欢迎来到 黑吧安全网 聚焦网络安全前沿资讯,精华内容,交流技术心得!

Microsoft Exchange任意用户伪造漏洞分析(CVE-2018-8581)

来源:本站整理 作者:佚名 时间:2018-12-25 TAG: 我要投稿

本文将详细分析Microsoft Exchange的任意用户伪造漏洞,该漏洞允许任何经过身份验证的用户冒充Exchange Server上的其他任意用户。
来自ZDI的Dustin Childs在不久前曾发表了关于Exchange漏洞的分析文章。尽管该漏洞可以用于某些工作场景的用户伪造,但更有可能的是,这一漏洞会被攻击者用于进行网络钓鱼、数据窃取或是其他恶意活动。在本文中,将深入分析这一服务器端请求伪造(SSRF)漏洞的详细信息,并复现了仿冒用户的方法。
漏洞详情
这一用户伪造漏洞,是由SSRF漏洞与其他漏洞相结合而产生的。Exchange允许任何用户为推送订阅(Push Subscription)指定所需的URL,服务器将尝试向这一URL发送通知。这一漏洞之所以存在,是因为Exchange Server使用CredentialCache.DefaultCredentials进行连接:

在Exchange Web服务中,CredentialCache.DefaultCredentials会以NT AUTHORITY\SYSTEM权限运行。这将导致Exchange Server将NTLM哈希值发送到攻击者的服务器。Exchange Server默认情况下还设置了以下注册表项:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableLoopbackCheck = 1
这样一来,就允许我们使用这些NTLM哈希值进行HTTP身份验证。例如,可以使用这些哈希值来访问Exchange Web服务(EWS)。由于它正在以NT AUTHORITY\SYSTEM权限运行,所以攻击者可以与TokenSerializationRight进行“特权”会话,然后利用SOAP头部模拟任何想要伪装的用户。
我们使用SID为S-1-5-21-4187549019-2363330540-1546371449-500的用户,伪装成管理员用户,其SOAP头部如下:

漏洞利用
在漏洞演示中,我们会使用到几个Python脚本:
1、serverHTTP_relayNTLM.py:从入站连接中,获取NTLM哈希值,并将其用于Exchange Web服务的身份验证;
2、Exch_EWS_pushSubscribe.py:使用URL,将推送订阅(Push Subscribe)Exchange Web服务调用到serverHTTP_relayNTLM.py之中。
各位读者可以在附录中找到这些脚本的源代码。此外,还需要Python中的python-ntlm模块。
漏洞利用的第一步,需要首先获取我们想要伪装的用户的SID。下面,将介绍一种可行的方案。
1、以授权用户的身份登录OWA。在这种情况下,我们以“attacker”(攻击者)的身份登录。

2、接下来,创建任意新文件夹。我们创建的文件夹名称为“tempFold”(临时文件夹)。单击菜单中的“Permissions…”(权限…)选项。

3、在这里,添加目标用户(受害者)的电子邮件地址以进行模拟。在示例中,我们的目标是victim@contoso.local。

4、现在,我们需要按F12键,并选择“Network Tab”(网络选项卡)。之后,再次在新文件夹的菜单中选择“Permissions…”(权限…)选项。

5、我们需要检查第一个service.svc?action=GetFolder请求的响应。要查看该内容,需要导航至:
Body->ResponseMessages->Items->0->Folders->0->PermissionSet->Permissions->N->UserId->SID
其中的N,在示例中是2(最近的一个),但在各位读者的实际尝试过程中,可以检查所有值,从而找到正确的一个。其中的PrimarySmtpAddress,应该是攻击目标。如果响应中不包含PermissionSet项,那么我们就应该查看其他的service.svc?action=GetFolder请求。

6、我们将在serverHTTP_relayNTLM.py脚本中使用该SID来模拟受害用户。此外,我们需要选择一个不太可能在受攻击者控制的计算机上被阻止的TCP端口,从而允许Exchange Server进行出站连接。例如,TCP/8080端口看上去是一个不错的选择。
现在,让我们使用真实场景中的信息,来修改serverHTTP_relayNTLM.py中的相应位置。

一旦脚本中具有正确的变量,我们就可以开始接下来的工作了。

7、下一步,是在Exch_EWS_pushSubscribe.py脚本中,设置适当的变量。

完成后,我们就可以执行该脚本。

[1] [2] [3] [4] [5] [6]  下一页

【声明】:黑吧安全网(http://www.myhack58.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱admin@myhack58.com,我们会在最短的时间内进行处理。
  • 最新更新
    • 相关阅读
      • 本类热门
        • 最近下载