【技术分享】从hash传递攻击谈相关Windows安全机制-安全客

作者：existX@Syclover（三叶草安全技术小组）

预估稿费：400RMB

投稿方式：发送邮件至linwei#360.cn，或登陆网页版在线投稿

前言

path-the-hash,中文直译过来就是hash传递，在域中是一种比较常用的攻击方式。在网上所找到的资料，大多数是介绍如何实现此类攻击，但对于它背后所隐藏的关于Windows安全机制的一些知识，却鲜有探讨。本文的目的就是从pass-the-hash这一古老的话题切入，由攻击过程中Windows的行为引出它背后的安全机制，让大家对Windows有更深入的了解。

攻击方式

通常来说，pass-the-hash的攻击模式是这样的：

获取一台域主机高权限

利用mimikatz等工具导出密码hash

用导出的hash尝试登陆其他域主机

下面简单演示一下一般的攻击方法：

mimikatz抓取密码

传递hash

可以看到，已经能够访问到远程的机器了。

一个试验引出的问题

虽然pth是一个比较老的套路了，但实际上关于这个话题能谈到的还有很多。其中值得注意的包括微软发布的补丁kb2871997。据说这个补丁能够阻止pth，并且还能阻止mimikatz抓取明文密码。

有意思的是，事情并不是那么简单，我们做一个实验：

攻击机:192.168.1.109

windows server 2008 r2

靶机:192.168.1.103

windows server 2008 r2

这里有两点需要注意，一是pth所使用的账户User并不是RID为500的账户，但它是本地管理员组的成员，二是这并非在域环境中进行实验，所有的账户都不是域账户

首先在靶机上查看一下补丁情况

可以看到，没有安装kb2871997

然后在攻击机上传递hash

提示拒绝访问

接下来我们再尝试以RID为500的Administrator用户pth，

这下成功了。那如果我们在域环境下，使用域账户情况又如何呢？

这次使用域账户User，User是一个RID非500的域管理员组成员

从上面的实验中我们可以得出一个结论：即便没有打KB2871997，windows server 2008 r2依然阻止了RID非500，也即非内置管理员账户的远程登陆，但这条规则对于域账户并不适用。下面我们来深入探究原因。

UAC与令牌完整性

微软在文章Description of User Account Control and remote restrictions in Windows Vista中提到：

When a user who is a member of the local administrators group on the target remote computer establishes a remote administrative connection…they will not connect as a full administrator. The user has no elevation potential on the remote computer, and the user cannot perform administrative tasks. If the user wants to administer the workstation with a Security Account Manager (SAM) account, the user must interactively log on to the computer that is to be administered with Remote Assistance or Remote Desktop.

根据微软的描述，当一个本地管理员组的用户远程登陆时，它不是以一个“完全”的管理员身份登陆。什么是“完全”呢？

在Pass-the-Hash Is Dead（强烈推荐！）中，有这么一段话：

for any non-RID 500 local admin account remotely connecting to a Windows Vista+ machine, whether through WMI, PSEXEC, or other methods, the token returned is “filtered” (i.e. medium integrity) even though the user is a local administrator. Since there isn’t a method to remotely escalate to a high-integrity context, except through RDP (which needs a plaintext password unless ‘Restricted Admin’ mode is enabled) the token remains medium integrity. So when the user attempts to access a privileged resource remotely, e.g. ADMIN$, they receive an “Access is Denied” message despite technically having administrative access. I’ll get to the RID 500 exception in a bit

以作者的观点来看，返回的令牌被过滤了，它仅有一个“中等完整性”。也就是说，这个令牌不是“完全”的。这里的完全，就是指令牌的完整性级别。

完整性级别

“……完整性级别能够修改自主访问行为，以便区分以同一用户身份运行，并被同一用户拥有的不同进程和对象，从而提供在同一用户账户内隔离代码和数据的能力。强制完整性级别（MIC,mandatory integrity control）机制通过把调用者关联到一个完整性级别，让SRM能够得到调用者自身属性的更详细信息。它给要访问的对象定义了一个完整性级别，从而指出了要访问该对象的调用者必须拥有的信任信息。” ——《深入解析windows操作系统第六版（上册)》.P.487

以我的理解来讲，当一个用户登陆到windows操作系统中时，所属他的进程在访问不同的对象时，操作系统必须确认它有访问此对象的权限。通过赋予完整性级别这一属性，各对象能够被区分开，并能控制访问的行为。完整性级别是通过一个SID来指定的，系统使用了五个主要级别：

既然以SID的方式定义了完整性级别，那么它就应该存在于用户的令牌中。一个访问令牌的基本结构如下：

实际上，代表完整性级别的SID包含在组SID中。一个进程或线程拥有一个令牌，当它请求访问一个对象时，Windows内核中的SeAccessCheck函数会进行完整性检查。如果它的完整性级别等于或高于请求的对象，它就可以对此对象进行写入操作。但当一个进程或线程想要打开另一个进程或线程时，它不仅要满足完整性检查，还要拥有DACL的授权。

进程与对象的访问权

UAC

UAC大家应该都很熟悉。简单来说，UAC的目的就是让用户以标准的权限，而非管理员权限来执行操作。它能够在一定程度上阻止恶意软件的运行。在我们的印象中，UAC似乎只是对本地使用计算机进行了限制，但事实上，微软也考虑了UAC对远程登陆的安全限制。在微软的知识库文章中，它认为应该保护本地管理员免受来自网络的攻击，因此对网络施加了UAC限制。同时，微软也提到了：

A user who has a domain user account logs on remotely to a Windows Vista computer. And, the domain user is a member of the Administrators group. In this case, the domain user will run with a full administrator access token on the remote computer, and UAC will not be in effect.

在我们的实验中，由于UAC的限制，我们无法以一个高完整性的令牌来登陆远程主机，因而pth攻击并不会成功；而在域环境中，我们以管理员组身份远程登陆时，将会得到一个高完整性的令牌，UAC对我们的行为并不加以限制。文章中也提到了解决问题的方法，通过设置LocalAccountTokenFilterPolicy的值为1来取消UAC的限制。这个键默认并不存在，需要在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem下手动创建。顺便一提，UAC的设置就保存在HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionPoliciesSystem中。通常我们要更改UAC设置并不需要直接修改注册表，而是通过控制面板中的更改用户账户控制设置来更改。下图即为更改用户账户控制设置：