Passa l'hash ad identificarsi come utente del dominio invece di rimanere bloccato come NT Authority \ System

Question

Passa l'hash ad identificarsi come utente del dominio invece di rimanere bloccato come NT Authority \ System

#1 da (1 voti)
#2 da (0 voti)

0

Recentemente ho scoperto che il passaggio dei cred di amministratore locale e amministratore di dominio a una macchina Windows 7 remota produce lo stesso risultato: accesso a quella macchina come NT Authority \ System. L'unico modo che ho trovato per ottenere i diritti di amministratore di dominio sul computer remoto è attraverso la rappresentazione di token. Sicuramente c'è un modo più semplice per identificare come amministratore di dominio dopo aver superato i crediti? Ho usato il modulo psexec di metasploit e connesso tramite la condivisione Admin $. Ho anche fornito i nomi di dominio e i credenziali di amministratore di dominio, ma dopo aver eseguito "getuid" in meterpreter, ero ancora identificato come autorità locale \ system.

attacks metasploit

posta Sergtal 14.09.2016 - 21:41

fonte

2 risposte

Leggi altre domande sui tag attacks metasploit

Come conservare una password WS su Android senza rischi o riducendo il rischio? Trasmissione di informazioni crittografate a SaaS tramite AES

score 1 · Answer 1

Il motivo per cui ti sta accadendo è dovuto al modo in cui funziona psexec. Psexec usa le tue credenziali per creare un servizio sul computer remoto usando il controllo dei servizi di dcerpc. I servizi di default useranno l'entità di sistema come loro token di processo. A questo punto, come posso recuperare i miei diritti di amministratore, supponendo che tu non abbia hash, tgt o password - non puoi. Perché?

Le credenziali sono progettate non passate sul filo, solo un hash di risposta alla sfida (ntlm) di un tgs è passato tra host, il che significa che anche se l'host accetta le tue credenziali non sarai in grado di usarle da quell'host ad altri host. Se si richiede solo l'accesso locale con l'utente amministratore, è possibile utilizzare wmi come metodo di esecuzione remoto (ma anche quello è un accesso di rete che non consente l'inoltro di credenziali ad altri host)

score 0 · Answer 2

Non credo che uno sia "identificato" da NT AUTHORITY \ SYSTEM. NT AUTHORITY e SYSTEM non sono account o gruppi. Gli account utente contribuiscono con il loro SID come SID primario al token di accesso ma il token di accesso può contenere altri SID, la maggior parte delle utilità / strumenti riflettono il SID principale nelle uscite e simili, ma quando è richiesta un'autorizzazione Windows cercherà qualsiasi SID che abbia il richiesto autorizzazione associata a quel token.

Il SID definisce solo un insieme di permessi, non è necessario definire utenti o gruppi. NT AUTHORITY \ SYSTEM può essere aggiunto agli account per diventare il SID principale per tali account e verrà visualizzato in Task Manager come SYSTEM per le attività che lo hanno come SID principale. ma questo non è un utente.