浅谈后渗透攻防之道-跨域攻击及防御

我绝不会说我是天下第一，可是我也绝不会承认我是第二

很多大型企业都拥有自己的内网，一般通过域林进行共享资源。根据不同职能区分的部门，从逻辑上以主域和子域进行划分，方便统一管理。在物理层，通常使用防火墙将各个子公司及各个部门划分为不同的区域。攻击者如果得到了某个子公司或者某个部门的域控制器权限，但没有得到整个公司的内网全部权限，往往会想办法获取其他部门或者域的权限。因此，在部署网络边界时，如果能了解攻击者是如何对现有网络讲行跨域攻击的，就可以更安全地部署内网环境、更有效地防范攻击行为。

1.1跨域攻击方法分析

跨域常见的跨域攻击方法有:

1）例如利用 Web漏洞跨域获取权限
2）利用已知域散列值进行哈希传递攻击或票据传递攻击(例如域控制器本地管理员密码可能相同)
3）利用域信任关系进行跨域攻击。

1.2利用域信任关系的跨域攻击分析

域信任的作用是解决多域环境中的跨域资源共享问题。

域环境不会无条件地接收来自其他域的凭证，只会接收来自受信任的域的凭证。在默认情况下，特定 Windows域中的所有用户都可以通过该域中的资源进行身份验证。通过这种方式，域可以为其用户提供对该域中所有资源的安全访问机制。如果用户想要访问边界以外的资源，需要使用域信任。

域信任作为域的一种机制，允许另一个域的用户在通过身份验证后访问本域中的资源。同时，域信任利用 DNS 服务器定位两个不同子域的域控制器，如果两个域中的域控制器都无法找到另一个域，也就不存在通过域信任关系进行跨域资源共享了。

1.2.1域信任关系简介

域信任关系分为单向信任和双向信任两种。

• 单向信任是指在两个域之间创建单向的信任路径，即在一个方向上是访问流。在受信任域和信任域之间的单向信任中，受信任域内的用户(或者计算机）可以访问信任域内的资源，但信任域内的用户无法访问受信任域内的资源。也就是说，若A域信任B域，那么B域内受信任的主体可以访问A域内信任B域的资源。
• 双向信任是指两个单向信任的组合，信任域和受信任域彼此信任，在两个方向上都有信任流和访问流。这意味着，可以从两个方向在两个域之间传递身份验证请求。活动目录中的所有域信任关系都是双向传递的。在创建子域时，会在新的子域和父域之间自动创建双向可传递信任关系，从下级域发出的身份验证请求可以通过其父域向上流向信任域。

域信任关系可以分为内部信任和外部信任两种。

• 在默认情况下，伸用活动目录安装向导将新域添加到域树或林根域中，会自动创建双向可传递信任。在现有林中创建域树时，将建立新的树根信任，当前域树中的两个或多个域之间的信任关系被称为内部信任。这种信任关系是可传递的。例如，有三个子域BA，CA，DA，BA域信任CA域，CA域信任DA域，则BA域也信任DA域。
• 外部信任是指两个不同林中的域的信任关系。外部信任是不可传递的，而且是单向的。从Windows server 2003域信任关系变为双向的，且可以通过信任关系进行传递。在Windows操作系统中，只有Domain Admins组中的用户管理域信任关系。

1.2.2获取域信息

whoami /all 查看域内计算机的当前权限

在域中，Enterprise Admins组（仅出现在林的根域中)的成员具有对目录林中所有域的完全控制权限。在默认情况下，该组包含林中所有域控制器上具有 Administrators权限的成员。

1.2.3利用域信任密钥获取目标域的权限

在本实验中，使用mimikatz在域控制器中导出并伪造信任密钥，使用kekeo请求访问目标域中目标服务的TGS票据。使用这两个工具，渗透测试人员便可以创建具有sidHistory 的票据，对目标域进行安全测试。

使用mimikatz获取需要的信息，命令如下。

获取信息后，在域内计算机( rdyx0.com )中使用普通域用户权限( rdyx0\test )执行即可。

使用mimikatz创建信任票据

domain 参数用于指定当前域名； sid 参数用于指定当前域的SID; sids 参数用于指定目标域的SID(在本实验中为519，表示渗透测试人员创建的用户属于目标域的管理员组)； rc4 参数用于指定信任密钥； user 参数用于指定伪造的用户名； service 参数用于指定要访问的服务； target 参数用于指定目标域名； ticket 参数用于指定保存票据的文件名。需要注意的是，第一次访问域控制器时的提示文字重复是由mimikatz执行时的输出异常造成的。

利用刚刚创建的名为test.kirbi的信任票据获取域中目标服务的TGS并保存到文件中。

将获取的TGS票据注入内存

访问目标服务

1.3防范跨域攻击

内网中的Web应用比公网中的Web应用更脆弱。放置在公网中的Web应用服务器住往会配置WAF等设备，还会有专业的维护人员定期进行安全检测。放置在内网中的Web应用服务器大多为内部办公使用(或者作为测试服务器使用)，所以，其安全性受重视程度较低，往往会使用弱口令或者存在未及时修复的补丁。

攻击者在获取当前域的域控制器的权限后，会检查域控制器的本地管理员密码是否与其他的域控制器本地管理员密码相同，以及在两个域之间的网络没有被隔离的情况下是否可以通过哈希传递进行横向攻击等。在很多公司中，虽然为不同的部门划分了不同的域，但域管理员可能是同一批人，因此可能出现域管理员的用户名和密码相同的情况。在日常网络维护中，需要养成良好的安全习惯，才能有效地防范跨域攻击。

文笔生疏，措辞浅薄，望各位大佬不吝赐教，万分感谢。

免责声明：由于传播或利用此文所提供的信息、技术或方法而造成的任何直接或间接的后果及损失，均由使用者本人负责， 文章作者不为此承担任何责任。

转载声明：儒道易行 拥有对此文章的修改和解释权，如欲转载或传播此文章，必须保证此文章的完整性，包括版权声明等全部内容。未经作者允许，不得任意修改或者增减此文章的内容，不得以任何方式将其用于商业目的。

CSDN: 
https://rdyx0.blog.csdn.net/

公众号：儒道易行
https://mp.weixin.qq.com/mp/appmsgalbum?__biz=Mzg5NTU2NjA1Mw==&action=getalbum&album_id=1696286248027357190&scene=173&from_msgid=2247485408&from_itemidx=1&count=3&nolastread=1#wechat_redirect

博客:
https://rdyx0.github.io/

先知社区：
https://xz.aliyun.com/u/37846

SecIN:
https://www.sec-in.com/author/3097

FreeBuf：
https://www.freebuf.com/author/%E5%9B%BD%E6%9C%8D%E6%9C%80%E5%BC%BA%E6%B8%97%E9%80%8F%E6%8E%8C%E6%8E%A7%E8%80%85