域内提权票据篇之剖析CVE-2021-42278&42287漏洞

1、在域控导出ntds.dit和system.hivevssadmin create shadow /for=C:copy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy1WindowsNTDSNTDS.dit C:ntds.ditcopy \?GLOBALROOTDeviceHarddiskVolumeShadowCopy1WindowsSystem32configSYSTEM C:system.hivevssadmin delete shadows /all2、使用esedbexport工具导出表文件，这里没有该工具需要编译一下(建议在linux环境编译)，下载并解压：https://github.com/libyal/libesedbsudo apt-get install autoconf automake autopoint libtool pkg-config./configuremakemake installsudo ldconfig3、将导出的ntds.dit以及system.hive复制到Linux中与esedbexport同目录下即：/usr/local/bin，并执行命令，可以将ntds.dit导出成多个文件，文件会存放在当前目录的ntds.dit.export目录内esedbexport ntds.dit4、使用NTDSXtract导出需要的keytab，这里使用python2git clone https://github.com/csababarta/ntdsxtract.gitcd ntdsxtract/ && python -m pip install pycryptodomeesedbexport ntds.ditpython2 dskeytab.py ntds.dit.export/datatable.4 ntds.dit.export/link_table.6 system.hive /usr/local/bin/ntdsxtract/ 1.keytab# datatable.*以及link_table.*都是esedbexport处理ntds.dit之后存在ntds.dit.export中的文件# system.hive 是之前导出的文件# /usr/local/bin/ntdsxtract/是当前ntdsxtract目录# 1.keytab是最后我们需要的keytab文件5、获取1.keytab后，把该文件导入到Wireshark中，编辑->首选项->Protocols->KRB5，勾选"Try to decrypt Kerberos blobs"，然后开始抓包即可，wireshark会自动对当前的数据包进行解密尝试，如果解密成功，就会是显示蓝色，不成功就是黄色。

1、用户向服务1发出请求，服务1已通过KDC进行身份验证并获得其TGT，但服务1没有用户的授权数据；2、服务1通过S4U2self扩展代表指定用户请求服务票证，用户由S4U2self数据中的用户名和用户域名来标识；3、KDC返回一个服务票据到服务1，就像用户使用自己的TGT请求的一样，服务票证包含用户的授权数据；4、服务1可以使用服务票据中的授权数据来满足用户的请求，然后该服务响应用户。

//这里对比一下S4U的if逻辑与这个else if逻辑，所调用的生成PAC函数               KerbErr = KdcGetPacAuthData(                     S4UUserInfo,                     &S4UGroupMembership,                     TargetServerKey,                     NULL,                 // no credential key                     AddResourceGroups,                     FinalTicket,                     S4UClientName,                     &NewPacAuthData,                     pExtendedError                     );        KerbErr = KdcGetPacAuthData(                        UserInfo,                        &GroupMembership,                        TargetServerKey,                        NULL,               // no credential key                        AddResourceGroups,                        FinalTicket,                        NULL,               // no S4U client                        &NewPacAuthData,                        pExtendedError                        );

PA-FOR-USER ::= SEQUENCE {       -- PA TYPE 129       userName              [0] PrincipalName,       userRealm             [1] Realm,                   cksum                 [2] Checksum,                    auth-package          [3] KerberosString    }

userName    为administrator，所以我们猜测KdcGetPacAuthData()，取的就是PA-FOR-USER结构中的name；userRealm   为域名USER.COMChecksum    之前文章提到的PAC尾部签名auth-package用于验证用户身份的验证机制的字符串名称，必须将其设置为字符串“Kerberos”。

【4741事件】  创建机器账号 【4742事件】  删除SPN     【4781事件】  修改sAMAccountName

【4768事件：请求TGT】 TargetUserName(发起Kerberos身份验证请求的用户名)为域控主机名而不是主机名+$【4769事件：请求ST】  TargetUserName不包含$(区分正常的机器账户请求)，并且ServiceName(请求服务的名称)为域控主机名并不是主机名+$