ICode9

精准搜索请尝试: 精确搜索
首页 > 其他分享> 文章详细

pass the key

2021-11-25 23:31:41  阅读:90  来源: 互联网

标签:AES NTLM 补丁 mimikatz key pass KB2871997 2012


在 WinXP/2003/Vista/2008 ,以及未打 KB2871997 补丁之前(AES 不可用或不可替代)的 Win7/2008r2/8/2012 中强制使用 NTLM 哈希,AES 密钥只有在 8.1/2012r2 和打了 kb2871997 补丁的 7/2008r2/8/2012 中才可以替换,在这种情况下,你可以避免使用 NTLM 哈希。

上面的句子怎么理解?

1、WinXP/2003/Vista/2008 ,以及未打 KB2871997 补丁之前(AES 不可用或不可替代)的 Win7/2008r2/8/2012,这些环境我们都可以使用NTLM哈希传递

2、对于8.1/2012r2,安装补丁kb2871997的Win 7/2008r2/8/2012,可以使用AES keys代替NTLM来进行验证
什么是KB2871997

KB2871997:禁止本地管理员账户用于远程连接,这样就无法以本地管理员用户的权限执行wmi、psexec、schtasks、at和访问文件共享。

这个补丁发布后常规的Pass The Hash已经无法成功,唯独默认的 Administrator (SID 500)账号例外,利用这个账号仍可以进行Pass The Hash远程连接,即使administrator修改了名字

但是还可以通过AES密钥来替代NTLM验证进行横向的操作,其实这个补丁挺鸡肋的,不用AES密钥照样也可以用NTLM,只是需要Administrator(SID 500),都拿到机器了,Administrator还不容易吗?这个补丁唯一的好处就是减少存储在内存中的凭据数据,也就是让wdigest协议认证的凭据不会存储在lsass.exe,这样子当你dump lsass.exe的时候你就会发现,wdigest协议中的凭据你就看不到了!
利用条件:

1、需要AES265或者AES128的KEY,这两个均可以使用

2、使用的账号是administrator(SID是500);

3、本地使用mimikatz的时候需要管理员权限

4、PTK成功之后,访问目标资源:dir \主机名\c$
利用过程

1、获取AES KEY

mimikatz命令为:
mimikatz “log” “privilege::debug” “sekurlsa::ekeys” exit
在这里插入图片描述

2、Pass The Key

mimikatz命令为:
mimikatz.exe “privilege::debug” “sekurlsa::pth /user:administrator /domain:pentest.god /aes256:cb96aa47041edd1690aabc9e1852177d372104e906e42ff6f8ac7156133b17b9”

在这里插入图片描述
这里需要注意:dir \xxx.xxx.xxx.xxx\c$ 如果直接用IP会提示用户或密码不正确,直接使用机器名即可 dir \机器名\c$

在这里插入图片描述

标签:AES,NTLM,补丁,mimikatz,key,pass,KB2871997,2012
来源: https://blog.csdn.net/qingzhantianxia/article/details/121550106

专注分享技术,共同学习,共同进步。侵权联系[admin#icode9.com]

Copyright (C)ICode9.com, All Rights Reserved.

ICode9版权所有