python3 bloodyAD.py -d xie.com -u test -p P@ss1234 --host 10.211.55.4 addComputer machine 'root'
漏洞验证工具：https://github.com/SecuraBV/CVE-2020-1472
给机器添加RBCD的前提：1.自己能给自己添加 2.ACL→Account Restriction/msDS-AllowedToActOnBehalfOfOtherIdentity属性→creator-sid/backdoor/high level user。如果对计算机对象/域用户具Account Restriction和msDS-AllowedToActOnBehalfOfOtherIdentity属性的WriteProperty，就能进行基于 资源约束委派的利用。
由于微软在Netlogon协议中没有正确使用加密算法而导致的漏洞，Netlogon协议身份认证采用了挑战-响应机制，微软在进行AES加密运算过程中，使用了AES-CFB8模式并且错误的将IV设置为全零，这使得攻击者在明文(client challenge)、IV等要素可控的情况下，存在较高概率使得产生的密文为全零，从而可以达到将机器用户hash置空。
0x0 背景 初次认识该漏洞是在FreeBuf上对该漏洞的预警《漏洞预警：系统权限提升漏洞（CVE-2014-6324）影响全版本Windows服务器》： 微软今天（2014-11-18）发布了一个紧急补丁，修复了一个影响全部版本Windows服务器的严重漏洞。今天发布的MS14-068漏洞补丁用于解决Microsoft Windows Kerberos KDC漏洞（CVE-2014-6324），该漏洞允许黑客提升任意普通用户权限成为域管理员（Domain Admin）身份。也就是说，你在一台普通域用户的机
2021年11月9日，微软发布11月份安全补丁更新。在该安全补丁更新中，修复了两个域内提权漏洞CVE-2021-42287/CVE-2021-42278。但是当时这两个漏洞的利用详情和POC并未公布出来，因此并未受到太多人关注。
在拿到域管理员权限之后，通常会提取所有域用户的密码Hash进行离线破解和分析，或者通过Hash传递等方式进一步横向渗透。这些密码Hash存储在域控制器数据库文件中（C:\Windows\NTDS\NTDS.dit），并包含一些附加信息，如组成员和用户。
在域渗透的过程中，我们往往只会关注Domain admins组和Enterprise Admins组，而会忽略了其它组。今天，我们要讲的是Account Operators组。该组是内置的本地域组。该组的成员可以创建和管理该域中的用户和组并为其设置权限，也可以在本地登录域控制器。但是，不能更改属于Administrators或Domain Admins组的账号，也不能更改这些组。在默认情况下，该组中没有成员。也就是说，该组默认是域内管理用户和组的特殊权限组。可以创建和管理该域中的用户和组并为其设置权限，也可以在本地登录
是将域用户的权限委派给服务账号，委派之后，服务账号就可以以域用户的身份去做域用户能够做的事
Impacket 工具包是红队人员内网横向使用频率最多的工具包之一，而Impacket 是一个标准 Python 类库，用于对 SMB1-3 或 IPv4 / IPv6 上的 TCP、UDP、ICMP、IGMP，ARP，IPv4，IPv6，SMB，MSRPC，NTLM，Kerberos，WMI，LDAP 等协议进行低级编程访问。在 impacket 工具包中用到最多的协议就是 smb 协议，SMB 是一种网络协议，也称为服务器消息块协议，它被用于在客户端和服务器之间进行通信，它 还可以用来共享文件，打印机和其他一些网络资源。其次就是 MSRPC，MSRPC 或 Microsoft 远程过程调用是 DCE / RPC 的修改版本，它是由 Microsoft 创建的，用于在 Windows 中无缝创建客户端/服务器模型，Windows Server 域协议完全基于 MSRPC。
2019年6月11日，微软发布6月份安全补丁更新。在该安全补丁更新中，对 CVE-2019-1040 漏洞进行了修复。该漏洞存在于Windwos 大部分版本中，当中间人攻击者能够成功绕过NTLM 消息完整性校验（MIC）时，Windows 存在可能可篡改的漏洞。成功利用此漏洞的攻击者可以获得降级 NTLM 安全功能的能力。要利用此漏洞，攻击者需要篡改NTLM 交换，然后修改NTLM 数据包的标志，而不会使签名无效。结合其他漏洞和机制，在某些场景下，攻击者可以在仅有一个普通账户域账户的情况下接管全域。
即Pass-The-Hash，首先我们来说下为什么要使用HASH传递，一是再目标机>=win server 2012时，lsass.exe进程中是抓不到明文密码的，二是随着信息安全意识的提高，弱口令情况逐渐降低，我们经常会遇到拿到hash却解不开的情况，综上，只有hash，我们依然可以正常登录。
本篇文章我们主要介绍AD CS攻击系列中的中继攻击的基本原理和攻击手法进行简单阐述~
前提条件： 1、需要域环境下一台主机普通用户账号密码 2、一台主机的管理员权限
在域环境中，不同域控制器（DC）之间，每 15 分钟都会有一次域数据的同步。当一个域控制器（DC 1）想从其他域控制器（DC 2）获取数据时，DC 1 会向 DC 2 发起一个 GetNCChanges 请求，该请求的数据包括需要同步的数据。如果需要同步的数据比较多，则会重复上述过程。DCSync 就是利用的这个原理，通过 Directory Replication Service（DRS） 服务的 GetNCChanges 接口向域控发起数据同步请求。
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，Kerberos_TGS，GPO&DACL，域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。
CVE-2020-1472是一个windows域控中严重的远程权限提升漏洞，攻击者通过NetLogon，建立与域控间易受攻击的安全通道时，可利用此漏洞获取域管访问权限。
这里有绝对路径的情况下，可直接写入webshell。这里使用sqlmap os-shell的功能
与标准用户帐户相比计算机帐户的名称末尾附加了$符号，默认情况下Microsoft操作系统缺乏可以防止许多攻击的安全控制和强化措施，此外多年来已经证明Windows生态系统中许多事物工作方式可以通过利用现有功能和工作流程来实现滥用
当请求服务 ST 的账户没有被 KDC 找到时，KDC 会自动在尾部添加 $ 重新搜索。创建与DC机器账户名字相同的机器账户（不以$结尾），账户请求一个TGT后，更名账户，然后通过S4U2self申请TGS Ticket，接着DC在TGS_REP阶段，这个账户不存在的时候，DC会使用自己的密钥加密TGS Ticket，提供一个属于该账户的PAC，然后我们就得到了一个高权限ST。
大家好，这里是 渗透攻击红队 的第 69 篇文章，本公众号会记录一些红队攻击的案例，不定时更新！请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关！
微软官方在2014年11月18日发布了一个紧急补丁，Windows全版本服务器系统受到影响，包括Windows Server 2003，Windows Server 2008，Windows Server 2008 R2，Windows Server 2012和Windows Server 2012 R2，修复了Microsoft Windows Kerberos KDC(CVE-2014-6324),该漏洞可导致活动目录整体权限控制受到影响，漏洞允许黑客将域内任意用户权限提升至域管理级别。通俗来讲，就是恶意攻击者获取域内任何一台计算机shell权限，同时还知道任意一名域用户用户名、sid、密码，即可拿下域管理员进而拿下域控制器，最后拿下整个域权限。
第一段用户代码定义了函数，第二段用户代码执行函数（不要问为什么这么做，因为用户永远是正确的）。第一个代码段执行后，func_a和global_a都会被加入作用域scope，由于第二个代码段也使用同一个scope，所以第二个代码段调用func_a是可以正确输出123的。
kerberos是由MIT为雅典娜项目开发，整个项目目标是为了整合sso、network file systems、A unified graphical environment、naming convention service，从而达到学生和教职工能随时访问MIT的一万多台工作站。其中kerberos主要是为了解决其中的sso认证的问题
RemotePotato是Antonio Cocomazzi和Andrea Pierini发现的一种域内攻击技术，它允许攻击者将域用户权限提升到Enterprise Admin组内，此技术执行跨协议中继以实现NTLM Relay攻击，并将提升的NTLM身份验证流量中继到域控制器以实现权限提升。
本次多层网络域渗透项目旨在模拟红队攻击人员在授权情况下对目标进行渗透，从外网打点到内网横向穿透，最终获得整个内网权限的过程，包含Log4j2漏洞，MS17-010，CVE-2020-1472，CVE-2021-42287/CVE-2021-42278以及一些痕迹清理的思路等等。 文中若有不当之处，还望各位大佬多多点评。 请注意： 本文仅用于技术讨论与研究，对于所有笔记中复现的这些终端或者服务器，都是自行搭建的环境进行渗透的。我将使用Kali Linux作为此次学习的攻击者机器。这里使用的技术仅用于学习教育目
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，Plink，DCOM，Kerberos_TGS，GPO&DACL， 域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。
0x01MS08-067 RPC远程缓冲区溢出导致的远程代码执行漏洞 适用：Windows 2000;XP;Server 2003;Vista;Server 2008;7 Beta use exploit/windows/smb/ms08_067_netapi #使用模块set rhosts 172.16.5.27 #设置靶机ipset lhost 172.16.5.28 #设置本地ipset payload generic/shell_bind_tcp #设置pay
2020年08月11日，微软MSRC官方发布了NetLogon特权提升漏洞的安全通告，该漏洞编号为 CVE-2020-1472，漏洞等级：严重， CVSS 评分：10.0。该漏洞由Secura公司的Tom Tervoort发现提交，因此被命名为ZeroLogon。
NTLM Relay大家已经不再陌生了，很多时候我们通过NTLM Relay进行攻击时，会受到协议签名(ldap/s、smb等协议签名)的影响从而导致攻击失败，并且随着时间的流逝，我们想要遇到忽略签名的smb等服务也变得越来越困难了，我们有哪些方法来忽略服务端验证签名的影响从而达到我们relay攻击的目的呢？
域委派是指将域内用户的权限委派给服务账号，使得服务账号能以用户的权限在域内展开活动。
机器账户在许多技术中可以用于提权或横向移动，如使用机器账户的委派进行dcsync，使用机器账户也可进行维权操作。我们可以将任意计算机账户添加到高权限组(例如Domain Admin、Domain Controllers、Enterprise Admins) 或对计算机账户的userAccountControl属性进行修改。使用这两种方式，我们可以通过机器账户在域内进行身份认证（因为密码已知）并进行提权操作，例如Dcsync拖取域内hash。
ADenum是一款功能强大的渗透测试工具，在该工具的帮助下，广大研究人员可以轻松通过LDAP协议发现和寻找网络环境中跟Kerberos有关的安全问题。
在Python程序中声明、改变、查找变量名时，都是在一个保存变量名的命名空间中进行中，此命名空间亦称为变量的作用域。python的作用域是静态的，在代码中变量名被赋值的位置决定了该变量能被访问的范围。即Python变量的作用域由变量所在源代码中的位置决定. 变量作用域之LENGB
域委派是指将域内用户的权限委派给服务账号，使得服务账号能以用户的权限在域内展开活动。 简言之：当A访问服务B时，服务B拿着A用户的凭证去访问服务C，这个过程称为委派。
如果已经获得本地管理员账号或是域管理员账号，那么下一个目标通常是域控制器，对于渗透测试人员来说，光荣与荣耀的那一刻就是成功从域控制器提取所有的哈希值。但即使是拥有管理员权限，也无法读取域控制器中存储的c:\Windows\NTDS\ntds.dit文件，因为活动目录始终访问这个文件，所有文件被禁止读出。下面介绍几种常用提取ntds.dit的方法。
ProxyShell是Exchange的最新漏洞，CVE编号为CVE-2021-34473(远程代码执行)、CVE-2021-34523(特权提升)、CVE-2021-31207(安全绕过漏洞)，有兴趣的师傅可以自行去google、twitter等找找相关文档。
IPC，WMI，SMB，PTH，PTK，PTT，SPN，WinRM，WinRS，RDP,Plink，DCOM，SSH；Exchange，LLMNR投毒，NTLM-Relay,Kerberos_TGS，GPO&DACL，域控提权漏洞，约束委派，数据库攻防，系统补丁下发执行，EDR定向下发执行等。
Netlogon远程协议是一个远程过程调用（RPC）接口，用于基于域的网络上的用户和计算机身份验证。Netlogon远程协议RPC接口还用于为备份域控制器（BDC）复制数据库。
Oh365UserFinder是一款功能强大的信息枚举工具，该工具基于Python 3开发，主要针对的是Office365用户信息安全。该工具可以帮助广大用户和研究人员识别有效的Office365账号和域，而且整个过程不会让目标账号暴露在安全风险之中或导致账户被锁定。
内网渗透 | Kerberos 协议与 Kerberos 认证原理 内网渗透 | Kerberos 协议相关安全问题分析与利用
用 C 族语言(C、C++、Java、C# 等)编写的程序。)需要main()功能来指示执行的起点。
bug指由于编程出现的一些问题，异常是指由于某些不可控原因或用户操作等问题造成的。
全民制作人大家好，我是学习python两天半的练习生王忘杰，喜欢路由交换、linux、网络安全，开整！在此之前我并没有编程经验，对于python我花了半天时间看了www.runoob.com/python3的教程，看完第五节基本语法，发现python与bash脚本基本相同，因此安装完PyCharm后直接开始了代码编写。
本次多层网络域渗透项目旨在模拟渗透测试人员在授权的情况下对目标进行渗透测试, 从外网打点到内网横向渗透, 最终获取整个内网权限的过程.
在红队操作期间收集域用户的凭据可能导致执行任意代码，持久性和域升级。但是，通过电子邮件存储的信息对组织来说可能是高度敏感的，因此威胁行为者可能会关注电子邮件中的数据。这可以通过向目标用户的邮箱添加规则来实现，该规则将电子邮件转发到攻击者控制的收件箱，或者将邮箱的访问权委托给他们的Exchange帐户。
在impacket进行域渗透中，通过MS-SAMR协议实现net user和net group的功能，能方便在渗透过程中，如果域内没有可控的windows主机，但能通过web手段获取到域内用户账号的情况下，来对用户权限、用户信息和组信息进行收集。
说明：梦里项目，相关信息如ip，域名，账户等信息都是后期编的，可能会出现文不对题，不要纠结细节。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
对象存储
云直播
