集权攻击系列：如何利用PAC新特性对抗黄金票据？

原创 于 2023-06-01 14:57:42 发布 · 922 阅读 · 0 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#网络 #安全

本文介绍了微软针对CVE-2021-42287的安全更新，该更新在PAC中添加了PAC_REQUESTOR属性以增强Kerberos权限校验。通过解析PAC结构，阐述了PAC的关键作用，以及在更新后的验证规则变化。同时，提到了更新后的兼容性和阶段部署计划，以及如何通过日志事件37和38检测黄金票据攻击。

黄金票据简介

黄金票据是一种常见的域内权限维持手段，这种攻击主要是利用了Kerberos认证过程中TGT票据由KRBTGT用户的hash加密的特性，在掌握KRBTGT用户密码之后可以通过签发一张高权限用户的TGT票据，再利用这个TGT向KDC获取域内服务的ST来实现对域的控制。那么这里的“高权限用户”是通过什么来判断的呢，答案就是PAC。

1.PAC的作用

PAC的结构如下图所示（MS-PAC）

 

整个结构详解可以参考daiker师傅的这篇文章，由于TGT是krbtgt用户的hash加密的，我们在wireshark抓包是看不到TGT的结构的，不过我们可以写了一个工具来解密TGT和PAC。

PAC解析后内容如下：

 

 可以看到在没有更新之前PAC中一共由5种类型的INFO_BUFFER:

·KERB_VALIDATION_INFO（0x1）

·PAC_CLIENT_INFO(0x0A)

·UPN_DNS_INFO(0x0C)

·PAC_SERVER_CHECKSUM (0x06)

最低0.47元/天 解锁文章
博客
ITDR何以成为IAM的最佳搭档？
07-17 456
具体而言，正如 EDR 对端点设备的行为进行分析，ITDR通过AI 和机器学习技术，对以Active Directory 和 Okta为代表的身份基础设施上交换的身份验证流量的行为进行分析。即使您能够使用IAM等尽可能适当地设置公司的身份基础设施环境，毫不夸张地说，想要完全阻止攻击者通过巧妙的方法入侵您的身份基础设施是不可能的。此外，在多AD和域环境中实现灵活的身份访问管理的Okta等各种IAM解决方案的采用和引入，以及向Azure AD的迁移以及SSO向SaaS的迁移也在逐步发展。
博客
K8S安全风险及防护建议
07-17 1193
例如，攻击者可以创建一个特权容器，该容器可以访问宿主机上的资源，并在该容器内执行命令，从而使其获得更高的权限。事中，通过融合图计算、身份欺骗等技术，对K8S进行全方位的监测，及时发现针对K8S的漏洞利用、身份窃取等风险，在遭受攻击的第一时间及时发现攻击者，对攻击行为进行阻断。比如攻击者可通过容器中运行的SSH服务执行命令，如果攻击者通过暴力破解或者其他方法获得了容器的有效凭证，他们就可以通过SSH获得对容器的远程访问。但同时，K8S也因其高度复杂的架构和众多组件，成为了攻击者攻击的目标之一。
博客
攻防演练中红队常用的攻击方法之横向移动（下）
07-05 581
启动域防火墙能阻止DCOM对象实例化。通过以上手段，我们能有效防止黑客从系统中窃取明文密码，但是当黑客窃取到了用户凭据，使用哈希传递等手段登录系统时，并没有一个能彻底解决哈希传递的方法，我们只能减轻这种攻击。尤其是在企业等组织机构中，由于内网的复杂性，攻击团伙的手段也比较高超，一般的防护手段不能有效地防范横向移动攻击，要保护企业内网安全，最好选择专业的运营团队。如果攻击者已进入内网，为了防止他横向移动到更多主机，我们可以监测内网中活跃的用户账号，将这些账户设置为高风险账户，降低其权限，阻止其使用内网资源。
博客
攻防演练中红队常用的攻击方法之横向移动（中）
07-05 675
尤其是主机RDP相关的弱口令，这类系统远控桌面服务的弱口令一旦被黑客利用，就能通过“撞库”等方式暴力破解，进而实现内网计算机的远程控制。例如，在前不久的美国燃油管道勒索攻击事件中，darkside攻击团伙从文件、内存和域控制器中收集凭据，并利用这些凭据来登录其它主机，再对重要数据和控制端口进行加密，进而实施勒索。黑客为了造成更大影响，通常选择重要的信息系统，如金融、电信、交通、能源等计算机系统，利用横向移动进行大面积网络攻击，导致系统瘫痪，严重影响基本的社会生活。黑客横向移动的手段已经非常成熟。
博客
攻防演练中红队常用的攻击方法之横向移动（上）
07-05 1128
实际上，在横向移动攻击过程中，攻击者不仅可以运用相关技术与思路访问共享文件夹、凭证等敏感信息，也可以通过“横向移动”的方法渗透其它主机，窃取商业数据、财务信息等。除此以外，还能以域控主机为跳板，横向移动到其它域内主机，通过已获取的密码直接登录目标主机，执行远程命令，完成域内控制，进而以关键信息与权限为由，实施勒索行为。此时，黑客会在已控制的普通主机上查找与目标主机和环境相关的信息，获知目标主机开放的端口、存在的漏洞等，然后利用该漏洞渗透目标主机获取凭证，再使用哈希传递、黄金白银票据等方式进行登录。
博客
中安网星版大模型来了！三大关键能力，不输专业红队攻击手
06-29 875
通过已经识别到的攻击对即将发生的攻击进行预警，企业可以提前做好准备，加强系统和网络的安全防护措施，阻止潜在的攻击行为，并保护重要的业务和敏感数据。其次，ITDR提供了风险提示功能。同时凭借自身强大的算力以及庞大的攻击数据样本可以就当前基线配置，进行攻击推演拟合出攻击线路，运营人员可以采取针对性的措施来加固安全防护，斩断攻击路径中的关键节点，保护其关键资产免受攻击的同时避免对业务的流畅性造成影响。通过与预先设定的基线进行比对，模型能够及时发现与正常状态有所偏离的设置，从而识别出潜在的安全漏洞和风险点。
博客
集权设施管理-AD域安全策略（二）
06-14 1524
本文我们探讨了AD域的资源管理、身份验证和策略配置等功能属性，此基础上，更多特性等着我们在企业应用实践中一一探索。同时，AD域在发展得越来越适应企业管理需求时，也面临着更多针对它的独特攻击手法。在大量应用AD域的基础上，我们也应当注重其安全防护建设。
博客
集权设施管理-AD域安全策略（一）
06-14 1514
实际上，域树域林的形成是借助了活动目录强大的拓展性。简单来说，域树、域林是多个域的集合，从概念上来看，域树、域林代表了更大范围的信任联系，能协调更多部门间的通信和资源使用关系，更大程度上提高企业整体的协作效率。除此之外，额外域控还有一个重要作用，就是提高效率，它可以在有许多域用户要求提供服务时，替主域控分担压力，由它来响应部分用户的请求，从而提高企业整体效率。更为棘手的是，假使黑客攻破了域控主机，删除其上存储的全部信息，并破坏域控主机的正常功能，那么即使企业能够检测查杀入侵活动，也无法恢复正常业务功能。
博客
RSAC2023：ITDR成为下一代身份安全平台的关键能力
06-09 245
但在对抗更激烈的攻防场景下，实际的攻击者一定会试图绕过登录，绕过IAM，绕过二次验证，最终一定会获取到一个合法的用户身份实现在内网中横向移动。近几个月，风靡全球的ChatGpt让人们看到，人工智能的发展有了质的飞跃，预示着无限可能，RSA首席执行官Rohit Ghai在RSAC2023上也特别提到了AI对于身份安全变革的重要意义。而ITDR的重心更多的是放在安全这一侧，通过检测用户的真实身份，检测用户是否在盗用凭证发起攻击，从身份认证协议上去解析出攻击者的异常行为，进而实时检测出攻击事件。
博客
集权攻防——身份认证协议之NTLM
06-08 1133
如果用做菜来比喻，那么被加密的数据就是“原材料”，加密密钥就是“秘方”，原理就是“用不同的秘方做出来的菜味道不一样”。当秘方只有客户端和服务端知道，服务端确定用户身份时，只需要用该秘方和客户端做同一盘菜，对比两盘菜的味道，如果一样，那就是真实的客户端。但NTLM的认证方式也不是绝对安全的，基于密码哈希的认证方式，让攻击者在不需要获取明文密码的情况下，也能直接传递密码哈希通过认证。由上可见，无论哪种情况下，NTLM在认证过程中，都没有在网络上单独传递密码，这减少了密码泄露的可能，提高了系统安全性。
博客
从RPC协议看集权设施防护
06-08 699
相比于HTTP等传输协议，RPC将数据序列化成二进制，直接在传输层上与服务端交互，极大地提高了传输效率。并且使用存根来管理RPC的底层过程，让客户端和服务端的交互变得透明，从而为用户提供了方便。不过，抛开传输效率的便利，RPC中同样也存在很多安全威胁，比如Zerologon(CVE-2020-1472)、Printnightmare(CVE-2021-34527)等，攻击者利用这些漏洞，可以直接通过RPC协议连接服务器，并向其发送恶意代码，从而获取控制目标服务器的权限，这也是使用协议时要提防的一个方向。
博客
集权设施攻防兵法：实战攻防之堡垒机篇
06-06 1166
2.2021年攻防演练期间，某互联网公司堡垒机遭受攻击，攻击者利用任意用户登录漏洞对齐治堡垒机实施攻击，获得齐治堡垒机的后台管理权限，控制了大量的内网机器。1.能够针对堡垒机的敏感以及异常操作进行实时监测，如漏洞利用、异常时间点认证、异地登录、访问非常用资源等，让管理员在第一时间感知攻击者对堡垒机的漏洞利用、执行的敏感操作。1）攻击者首先通过堡垒机的历史漏洞甚至是堡垒机的0day漏洞对堡垒机实施攻击，比如通过绕过认证直接访问堡垒机的web控制台，获取堡垒机的web管理权限。
博客
2023年「身份安全」行业白皮书、研究报告、案例合集速览！
06-01 399
随着企业将其业务向数字化、云和移动化转变，身份的数量、类型都呈爆炸式增长。这也带来了全新维度的威胁格局，如果保护不当，可能会为攻击者提供更多可利用的攻击路径。虽然许多工具和技术旨在保障身份安全，但身份威胁检测和响应（ITDR）技术为企业提供了其武器库中的关键新武器，通过结合。等方式，可以发现凭据窃取、特权滥用以及其他与身份相关的攻击威胁和潜在风险。为了帮助大家更好地了解ITDR技术，我们搜集了。2）ITDR发展趋势及典型应用。1）ITDR基础知识与概述。3）ITDR实践案例研究。
博客
常见的ACL攻击方式，集权设施如何防御攻击？
06-01 1145
ace_type为“OA”，对应ACCESS_ALLOWED_OBJECT_ACE_TYPE，表示是ALLOW类型的ACE，rights字段为“WP”，表示目录服务对象访问权限，对于权限值是ADS_RIGHT_DS_WRITE_PROP，表示目录对象写权限，object_guid表示权限的guid，account_sid标识这条ACE受托人的SID字符串。约束委派和非约束委派的配置需要域管理员对相关属性进行配置，微软为了给域用户提供更大的灵活性，让域内资源所有者能够配置哪些账户是可信的，并允许委派给他们。
博客
[原创]集权设施保护之LDAP协议
05-30 924
系统中的树还有一个不一样的地方，就是各种不同品种的树叶可以长在一棵树上，这个不同品种的树叶是由系统中多种多样的资源对象来充当的，所以我们可以想象一棵长满了用户、计算机和打印机的树。树叶内容主要是描述这片树叶的颜色、形状、气味等独特的信息，对应到系统中，就是资源的属性，比如用户的属性有性别，身份证号，电话等，计算机的属性有操作系统类型、账号密码等。LDAP中将域名拆分开，形成树根，系统中的树根叫做DC，比如在test20.local域下，树根为DC=test20，DC=local。
博客
身份集权设施保护之Kerberos协议
05-30 1081
Kerberosting需要选择简单的key，在三种爆破对象中，也就是用户账户，机器账户，服务账户，在比较安全的域中用户账户的安全性会比较高，而机器账户密码是随机生成的，而且三十天更换一次，只有服务账户会出现弱口令的情况，因为在服务部署的时候往往会产生一个固定密码，而且可能从来不去改，所以优先选择服务账户，机器账户也是特殊的服务账户，因为它也有SPN，SPN是唯一标识符，就像下图中的格式，可以理解为代表了特定的服务，SPN只要符合格式，不管服务存不存在都可以用来进行密码爆破。而该属性默认是没有勾选上的。
博客
集权安全 | 域渗透中的 DCSync技术分析
05-26 1454
DCSync是AD域渗透中常用的凭据窃取手段，默认情况下，域内不同DC每隔15分钟会进行一次数据同步，当一个DC从另外一个DC同步数据时，发起请求的一方会通过目录复制协议（MS- DRSR）来对另外一台域控中的域用户密码进行复制，DCSync就是利用这个原理，“模拟”DC向真实DC发送数据同步请求，获取用户凭据数据，由于这种攻击利用了Windows RPC协议，并不需要登陆域控或者在域控上落地文件，避免触发EDR告警，因此DCSync时一种非常隐蔽的凭据窃取方式。
博客
集权攻击-无权限条件下AD域凭据获取与利用分析
05-25 1453
我们简单回顾服务票据的请求流程，当域内用户去请求域内某个服务资源时，先会通过AS-REQ进行身份认证，通过后会返回TGT给用户，用户使用TGT发起TGS请求，KDC会返回一个用对应服务账户的Hash加密的服务票据。那么如果我们有一个域用户的凭据可以正常申请TGT，就可以申请指定服务的TGS票据，因该票据使用服务账户的Hash进行加密,当获取到加密后的TGS票据后，即可根据离线爆破得到服务账户的密码，这样请求服务账号票据进行离线爆破的攻击手法叫做Kerberoasting。而该属性默认是没有勾选上的。
博客
集权设施攻防兵法：实战攻防之Exchange篇
05-25 1088
比如，它可以配置邮箱委托，将某个重要的邮箱委托到他所控制的一个不常用的邮箱，这样就可以在不需要凭据的情况下任意查看那个重要邮箱的所有邮件。然而，它也时常受到攻击。比如，在没有凭据的情况下，攻击者可能会尝试利用Proxylogon、Proxyshell等攻击链对Exchange实施攻击，如果攻击成功，能够拿到Exchange的system权限。2.针对CVE漏洞的利用实时监测，目前已经覆盖对Exchange的所有历史漏洞进行实时的攻击检测，确保在针对Exchange的任何漏洞攻击发生时可以看到攻击行为。
博客
浅谈IAM——OAuth2.0攻击方法总结
05-24 845
参数注入主要包括SQL注入和XSS，OAuth协议交互和客户端注册中涉及到多种参数传递过程，如果在服务端没有进行恰当的过滤和验证，很有可能就会出现参数注入漏洞，比如在一些OAuth实现中直接将客户端注册填写的redirect_url渲染到html页面，或者是将code参数直接用字符串拼接的方式带入到SQL查询语句中，这些不安全的实现都会导致意外的事故。整个过程中应用仅仅使用了OpenId作为鉴权的参数，但是由于OpenId是一个相对固定的参数，一旦泄露出去，这里就会产生认证绕过的风险。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值