单个森林之PetitPotam漏洞利用

文章预览

点击星标， 即时接收最新推文 本文选自《内网安全攻防：红队之路》    Petitpotam漏洞通过使用MS-EFSRPC协议触发一个认证，使得域用户可以接管域控。该漏洞是由于EFSRPC API的EfsRpcOpenFileRaw函数中的路径检查不完善，导致攻击者可以在fileName参数中传递任何值，如攻击者的IP地址，以强制目标主机发起一个认证，如下图所示。  Petitpotam漏洞代码 为了能接管域控制器，我们需要利用这个漏洞和NTLM中间人攻击来捕获所需的哈希或证书。这种攻击的理想的目标就是配置了接受NTLM验证的服务器，比如Active Directory Certificate Services (AD CS)在安装了Web Enrollment roles角色时。    一个典型的攻击场景是强制域控制器向配置了NTLM中继的攻击者机器进行认证。然后认证被转发到CA，请求一个证书。当CA为域控创建证书后，攻击者使用NTLM中继捕获它，并用来伪冒域控的机器 ………………………………