新西兰服务器

如何在MicrosoftExchange上冒充用户


如何在MicrosoftExchange上冒充用户

发布时间:2021-12-22 23:48:34 来源:高防服务器网 阅读:94 作者:柒染 栏目:安全技术

如何在MicrosoftExchange上冒充用户,相信很多没有经验的人对此束手无策,为此本文总结了问题出现的原因和解决方法,通过这篇文章希望你能解决这个问题。

写在前面的话

   今天,我们一起看一看攻击者(未经身份验证的用户)如何利用这个Exchange漏洞来在Exchange服务器上冒充合法用户并进行恶意操作。

那么接下来我们直奔主题,我们将给大家详细分析这个服务器端请求伪造(SSRF)漏洞,并演示攻击者如何伪装成合法用户。

漏洞分析

在实施攻击的过程中,攻击者需要利用一个SSRF漏洞并结合其他安全缺陷来实现身份伪装。Exchange允许任意用户指定URL地址来实现订阅推送,而服务器会直接尝试向这个URL地址发送通知。漏洞之所以存在,是因为Exchange服务器使用了CredentialCache.DefaultCredentials来进行网络连接:

在Exchange Web服务中,CredentialCache.DefaultCredentials是以NT AUTHORITYSYSTEM权限运行的。这将导致Exchange服务器向攻击者的服务器发送NTLM哈希。Exchange服务器还会默认设置下列注册表键:

HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlLsaDisableLoopbackCheck= 1

此时,攻击者将能够使用这些NTLM哈希来进行HTTP身份验证。比如说,他们可以使用这些哈希来访问Exchange Web服务(EWS)。因为它是以NT AUTHORITYSYSTEM权限运行的,攻击者就可以利用TokenSerializationRight获取到特权“会话”,并使用一个SOAP头来冒充特定用户。

下面给出的SOAP头样本中,攻击者使用了SID(S-1-5-21-4187549019-2363330540-1546371449-500)来伪装成管理员用户:

漏洞利用

为了方便演示,我们使用了下面这两个Python脚本:

1、 serverHTTP_relayNTLM.py:它可以从入站连接中获取NTLM哈希,并将其用于EWS身份验证。

2、 Exch_EWS_pushSubscribe.py:让PushSubscription调用我们的serverHTTP_relayNTLM.py。

脚本下载地址:【传送门】(还需Python-ntlm模块)

首先,我们需要获取到目标用户的SID,大致方法如下:

1、 以认证用户的身份登录OWA:

2、 接下来,创建新的文件夹,我们这里使用“tempFold”。点击下拉菜单中的“Permissions”:

3、 添加需要冒充的用户电子邮件地址,这里我们使用victim@contoso.local:

4、 按下F12键,选择“Network”标签,然后再次点击新创建文件夹下拉菜单中的“Permissions”:

5、 我们需要检查第一个service.svc?action=GetFolder请求返回的响应,查看方法:

Body->ResponseMessages->Items->0->Folders->0->PermissionSet->Permissions->N->UserId->SID

样本中的N为2,但是你可以根据你自己的情况来选择正确的。PrimarySmtpAddress为目标用户的邮件地址,如果响应中不包含PermissionSet参数,我们就需要查看另一个service.svc?action=GetFolder请求了:

6、 我们选择使用serverHTTP_relayNTLM.py中的SID来进行操作,我们还需要选择一个没有被屏蔽的TCP端口来转发Exchange服务器上的出站连接。比如说,TCP端口8080可用的话。

接下来,使用真实信息修改serverHTTP_relayNTLM.py:

设置好正确的脚本变量后,我们就可以开始了:

7、 下一步就是设置Exch_EWS_pssushSubscribe.py脚本中的变量了:

完成后,我们就可以执行脚本了:

8、 最后一步,我们需要利用事件触发机制来推送通知。我们可以进行类似创建和发送新邮件,或者删除新创建的文件夹来实现:

成功后,我们的serverHTTP_relayNTLM.py就可以从Exchange服务器那里收到入站连接了:

攻击成功后,我们将在响应中看到UpdateInboxRulesResponse ResponseClass="Success"。这也就意味着,入站规则已经成功添加进目标用户的邮箱了,所有的入站邮件都会被转发给攻击者。

接下来,我们需要测试这个新规则。我们需要利用任意邮箱账号来给目标用户发送一封邮件,但不要用我们新添加的规则(attacker@contoso.local),因为如果转发地址和目的地址相同的话规则就无效了。现在,登录管理员账号,发送某些信息给目标用户:

检查攻击者的收件箱,我们就可以看到这封邮件了:

看完上述内容,你们掌握如何在MicrosoftExchange上冒充用户的方法了吗?
[微信提示:高防服务器能助您降低 IT 成本,提升运维效率,使您更专注于核心业务创新。

[图文来源于网络,不代表本站立场,如有侵权,请联系高防服务器网删除]
[