任意SID注入ACL利用
2022-9-7 18:4:3 Author: M01N Team(查看原文) 阅读量:19 收藏

简介

在为Windows安全对象添加ACL信息时,通常ACL中可选择和显示的都是Windows账户名称,但Windows系统实际是根据SID来识别不同账户的,因此也可以通过账户的SID为索引添加或修改文件ACL。令人意外的是,实际上在添加或修改ACL时可以使用任意的SID值,即使该SID不存在。

01 初期障碍

正常情况下通过GUI添加ACL时,用户无法添加当前主机搜索不到的账户,搜索的范围包含了所有当前主机和所在域的安全账户和账户组,因此无法添加不存在的用户。同时作者能够找到Windows自带的ACL修改工具也都是通过选择的方式添加账户的,所以在编辑ACL时要想使用任意SID,要解决的第一个问题是如何直接写入SID。

C#的库System.Security.AccessControl可以提供对ACL操作的支持,而且可以通过指定SID修改ACL信息,借助该库可以实现ACL注入任意SID。这里需要指出的是,任意SID可以是当前存在或未来会存在的SID,也可以是完全不存在的SID。图中文件夹的安全属性中的包含一条未知账户(S-1-5-21-1337-1337-1337-500)的ACL信息,该SID是一个随意编造的SID。

02 利用方法

1.SID预测

注入任意SID的第一种利用方法是通过预测未来的SID实现权限维持,使用下述powershell命令查看当前域SID的序列。

(([adsisearcher]"(objectSid=*)").FindAll()).Properties.objectsid | ForEach-Object {(New-Object System.Security.Principal.SecurityIdentifier($_,0)).Value}

由于SID为自动编号的值,根据现有的账户SID值加1即为下一个新账户的SID为S-1-5-21-617395494-2047742401-2013338591-1168,在1.txt中为1168写入一条ACL并授予其完全访问控制权限,由于目前该SID的账户还不存在,因此系统无法识别该账户只显示SID。

下面创建一个新的账户占用下一个SID。

在主机上查询一次该SID后,文件的安全属性会发生变化,之前的SID变成刚刚创建的新账户名称。

2.利用已删除账户SID

影子账户是一种比较古老的SID相关攻击,简述一下就是通过将账户A的注册表信息复制到账户B后,操作系统会将账户B当作账户A,账户B就像账户A的影子一样,故称影子账户。

如果把账户A的注册表信息保存下来,然后删除账户B。那么账户A相关的ACL信息都无效,但是只需将账户A的注册表信息复制到账户B,那么原有的账户B会继承账户A的权限。以往这个攻击方法的缺陷是新建的安全对象无法添加已删除账户A的ACL,但是结合任意SID注入ACL可以弥补这个缺点。图中账户bob是已经删除的账户,账户xx3是bob的影子账户,插入账户xx3的信息后显示的是bob的ACL信息。

影子账户结合任意SID注入ACL的利用流程如下

SID History相当于用户的第二个SID,是域环境中的一个传统的权限维持手段。有趣的是,SID History字段也可以写入任意SID。将已删除的SID写入安全对象的ACL中,因为账户被删除ACL无效。然后通过将已删除账户A的SID写入账户B的SID History,则账户B会继承该已删除账户A的权限,使得被删除的ACL成为账户B的ACL。将SID History与任意SID注入可以实现进一步的隐匿,与影子账户的效果类似。图中是成功将一个捏造的SID:S-1-5-21-617395写入账户roast SID History字段。

下面是SID History与任意SID写入ACL结合的示例。在账户test的SID History中写入为账户Bob的SID值S-1-5-21-617395494-2047742401-2013338591-1150。

使用Bob的SID写入文件2.txt的ACL,为Bob添加文件的完全控制权限。

首次查看文件的ACL信息发现同时存在Bob与Test,但是删除账户Bob后由于Bob的SID被写入了Test的SID History,Test继承了原来Bob拥有的ACL。

SID History攻击结合任意SID注入ACL的利用流程如下

03 攻击利用面

1.权限维持

在AD域中结合对活动目录注入任意SID的ACL可以实现权限维持,具体的活动目录对象和权限可以根据自身的需求选择,以下是几个示例:

1.高权限组如Domain Admins组的账户CreateChild权限,可将任意账户添加为域管理员

2.域的DS-Replication-Get-Changes、DS-Replication-Get-Changes-All和DS-Replication-Get-Changes-In-Filtered-Set权限,可以进行DCSync攻击

3.任意域管理员账户的User-Force-Change-Password权限,可直接重置域管理员的密码

这里以添加DCSync权限为例,首先为未来账户RID1170的账户添加该权限,添加成功后查看发现ACL中显示未知账户

下一步进行测试,新建一个账户1170以启用该SID,再次查看ACL信息发现账户为现有账户

使用刚创建的账户1170进行DCSync,成功获得administrator账户的密码

2.不死马

除了权限维持之外,利用该攻击还能够实现不死马,操作方法和效果如下:

1.在木马文件中插入未知SID的ACL信息

2.删除文件的继承权限

3.删除其他SID的ACL信息

4.修改文件的所有者

完成上述操作后,该文件无法被任何人查看修改或删除。只有当插入的SID生效时才能显示所有者,通过控制插入SID的账户可以操作该文件。

但是该文件并非真正的不死马,因为在Windows系统中本地管理员可以强制修改文件的所有者,一旦成为了文件的所有者就可以查看和编辑ACL信息。

04 总结

本文主要介绍了ACL中的SID任意注入攻击的利用方法和攻击利用面。但是SID的利用方法可能不止目前提到的两种,其攻击利用面也不只局限于活动目录和文件。希望本文能起到抛砖引玉的作用,帮助其他安全研究员发现新的有效攻击方法。

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括:漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术,以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究,以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术,从攻击视角提供识别风险的方法和手段,为威胁对抗提供决策支撑。

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群


文章来源: http://mp.weixin.qq.com/s?__biz=MzkyMTI0NjA3OA==&mid=2247489581&idx=1&sn=ee73321dc379995859c3aa36b091da0e&chksm=c187d83cf6f0512ac7b6e9f7756ec004173614c067f17414c7b6895e2af6471a318b915eac1c#rd
如有侵权请联系:admin#unsafe.sh