获取到Hash:f1d00e96169019e87a5846e3812ee536
域内密码喷洒详解
使用Hash进行攻击
域内密码喷洒详解
域内密码喷洒详解

DomainPasswordSpray.ps1

默认该脚本是利用LDAP从域中导出用户列表,去除锁定的用户

Import-Module xxx.ps1

Invoke-DomainPasswordSpray -Password p@ss1234
域内密码喷洒详解

域内密码喷洒抓包分析

我们针对user.txt字典中如下用户名使用pyKerbrut工具进行密码喷洒攻击

admin01是不存在用户、用户wangwu密码不为p@ss1234、用户test密码为p@ss1234

在密码喷洒攻击的同时,使用Wireshark抓包分析Kerberos流量,数据包均为AS步骤包

域内密码喷洒详解

admin01用户AS-REQ包
域内密码喷洒详解

admin01用户AS-REP包

域内密码喷洒详解

wangwu用户AS-REQ包

域内密码喷洒详解

wangwu用户ASREP包报错为密码不对

域内密码喷洒详解

test用户AS-REQ包
域内密码喷洒详解
test用户AS-REP包,认证成功包
域内密码喷洒详解

域内密码喷洒攻击防御

由于域内密码喷洒是通过发送大量的AS-REQ包,根据返回包的内容判断密码是否正确,因此可以通过以下方法进行检测

1.流量层面:可以通过检测同一IP在短时间内发送是否发送了大量的AS-REQ包来判断。如果同一个IP在短时间内发送大量的AS-REQ包(如1min内大于30个AS-REQ包)则可以判断为异常

2.日志层面:当口令爆破成功时,会产生windows日志为事件ID4768日志且结果代码为0x0的审核成功的kerberos身份验证服务事件日志。而当口令爆破失败时,默认情况下并不记录任何日志,因此日志层面不太好检测

域内密码喷洒详解
针对域密码喷洒攻击,可以要求员工设置强口令域密码,这对于域密码喷洒攻击有很好的防御作用

注意:默认情况下,windows系统并不会记录用户名正确但密码错误发起的AS-REQ包的日志。如果想要开启此记录,需要在组策略中配置审核策略和高级策略。日志记录还和通信KDC有关,如果域中存在多个域控,则在不同的域控上记录日志不相同,并不是每个KDC上都有记录所有日志。

原文始发于微信公众号(起凡安全):域内密码喷洒详解

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2024年12月2日22:55:38
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   域内密码喷洒详解https://cn-sec.com/archives/3461353.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息