返回

AD信息枚举，用户特权滥用：seloaddriverprivilege

后端

<br>



免责声明：

本文章旨在帮助网络安全从业人员了解AD信息枚举和用户特权滥用攻击技术，以更好地预防和抵御此类攻击。任何非法使用该信息的直接或间接后果均与作者无关。

服务探测：

使用Netcat或其他网络扫描工具扫描目标主机的端口，以确定开放的端口和服务。

查看开启端口：

使用以下命令列出开放的端口：

netstat -ant | grep LISTEN

查看端口详细信息：

使用以下命令查看端口详细信息：

netstat -ant | grep 80

显然是一台DC，域名：fabricorp.local：

使用以下命令确定目标主机的域名：

nslookup fabricorp.local

web 80端口打开跳到一个域名，把域名添加到host文件：

将目标主机的域名添加到host文件中，以便能够访问其web服务：

echo "10.10.10.1 fabricorp.local" >> /etc/hosts

添加防火墙规则允许端口转发：

使用以下命令添加防火墙规则，允许端口转发：

iptables -t nat -A PREROUTING -p tcp --dport 80 -j DNAT --to-destination 127.0.0.1:8080

启动端口转发：

使用以下命令启动端口转发：

socat TCP-LISTEN:8080,reuseaddr,fork TCP:127.0.0.1:80

通过Burp Suite进行请求重发：

使用Burp Suite拦截并重发请求，以便对其进行分析和修改。

识别SELocalLoadDriverPrivilege漏洞：

检查目标主机上是否启用了SELocalLoadDriverPrivilege漏洞。该漏洞允许普通用户在内核模式下加载驱动程序，从而获得系统特权。

利用SELocalLoadDriverPrivilege漏洞：

使用PowerSploit框架或其他工具利用SELocalLoadDriverPrivilege漏洞，以获得SYSTEM权限。

枚举域信息：

使用以下命令枚举域信息：

net view /domain

枚举域用户：

使用以下命令枚举域用户：

net user /domain

枚举域组：

使用以下命令枚举域组：

net group /domain

枚举域计算机：

使用以下命令枚举域计算机：

net computer /domain

滥用域管理员权限：

使用域管理员权限创建新用户、修改用户密码、添加用户到组等，以控制域环境。

传播攻击：

使用域管理员权限在域内传播攻击，以控制更多主机。

防御措施：

禁用SELocalLoadDriverPrivilege漏洞。

限制用户权限。

实施最少特权原则。

使用强密码。

定期更新系统和软件。

实施网络分段。

部署入侵检测系统和入侵防御系统。