淺談 ( Pass the Hash ) PtH 與 PtT ( Pass the Ticket ) 攻擊對企業的衝擊（下）

繼上篇：淺談 PtH 與 PtT 攻擊對企業的衝擊（上），今天為各位帶來下篇的說明。

　　集中式管理最大的問題就在於過度的集中，讓攻擊者只需要專心致力於特定主機的破解或獲取，即可得到極大的效益。而最常見的攻擊過程分為下列幾個步驟：列舉資訊、破解、提升、執行、隱匿、掩蓋，而其中破解即是 PtH, PtT 的主軸，當然破解程序中可分為：

１．利用漏洞進入略過帳號密碼等驗證程序。

2．知道部份密碼，透過密碼擷取工具擷取出密文，離線暴力破解。

3．完全不知道密碼，但透過驗證協定的漏洞，將該使用者的身份強制取得。

　　單純的討論密碼破解，就可以分為知道密碼 ( 加密的密碼及未加密的密碼 ) 和不知道密碼，但不知道密碼怎麼還能利用它人的帳號呢? 這個就是靠偷!偷密碼的方式又分為網路上偷聽、本機上偷錄，或是引誘你自已提供密碼，像是網路釣魚。而前一個章節介紹的都是針對 NTLM 本身的缺點，而 PtT ( Pass the Ticket ) 也不惶多讓。Kerberos 有著完整的驗證機制，其運作的方式採用 Ticket 驗證，Kerberos 有 KDC ( Key Distribution Center )，而 KDC 又包含有兩個主要的單元：Authentication Server; AS 身份認證伺服器及 Ticket Granting Server; TGS 取票伺服器，而用戶端在接受認證時會由 AS 主機取得 Ticket Granting Ticket; TGT ，重點來了，這個 TGT 就是電影票未撕下存根聯的票卷。而完整的 TGT 發放流程如下圖所示：

１．使用者向 KDC 的 AS 發起要求取得 Tickets

２．使用者以 Password Hash 解出 TGT

３．取得 TGT 後，再次向 TGS 要求服務票卷

４．TGS 發予服務票卷

５．使用者將服務票卷丟遞給 File Server 要驗證

６．Client / Server 交談開始。

　　因此重點則在第二步驟所取得的 TGT，當我們將 TGT 取出，這個 TGT 最長有效期間為 10 小時，在這 10 小時之內都可以自由的利用 / 偽冒用戶端的存取權限，這個漏洞主要來自於 MS14-068  至今也快 2 年了，它最主要的問題在於可以直接在 Windows 7 以上的作業系統取出網域使用者、SID、網域位置及其Token，但值得一提的是 Windows XP 在這一波漏洞中竟然不在名單上！主因為 Windows XP 無法導入Ticket，因此若這個漏洞成功利用，可以將 Ticket 匯出且生成檔案，再將再安匯入到其它主機上，直接利用該使用者的身份存取資源。

( MS14-068 https://technet.microsoft.com/zh-tw/library/security/MS14-068 )

　　而因為這個漏洞是針對網域內的 KDC 而來，因此若被攻擊的標的是 DC 那麼其影響範圍就無法忽視。在 Ticket 提取過程中，可以透過 Mimikatz 直接提取，和 PtH 相同，必須先提升其權限，除了程式需以管理者身份執行外，尚必須輸入 Privilege::Debug ，接下來我們可以嘗試透過 mimikatz 導出 Ticke t，請執行 Sekurlsa::tickets / export，可以看到目前有發出的 tickets 均在下列目錄中被匯出。

　　在眾多的 ticket 中，有一個檔案名內代有 KRBTGT 字眼的檔案 ” [0;33d00]-2-0-40e10000-Administrator@krbtgt-BLACKJASON.COM.kirbi ” 我們將其複製到一台一般的網域成員中進行導入，執行指令為 Kerberos::ptt [0;33d00]-2-0-40e10000-Administrator@krbtgt-BLACKJASON.COM.kirbi

　　當我們輸入成功後，在一般的主機上即可存取原本無法存取的目錄，像是 c$ 或其它需要特殊權限的位置。

下圖為匯入前

下圖為匯入之後，原本身份認證不會通過，因為該帳號被設定為明確拒絕存取，但目前可以存取並列出該資料夾為空的！

　　當我們成功的取出 krbtgt 的 ticket 後，已經可以在網域中出入如入無人之境，只要再導出 golden Ticket、Silver Ticket 則完全不需要再經過 KDC 的 TGT 查核。

　　由上例我們知道不管是 PtH 或是 PtT ，都讓攻擊者在企業內部對資源予取予求，而對於網域內的安全有如此大的問題，我們該如何保護我們集中放的帳號資訊，是目前最難的課題，相較之下，做法是相對的消極，例如必須透過變更 2 次 krbtgt 的密碼，並且每一個修改均需將 DC 重開機，而且這個帳號密碼預設要經過 10 年才會過期，最常見的特徵有下列幾個，例如安全性識別碼 ( SID ) Administrator 的尾碼為 500，你會在安全性的稽核成功，事件代碼 4624、4672 中查得帳戶名稱為 administrator 但 SID 的尾嗎竟然不是500，或是來源登入 IP 錯誤，網域名稱變成 Mimikatz 的抬頭字眼 ( <3 oe.eo ~ ANSSIE> 或是 <3 eo.oe ~ ANSSIE>) ，這些都是被攻擊成功的特徵，但有誰能在茫茫 Log 海中快速的找出這些特徵，快速的將這些引發攻擊的來源找到並清除呢? 

　　用戶端的問題有這一些，隨著 Windows 10 的問世，也帶來更多增強的安全功能，讓 Windows 10 Enterprise 從開機即受到完整的個護，無論是你的認憑證、或是你的作業系統安全，由根開始防護，讓惡意程式永遠離你遠遠的!

延伸閱讀：

l   Kerberos 101 https://www.microsoft.com/taiwan/technet/columns/profwin/kerberos101.mspx

l   The Kerberos Network Authentication Service (V5) / RFC 1510 Sep. 1993 / Kohl & Neuman