NTLM Relay

参考：

NTLM Relay

08-Ntlm-Relay-Reloaded-Attack-methods-you-do-not-know.pdf

Exploiting Windows Network with Responder and SmbRelayX

D2T2 - NTLM Relay Is Dead Long Live NTLM Relay - Jianing Wang and Junyu Zhou.pdf

Exploitation with SMB Relay

NTLM Pass-Through Authentication

对于前面的实验虽然成功了，但是你可能很懵，前面实验中我并未详细介绍 NTLM Relay的技术细节，本小节就是为了介绍一些细节。

Lateral Movement via SMB Relaying

参考：

Lateral Movement via SMB Relaying（原文）

Overview of Server Message Block signing

在SMB 中，存在 SMB signing (签名) 机制，该机制保证了SMB 数据包在传输过程中不被修改，防御中间人攻击。

这也是该小节的主题，在没开启 SMB signing 时进行 SMB Relaying。

T1028: WinRM for Lateral Movement

参考：

内网横移之WinRM

Powershell Remoting

Lateral Movement – WinRM

WinRM（Windows Remote Management)是 WS-Management Protocol Microsoft 实现

这个协议有没有其他的实现？有，比如 openwsman，也就说在在linux也可以通过该协议管理Windows（跨平台）。

Ansible 通过该协议进行远程管理Windows

本来按计划应该学习横向移动，但是发现一个问题，如何横向？这就是我记录这一章的目的，提升权限之后获取凭证，利用已获取的凭证扩大战果才是正确的姿势，学习的主要资料是参考链接中的分享，建议阅读参考的原文，再次说明，我的只是笔记，记录我的学习过程中的所思所想。

本篇内容是内网安全攻防：渗透测试实战指南时的阅读笔记，笔记大部分内容均来自此书，另外一部分来源于一些公开文档和非公开文档，参考链接中均有注明。

本篇内容是内网安全攻防：渗透测试实战指南时的阅读笔记，笔记大部分内容均来自此书，另外一部分来源于一些公开文档和非公开文档，参考链接中均有注明。

注：该文为土司投稿注册文，原文3月份投稿，因为图床被退回一次，在这个时候4月底终于通过了。

该攻击方式在BlackHat 2014被提出，演讲者为Alva Duckwall & Benjamin Delpy（@gentilkiwi)进行了演示，该演讲提出了Kerberos协议实现过程中的设计逻辑缺陷，也就是说Windows所有使用Kerberos的场景中都可以进行此类攻击。

基于委派的测试

为什么突然跳怎么多，因为在之前Over-pass-key 的过程，偶然间发现有两张TGT和一张ST，一直不得其解，问了很多师傅也无法解释这个现象，一开始和Dlive的讨论过程中，解释了可能是非约束性委派，但当时我不懂委派，无奈放下，恰好上一篇联系到了daiker，索性把这个问题问了下，确认该现象就是约束性委派。由此我也准备学习下委派的相关知识。

MS14-068(CVE-2014-6324)

参考：

MS14-068域权限提升漏洞总结

深入解读MS14-068漏洞：微软精心策划的后门？——walkerfuz

Kerberos协议探索系列之票据篇——云影实验室

Microsoft 安全公告 MS14-068 - 严重

Kerberos Vulnerability in MS14-068 (KB3011780) Explained

Windows–protocol：Kerberos篇-PAC——daiker

注：建议必读daiker的这篇，相比起他的，我的就是皮毛

MS-PAC : Privilege Attribute Certificate Data Structure

注：建议阅读上面的参考链接，本文只是笔者学习前辈的分享记录所得。

对应的补丁为：KB3011780

参考：

Kerberos

前面是我的踩坑过程，后面是解决办法。

在Wireshark的SampleCaptures得到了一个Krb-816.zip的数据包，在指定文件中附带的密钥表文件之后，wireshark对Kerbeos流量进行了解密。

也就是说如果有密钥表文件，就能对Kerberos流量进行解密。