2021-7-22
豪华绿钻买1得17 180Q币可以开通17个会员

豪华绿钻买1得17 180Q币可以开通17个会员

本文豪华绿钻暑假买1得17活动,安卓用户可以选择Q币支付,可以获得1年豪华绿钻、1年芒果TV会员、3个月百度网盘会员、3个月WPS超级会员、微博月卡QQ超级会员月卡、快看漫画年卡、唯品会年卡、百度文库年卡、去哪儿年卡、全民K歌月卡,屈臣氏年卡、懒人畅听年卡、网易严选年卡、元气家月卡、亚朵酒店月卡、京东读书月卡,还有10万份京东PLUS年卡随机赠送,购买还可以获得18.8元红包,需要达到66元可以提现。 手机复制链接打开:https://c.y.qq.com/base/fcgi-bin/u?__=S3jg134X 如果感觉划算的可以领取一下,QQ豪华绿钻是直接到账,其他16个月会员权益需要手动领取 必须在9月23日前领取,否则会自动失效,自己用不上可以卖给别人 ...
QQ教程 180次浏览 0条评论
2021-7-22
Win11开始菜单无法固定解决方法

Win11开始菜单无法固定解决方法

Win11系统是现在很多用户都在使用的电脑操作系统,很多用户在使用电脑的时候喜欢在开始菜单中直接打开软件,这就需要将应用程序直接固定到其中,但是发现在win11中无法固定到开始菜单,这可能是因为我们操作有误,下面就一起来看一下正确的方法吧。 win11开始菜单无法固定解决方法 1、首先我们点击下方任务栏中的搜索按钮。 2、打开后在上方搜索想要固定的应用程序,找到后点击右侧的“固定到开始屏幕”。 3、等待系统显示图示的以固定提示。 4、完成后就可以发现选择的程序已经被固定到开始菜单了。 ...
技术教程 70次浏览 0条评论
2021-7-22
win10家庭版没有组策略怎么办,详细解决办法

win10家庭版没有组策略怎么办,详细解决办法

win10系统分忧很多版本,比如家庭版、正式版、专业版等等,当不同版本遇到问题时,解决的方法也大有不同。最近有win10家庭版的用户反映,自己的电脑中不包含组策略,导致有些操作无法正常使用,非常的麻烦,那win10家庭版没有组策略要怎么办呢?下面就让我们一起来看看吧。 1、首先在Win10桌面建立一个记事本文件,然后将以下代码粘贴到记事本中。 @echo off pushd "%~dp0" dir /b C:\Windows\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientExtensions-Package~3*.mum >List.txt dir /b C:\Windows\servicing\Packages\Microsoft-Windows-GroupPolicy-ClientTools-Package~3*.mum >>List.txt for /f %%i in ('findstr /i . List.txt 2^>nul') do dism /online /norestart /add-package:"C:\Windows\servicing\Packages\%%i" pause 然后操作选择 文件-另存为。 2、另存为操作时,在名称后面加一个 .bat ,然后下方的文件类型选择为“所有文件”,之后点击“保存”即可。 3、接下来在桌面上就可以看到一个 .bat 命令运行文件,点击打开运行,就可以为Win10家庭版新加入组策略功能了。 4、最后验证一下,首先使用 Win+R 打开运行对话框,然后输入打开组策略命令 gpedit.msc 然后点击“确定”就可以成功打开组策略了。 好了,以上就是关于win10家庭版没有组策略怎么办的全部内容了 ...
技术教程 80次浏览 0条评论
2021-6-23
API攻击原理以及如何识别和预防

API攻击原理以及如何识别和预防

5月初,Pen Test Partners 安全研究员 Jan Masters 发现,他竟然能够在未经身份验证的情况下,向Peloton的官方API提出可获取其它用户私人数据的请求,且用户的本地设备和云端服务器都如此不设防。 这些数据中包括了详细的用户年龄、性别、城市、体重、锻炼统计数据,甚至可揭示用户在个人资料设置页面中设为私密的生日等信息。 应用程序编程接口(API)允许轻松地机器对机器通信。如今,应用程序开发中的API使用已成为新的实践标准,通过集成第三方服务的功能,开发人员不用再从无到有自己构建所有功能,这样一来可以加快新产品及服务的开发过程。 近年来,API的使用更是呈现爆炸式增长。根据Akamai的说法,API通信现在占所有互联网流量的83%以上。 尽管API支撑着用户早已习惯的互动式数字体验,是公司数字化转型的基础,但它们同时也为恶意黑客提供了访问公司数据的多种途径,成为诸多安全问题的根源所在。 除Peloton公司外,最近新闻中曝光的涉及API相关网络安全问题的企业还包括Equifax、Instagram、Facebook、亚马逊以及Paypal。 API的应用以及不断攀升的攻击趋势 根据Salt Security于今年2月发布的报告显示,去年有91%的公司存在与API相关的安全问题。其中,最常见的是漏洞,涉及54%的受访组织;紧随其后的是身份验证问题(46%受访者)、僵尸程序(20%受访者)以及拒绝服务(19%受访者)。 80%的组织认为他们的安全工具不能有效地防止API攻击。此外,Salt Security的调查还发现,三分之二的组织由于与API安全相关的担忧而减缓了将新应用程序投入生产的速度。即便是拥有Web应用程序防火墙(WAF)和API网关的所有Salt客户,每个月也都要经历多次API攻击,这就意味着这些安全工具已经阻止不了API攻击。 实际上,根据Salt的说法,WAF和API甚至已经阻挡不住OWASP API安全Top10威胁中90%的因素。 但糟糕的现实是,超过四分之一的组织正在没有任何安全策略的情况下运行基于关键API的关键应用程序。例如,Peloton最初就是可供任何人在任何地方通过API访问用户数据,而无需任何身份验证。 API存在漏洞并不稀奇。根据Salt Security的报告,82%的组织对了解API详细信息缺乏信心,例如API是否包含个人身份信息(PII),如客户专有网络信息、受保护的健康信息以及持卡人数据等;而22%的组织表示他们无法知道哪些API公开了敏感数据。 Traceable公司安全研究工程师Roshan Piyush表示,Peloton的错误是使用了未经身份验证的API,而其他遇到相同问题的公司还包括Panera、Fiserv、LifeLock和Kay Jewelers。可以说,这样的案例举不胜举,归纳来说,就是在开发过程中忽视了对API的身份验证和授权保护等问题。 一家银行API应用增长的故事 一家中型金融机构的网络安全技术经理Jeff Serota表示,在过去的几个月中,他的公司对API的使用急剧增长。如今,API连接了大约3,000个端点,其中包括内部应用程序、属于业务合作伙伴的应用程序以及面向客户的网站和移动设备。 不过这仅仅只是开始,按照公司的发展规划,未来三年API应用还将迅速增加。他们的目标是消除所有本地数据中心,并迁移至适用于所有内容的Web服务和API。 Serota介绍称,其API调用通过四个主要URL,不同的服务在其API调用中包含不同的参数。这种方法创建了一个保护层。他说,由于使用API存在很多风险,所以我们实际上混淆了一些API端点名称,以使其更难被横向攻击或被发现并用于恶意目的。 在过去的六个月中,该机构还一直在将多个API网关整合到一个主要网关中。而对于API网关,该公司选择了Apigee,这是Google在2016年收购的API安全供应商。 一些公司在尝试让所有开发人员都拥有一个网关时遇到了问题,或是担心潜在的瓶颈、单点故障或DDoS攻击。但Serota表示,他们的公司并不存在这种情况。相反地,他们的开发人员更喜欢API网关方法,因为作为基于SaaS和多区域的服务,API实际上为他们提供了更好的可用性和更低的延迟。 例如,一个API预计每月将有1000万笔交易,但在启动后的头两周内就发生了2亿笔交易。而他们并没有感到任何延迟或性能下降。Serota称,目前,在他们的生产环境中,每月有大约20亿次API调用,而两年前约为8亿次。 对于身份验证,该公司的移动和基于Web的应用程序使用了较旧的Java技术,但他们正在使用软件开发套件将其全部转移到基于API的身份验证中。而对于外部合作伙伴,该公司也正在努力为其API调用建立零信任模型。 以前,对于通过自己的Web或移动应用程序访问该机构的消费者,会存在持久性,这就意味着消费者不需要多次进行身份验证过程。而该公司的零信任模型意味着不再允许任何类型的会话持久性以及任何类型的cookie。用户必须每次都要重新认证。就“安全”“方便”和“快速”三个要求而言,你可以同时拥有两个,但没办法全部都实现。 对于位于公司安全范围内的API,还有另一种方法。Serota介绍称,在公司内部,我们更倾向于使用轻量级的零信任以外的方法。目前,我们正在使用IP安全性,根据要进行的操作,服务将进行身份验证,并执行更多基于Active Directory的操作。 行为分析还可以用来检测内部和外部流量的可疑行为,并自动过滤明显的不良消息。Serota称,我们会使用所有内容——从IP信誉到行为分析再到用户和账户模式等,来分析任何可疑行为。例如,我们有一个用户每隔一个周五会存入200美元存款,而现在每个周三都会存入800美元。这时候就会引起我们的注意。这不仅是为了保护我们的资产,也是确保我们主动报告了可能存在“洗钱”或“人口贩卖”的情况。 Serota还表示,通过使用自动化,该公司能够将到达其网络运营中心和网络安全事件响应团队的问题数量减少35%,出现在他们身上的误报变得越来越少。 机器人(Bot)对API的攻击 API流量不断增长,但恶意API流量却增长得更快。 数据显示,Salt Security客户每月的API调用量增长了51%,而恶意流量则增长了211%。 根据Akamai对来自金融服务、零售、媒体和娱乐行业的100个企业客户一个月的API数据进行的分析发现,在总数7440亿个API调用中,有12%来自已知的恶意行为者;25%来自既非web浏览器又非移动设备或应用程序的终端客户,这就意味着它们可能来自恶意行为者,而非合法用户。 安永(Ernst&Young)网络安全董事总经理Rishi Pande表示,传统的前端应用程序(网站和移动应用程序)具有针对攻击者的保护措施,其中包括针对DDoS、凭据填充和其他自动攻击的防御。不过,纵然前端受到保护,但如果API网关不受保护的话,同样会危及前端安全。 API正在迅速发展,一些企业认为他们的技术可以提供适当的保护,而实际上这些工具本身还没有准备好应对挑战。 实际上,针对API层的攻击正越来越受到黑客的欢迎,因为它更加匿名,而且API的保护程度通常不及网站和移动应用程序。甚至可以说,如今的API安全性就如同应用程序安全性在2009年的发展水平。 一旦攻击者分解了一个移动应用程序并弄清楚了它的通信方式,他们就可以使用相同的API通道发送请求。人工智能和机器学习可以帮助抵御这种情况,因为通过机器人发出的API请求看起来与使用合法应用程序的真实人类发出的请求不同。 是时候解决孤岛问题了 根据Postman的《2020年API状态报告》,该报告对13,500多名开发人员进行了调查,结果显示只有36%的公司对其API进行了安全性测试。相比之下,进行功能测试的公司占70%,而进行集成测试的公司则占67%。 而根据SmartBear的《2020年API状态报告》显示,可用性是开发人员对API的最大关注,其次是功能,再次才是安全性。 造成这种问题的部分原因在于,开发团队与安全团队,以及安全团队与网络和基础架构团队间彼此孤军作战,缺乏充分的沟通和合作。而孤岛问题的解决方案就是DevSecOps。现在,我们可以集成测试并将测试控制权交给应用程序开发人员。我们要使每个人都成为安全团队的成员。 从一开始就将安全性纳入应用程序开发流程,要比尝试使用API网关之类的技术来保护事物更为重要。公司应该专注于更好的体系结构、更好的安全性和更好的API调用。这样做可能需要很长的时间,但是想要获得更好的保护就必须开发出更安全的应用程序。只有应用程序足够强大以抵御攻击,我们才不需要其他元素来提供额外的安全性。 如今,通过DevSec团队协作,开发人员开始对安全性有了更多的了解。不过,在API安全方面仍然存在诸多问题。首先就是业务逻辑问题,这是应用程序安全性的其中一个关键方面。随着将monolithic应用程序分解为通过API连接的小型服务,发现并缓解逻辑问题的挑战被放大了。该应用程序可以完全按照其设计的方式运行,身份验证机制也可以完全安全,它可以完全摆脱漏洞,但是如果编码中存在问题,则仍然可能发生违规行为。 然后要注意的是标准漏洞集。2019年发布的OWASP API Top 10威胁在过去两年中没有发生变化,这说明我们正在重复遭遇同样的问题。 最后,由于缺乏足够的人员手动监视API安全,因此组织需要研究工具、自动化、扫描技术和遥测监视,以确定API的调用方式,并寻找出可能表明恶意滥用的异常行为。 仓储物流企业获得API安全可见性 开发人员启动Web服务和设置API变得比以往任何时候都更加容易。不过,与任何其他新技术一样,安全性也经常滞后。 尽管开发人员都在使用新的安全控制,但仍然可能存在老旧的系统。这些过时的僵尸API带来了巨大的安全风险,此外,那些原计划只做短期使用却未及时退役的API也会带来很大的风险。 仓储物流公司Prologis的安全主管Tyler Warren表示,我们无法保护自己并不知道的东西!我们必须清楚地知道自己拥有什么才能保护它,这是头等大事。 如今,Prologis已在全球19个国家/地区拥有近10亿平方英尺的面积,约5,000个仓库。当人们听到Prologis是一家仓库公司时,往往会质疑“你们怎么可能正在研发高科技?”但是,Prologis高管层清楚地明白,技术是业务的推动者,而不是成本中心。所以,早在4年前,该公司就开始开发面向客户的系统。 现在,有了基于云的Prologis Essentials平台,客户可以随时提交服务票证或检查票证的状态,更重要的是,当有人搬进新仓库时,可以与提供虫害控制、叉车、照明以及其他所需产品和服务的本地供应商联系。 Warren介绍称,Prologis Essentials几乎完全是无服务器的,主要依赖Amazon和lambda函数,所以无需处理任何的遗留系统问题。该平台使用AWS API网关,并且有约15个API服务于500个端点,其中包括内部连接以及与外部业务合作伙伴的集成。上个月,该系统处理了529,000个API请求。 但是Warren发现,AWS并未提供有关API可视化的大量信息。为了解决这一问题,Warren团队尝试了很多方法,但都不如人意。他们致力于寻找一种易于部署且不会妨碍开发团队的技术。最终,Prologis选择了Salt Security解决方案。 他们原本计划2021年再将Essentials系统集成到Salt Security中,但是最终还是将计划提前了。原因在于API攻击面正在吸引越来越多的关注,恶意行为者也发现了很多攻击面,他们没有时间去冒险。 最终,将Essentials系统集成到Salt Security的工作花费了大约一个月的时间,因为许多方面都必须经过不断地测试,并确保开发人员对结果满意且保证不影响性能。 该工具位于AWS环境中,并在API网关处侦听流量、获取日志和元数据,并将报告发送到Salt的SaaS仪表板以进行警报和报告,这使得Prologis获得了很好的API安全可见性。 该系统已于去年秋天启动并运行。它可以连接到WAF并自动触发动作,可以发送报告供安全人员手动查看,还可以查找潜在的PII泄漏。此外,该系统还捕获到了一些情况,例如API提供了许多并非必要的信息,这一点是许多企业在使用API时必须注意的问题。记住,如非必要,那就不要做! ...
技术教程 730次浏览 1条评论
2021-6-23
2021年常见的十大黑客工具

2021年常见的十大黑客工具

2021年 十大黑客工具列表 Acunetix Nmap Metasploit Wireshark Nikto John the Ripper Kismet SQLninja Wapiti Canvas Acunetix Acunetix 是一种自动化的 Web 应用程序安全测试和道德黑客工具。它用于通过检查 SQL 注入、跨站点脚本和其他可利用漏洞等漏洞来审核您的 Web 应用程序。通常,Acunetix 会扫描可通过 Web 浏览器访问并使用 HTTP/HTTPS 协议的任何网站或 Web 应用程序。 Acunetix 提供了强大而独特的解决方案,用于分析现成的和自定义的 Web 应用程序,包括那些使用JavaScript、 AJAX 和 Web 2.0 Web 应用程序的应用程序。Acunetix 有一个高级爬虫,几乎可以找到任何文件。这很重要,因为无法检查未找到的内容。 Nmap map 是Network Mapper 的缩写,是一种侦察工具,被道德黑客广泛用于收集有关目标Nmap - 道德黑客工具 - Edureka系统的信息。此信息是决定攻击目标系统的后续步骤的关键。Nmap 是跨平台的,适用于 Mac、Linux 和 Windows。由于其易用性和强大的搜索和扫描能力,它在黑客社区中广受欢迎。 使用 Nmap,可以: 审核设备安全 检测远程主机上的开放端口 网络映射和枚举 查找任何网络中的漏洞 针对域和子域启动大量 DNS 查 Metasploit Metasploit是一个用 Ruby 编写的开源渗透测试框架。 它充当研究安全漏洞和开发代码的公共资源。这允许网络管理员闯入他自己的网络以识别安全风险并metasploit 标志 - 道德黑客工具 - edureka记录需要首先解决的漏洞。它也是初学者用来练习技能的少数道德黑客工具之一。它还允许您复制网站以用于网络钓鱼和其他社会工程目的。该框架包括一组安全工具,可用于: 躲避检测系统 运行安全漏洞扫描 执行远程攻击 枚举网络和主机 Wireshark Wireshark 是一款免费的开源软件,可让您实时分析网络流量。由于其嗅探技术,Wireshark 因其能够检测任何网络中的安全问题以及在解决一般网络问题方面的有效性而广为人知。在嗅探网络时,您可以拦截和读取人类可读格式的结果,从而更容易识别潜在问题(例如低延迟)、威胁和漏洞。 主要特点: 保存分析以供离线检查 包浏览器 强大的图形用户界面 丰富的VoIP分析 检查并解压 gzip 文件 读取其他捕获文件格式,包括 Sniffer Pro、Tcpdump、Microsoft 网络监视器、Cisco Secure IDS IPlog 等。 将结果导出为 XML、PostScript、CSV 或纯文本 Nikto Nikto 是另一个受欢迎的工具,作为Kali Linux 发行版的一部分而广为人知。其他流行的 Linux 发行版(例如 Fedora)也已经在其软件存储库中提供了 Nikto。此安全工具用于扫描 Web 服务器并针对指定的远程主机执行不同类型的测试。其干净简单的命令行界面使针对您的目标启动任何漏洞测试变得非常容易。 Nikto 的主要功能包括: 检测任何操作系统上的默认安装文件 检测过时的软件应用程序 与 Metasploit 框架集成 运行跨站点脚本漏洞测试 执行基于字典的蛮力攻击 以纯文本、CSV 或 HTML 文件格式导出结果 John the Ripper John the Ripper 是有史以来最受欢迎的密码破解者之一。它也是可用于测试 操作系统中密码强度或远程审核密码强度的最佳安全工具之一。这款密码破解器能够自动检测几乎所有密码中使用的加密类型,并会相应地更改其密码测试算法,使其成为有史以来最智能的密码破解工具之一。 这种道德黑客工具使用蛮力技术来破译密码和算法,例如: DES、MD5、河豚 Kerberos AFS Hash LM (Lan Manager),系统使用于 Windows NT/2000/XP/2003 MD4、LDAP、MySQL(使用第三方模块) 另一个好处是 JTR 是开源的、多平台的,并且完全适用于 Mac、Linux、Windows 和 Android。 Kismet Kismet是最常用的道德黑客工具之一。它适用 于 802.11无线 LAN 的 网络检测器、 数据包嗅探器和 入侵检测系统。Kismet 可与任何支持原始监控模式的无线网卡配合使用 ,并可嗅探 802.11a 、 802.11b 、 802.11g和 802.11n 流量。该程序在 Linux 、 FreeBSD 、 NetBSD 、 OpenBSD和 Mac OS X 下运行。客户端也可以在Microsoft Windows上运行 。 SQLNinja SQLNinja 是另一个与 Kali Linux 发行版捆绑在一起的 SQL 漏洞扫描器。这种道德黑客工具专用于定位和利用使用 MS SQL Server 作为后端数据库服务器的 Web 应用程序。使用 SQLNInja,您可以: 测试数据库架构 指纹远程数据库 用单词列表进行暴力攻击 直接壳和反向壳 Wapiti Wapiti 是一个免费的开源基于命令行的漏洞扫描器,用Python编写。虽然它不是该领域最受欢迎的道德黑客工具,但它在发现许多 Web 应用程序中的安全漏洞方面做得很好。使用 Wapiti 可以帮助您发现安全漏洞,包括: XSS 攻击 SQL注入 XPath 注入 XXE 注射 CRLF 注射 服务器端请求伪造 Canvas Canvas 是 Metasploit 的绝佳替代品,提供了 800 多种用于测试远程网络的漏洞利用。 Immunity 的 CANVAS 可用 数百个漏洞 一个自动化的开发系统 面向全球渗透测试人员和安全专业人员的全面可靠的漏洞利用开发框架 Canvas 的主要功能包括: 截取远程系统的屏幕截图 下载密码 修改系统内的文件 提升权限以获得管理员访问权限 远程网络利用 这种黑客工具还允许您使用其平台编写新的漏洞或使用其著名的 shellcode 生成器。它还集成了名为 scanrand 的 nmap 替代方案,这对于中大型网络上的端口扫描和主机发现特别有用。更多深度技术学习可以在公众号获取。 ...
网络资讯 1140次浏览 0条评论
2021-6-23
详谈为什么现在的电脑很少中毒

详谈为什么现在的电脑很少中毒

大家好,不知道你们有没有意识到一个问题:现如今,计算机病毒似乎不像多年前那样令人头疼了。 在十几年前,清理病毒简直就是计算机用户的家常便饭,尤其如打印店、网吧这种密集场所,你一旦插入自己的U盘,那是100%中招,回去之后你就会发现自己的电脑感染了一些奇奇怪怪的病毒,出现了一些难以解决的bug。 「风光一时」的熊猫烧香 然而,随着互联网的大面积普及,以及Windows Defender防火墙日益强大,个人计算设备中的病毒、恶意软件似乎不如之前那样常见了。 这是为什么? 杀毒软件:我免费了(欢迎选购360全家桶,保证让你一去不回) 其实这件事情最该感谢的,是免费杀毒软件。你别看360曾经那么流氓,但360免费模式的出现,在一定程度上真的是为广大用户的计算机安全带来了福利。 在免费杀毒软件的模式出现之前,杀毒软件基本是付费的市场,不过一两百块钱一年的价格可并不是所有人都负得起的。360起初做了个安全卫士,和卡巴斯基合作,只要下载便可以获得卡巴斯基半年的激活码。360等杀毒软件的崛起干掉了一众付费杀软,也带来了全新的经营模式。 国产杀毒软件 免费也是有代价的。某位不知名的媒体老师曾说过:当一样东西是免费的时候,那么用户就变成了商品。你不收我钱,那我怎么赚钱?研发经费从哪里来呢?羊毛还是要出在羊身上的,「卖广告」便成为了免费杀软赚钱的秘诀。在360巅峰的时期,其「流氓」行为可以说是令人发指的,弹窗新闻,捆绑旗下「全家桶」,难以卸载等等。 国外杀毒软件 由于各种插件占用了太多的系统资源,加上彼时计算机性能还不像现在这样看似「过剩」,也一度导致用户安了360就变成了卡卡利亚星人。 万恶的360 直到国家出台相关法律,大家才收敛了一些,把所有相关功能设置了可关闭的开关——但默认是打开的。 现如今,面向个人用户的杀毒软件基本都是免费的了,厂商主要对企业用户收费,由于涉及到更高级的功能。而一些厂商也出品了一些干净、好用、无广告的杀毒软件,如火绒、卡巴斯基免费版等,虽说市场上曾经争得你死我活一片狼藉,但当尘埃落定,我们也发现身边确实干净了不少。 正如人性一般,不管360做过的事情多么恶劣,它也确实为这个时代带来了好的一面。 黑客:甭干了,根本赚不到钱 病毒不赚钱了哥哥,做个病毒软件分分钟杀了不说,我也根本赚不到钱啊。更何况现在获取你的个人信息这么方便,随便黑市就能买到一大把,做病毒耗时耗力,就为了破坏你的文件?没必要没必要,谁跟钱过不去呢。 Windows Defender:又高又硬,说的就是我 我自带的,我比以前强多了,我谨慎小心,你下载的外挂软件我也不放过,就连正常的文件我也会提醒你再三小心,恶意文件通通逃不出我的法眼。 Windows Defender 相信大家在日常使用过程中都不会很注意这个自带的Windows Defender。它可能偶尔在你下文件的时候出来烦你一下,而大多数时间,WD都默默地在后台守护着你的安全。可能它并没有卡巴斯基这种强悍,但它是你使用电脑的第一道防线。 如今病毒离我们似乎越来越远了,但这就像新冠一样,永远都不能放松警惕。病毒的时代基本过去了,但是电信诈骗随着互联网的普及层出不穷。所以最好还是养成良好的使用电脑的习惯,不要随意点开陌生邮件的链接,网站、app的二次身份验证一定要开启,盗版软件、游戏外挂这些都很有可能暗藏病毒,就不要下了。保护好自己的隐私,安安全全地上网。 ...
网络安全 710次浏览 1条评论
2021-6-23
揭秘全球最危险的11大网络间谍组织

揭秘全球最危险的11大网络间谍组织

根据安全研究人员的说法,下述这些都是全球最臭名昭著的,并且由民族国家资助的组织。 几十年前,当黑客入侵刚刚出现的时候,其大多是网络“发烧友”的“杰作”,他们痴迷于学习有关计算机和网络的一切知识。现如今,民族国家支持的威胁行为者正在开发越来越复杂的网络间谍工具,而网络犯罪分子则针对包含《财富》500强企业、医院、政府机构以及金融机构等在内的一切事物实施攻击,赚得盆满钵满。 网络攻击从未像现在这般复杂、有利可图甚至有些令人难以捉摸。有时,想要在不同类型的活动之间划清界限是一项艰巨的任务。民族国家黑客组织间有时候会为了共同的目标而相互合作,有时候他们甚至会与网络犯罪团伙协同合作。此外,一旦有恶意工具面世,存在竞争关系的威胁行为者通常会对其进行回收改造和再利用。 下面就为大家介绍一些最具创造力和威胁性的网络间谍和犯罪集团(排名不分先后): Lazarus——加密世界最成功的窃贼 又名:Hidden Cobra、Guardians of Peace、APT38、Whois Team、Zinc Lazarus(拉撒路),一个与朝鲜有关的组织,最轰动的事迹可能要数有史以来最大的网络大劫案:2016年2月,孟加拉银行遭到袭击,导致超过1亿美元失窃。当然,该组织的所作所为远不止于此。 说起Lazarus的攻击活动,最早可以追溯到2007年,不过由于其身份的隐秘,再加上活动范围并不广泛,所以,一开始,Lazarus并没有引起人们的注意。 直到2014年,索尼影业推出了一部名为《刺杀金正恩》(《The Interview》)的喜剧电影,正是由于这部影片,让隐蔽的Lazarus开始浮出水面。当时,在影片上映之前,就已经引起了朝鲜方的强烈反对,与此同时,一个自称为“和平守卫队”的黑客团队在窃取了11TB的敏感数据之后向索尼影业发布了一封“警告信”。 信中写道, “我们已向索尼管理层提出了明确要求,但他们拒绝接受。如果想摆脱我们,就乖乖照我们说的做。立即停止播放恐怖主义影片,它将破坏地区和平,引发战争!” 鉴于此,不少安全机构都认为其隶属于朝鲜。 近年来,Lazaru开始将研究重心放在了勒索软件和加密货币上,甚至还以安全研究人员为目标,以获取有关正在进行的漏洞研究的相关信息。卡巴斯基安全研究人员Dmitry Galov表示,该小组拥有“无限的资源和非常出色的社会工程技能”。 这些社会工程学技能在新冠疫情大流行中发挥了重要作用,当时,包括疫苗制造商在内的制药公司都成了Lazaru最紧迫的目标。根据微软的说法,黑客发送了包括“虚假的工作描述”在内的鱼叉式网络钓鱼电子邮件,诱使他们的目标点击恶意链接。 Malwarebytes研究室主管Adam Kujawa表示, “该组织与其他组织有所不同,因为尽管它是民族国家资助的组织,但他们的目标并不是政府机构,而是可能掌握朝鲜间谍活动信息或访问权限的企业,有时甚至是个人。” Lazarus会使用各种自定义恶意软件家族,包括后门、隧道、数据挖掘器和破坏性恶意软件,这些软件有时是内部开发的,在持续不断的攻击活动中创下了赫赫战功。 根据FireEye的说法,APT38的独特之处在于,他们不惧怕在行动过程中大肆破坏证据或受害者网络。该组织是谨慎的、心思缜密的,并且对受害者环境的访问权限表现出了极度的渴望,他们渴望了解受害者的网络布局,所需的权限以及实现其目标所需的系统技术。 UNC2452——全球性供应链危机魁首 又名:Dark Halo、Nobelium、SilverFish、StellarParticle 2020年,成千上万的组织下载了SolarWinds Orion软件的恶意软件更新,为攻击者提供了进入其系统的入口。五角大楼、英国政府、欧洲议会以及世界各地的一些政府机构和公司都成为这种供应链攻击的受害者。 据悉,该网络间谍行为至少潜伏了9个月之久,直到2020年12月8日,安全公司FireEye宣称自己成为了民族国家黑客组织的受害者,该组织窃取了其多个红队工具。事实证明,这种黑客攻击比最初想像得还要广泛。而针对SolarWinds Orion软件的供应链攻击只是攻击者使用的一个入侵渠道。研究人员还发现了另一起供应链攻击,这次是针对Microsoft云服务的。他们还注意到,Microsoft和VMware产品中同样存在一些缺陷。 FireEye高级副总裁兼首席技术官Charles Carmakal表示, “UNC2452是我们跟踪的最先进、纪律严明且难以捉摸的威胁参与者之一。他们的技巧非同寻常。他们同时掌握进攻和防御的技能,并利用这些知识来完善自己的入侵技术,以藏匿踪迹。UNC2452表现出了一种很少见的操作安全性,这种能力帮助他们潜伏政府机构和企业内部很久也不会被发现。” 美国国家安全局(NSA)、联邦调查局(FBI)和其他一些美国机构认为,这项行动是由俄罗斯发起的,美国对此实施了制裁。他们还认为,黑客入侵很可能是俄罗斯联邦对外情报局(SVR)实施的。其它线索则指向Cozy Bear / APT29组织。 然而,事情并没有这么简单。卡巴斯基研究人员注意到,有几段代码片段将此攻击与讲俄语的团伙Turla(Snake、Uroburos)联系在一起,该组织曾针对欧洲和美国政府及外交官发起过攻击。 Equation Group——网络间谍的“上帝” 又名:EQGRP、Housefly、Remsec 作为另一个具有出色技能和资源的威胁组织,Equation Group于21世纪初开始运营,甚至可能更早。直到2015年,卡巴斯基安全研究人员发布了一份报告,详细介绍了该组织的一些最新工具后,它才登上新闻头条,走进大众视野。该报告的标题之一是:“与网络间谍的‘上帝’会面”。 Equation Group之所以得名,是因为它使用了强大的加密和先进的混淆方法。它的工具非常先进,并与NSA的神秘组织TAO(特定入侵行动)存在关联。 该组织的攻击目标包括政府、军事和外交组织;金融机构;以及在电信、航空航天、能源、石油和天然气、媒体和运输领域运营的公司。受害者分布在伊朗、俄罗斯、巴基斯坦、阿富汗、印度、叙利亚和马里等地。 Equation Group最强大的工具之一是可以重新编程包括Seagate、Western Digital、Toshiba和IBM在内的各种制造商的硬盘固件的模块,以创建可以在擦除和重新格式化后保存下来的秘密存储库。该小组还创建了一个基于USB的命令和控制机制,该机制允许映射空白网络。之后,它还将类似功能集成到了Stuxnet活动中。 Carbanak——银行大盗 又名:Anunak、Cobalt 2013年,几家金融机构都遵循相同的模式遭到黑客入侵。攻击者发送了鱼叉式网络钓鱼电子邮件,试图侵入组织。然后,它使用各种工具来连接可用于提取数据或金钱的PC或服务器。像APT一样,负责这些攻击的网络犯罪团伙Carbanak精心部署这一切,常常在受害者的系统中潜伏数月不被发现。 Carbanak组织的主体可能位于乌克兰,其目标对象主要是位于俄罗斯、美国、德国和中国的金融公司。在其攻击案例中,一名受害者由于ATM欺诈损失了730万美元,而另一名受害者在其网上银行平台成为攻击目标后损失了1000万美元。有时候,该组织还会命令ATM吐钞,而无需现场人员干预。 早在2014年,几家安全公司就对Carbanak进行了调查,结果所有结论都不同。卡巴斯基高级安全研究员Ariel Jungheit称, “Carbanak似乎是两个使用相同恶意软件的不同组织。其中,一个组织主要关注金融机构,而另一组则更多地关注零售组织。尽管其他人对此存有异议,但主要结论是,该组织最初是一个小组,后来分化成了多个小组。欧洲刑警组织于2018年3月宣布,经过复杂的调查,已逮捕了Carbanak小组的策划者。然而今天,许多参与该团伙的网络犯罪分子仍然活跃,他们也许是隶属不同群体的一部分。” Sandworm——格鲁乌的“黑暗” 又名:Telebots、Electrum、Voodoo Bear、Iron Viking 俄罗斯网络间谍组织Sandworm与过去十年中一些最具破坏性的事件有关,包括2015年和2016年乌克兰的电力中断;2017年的NotPetya供应链攻击;在俄罗斯运动员因使用兴奋剂被禁赛后,针对2018年平昌冬季奥运会的攻击;以及针对多个国家、地区选举相关的攻击活动,例如2016年的美国大选,2017年的法国选举以及2019年的格鲁吉亚选举。 FireEye副总裁John Hultquist称,2018年美国司法部公布的针对俄罗斯情报机构GRU(总参谋部军事情报总局,国内一般称格鲁乌或格勒乌)所下属12名情报人员的起诉书就像是过去我们目睹的许多最重要的网络攻击事件的清单。我们有充分的理由认为,俄罗斯军事情报部门GRU下属74455部队资助了Sandworm的行动。 近年来,该组织的策略、技术和程序(TTP)都已经发生了变化以集成勒索软件,对此,研究人员并未感到惊讶。根据FireEye分析主管Ben Read所言,与目标广泛的网络犯罪活动相关的基于加密的勒索软件通常很容易被网络间谍活动者重新利用,以进行破坏性攻击。 Evil Corp——上了美国财务部“通缉榜”的组织 又名:Indrik Spider Evil Corp的名字取自《Mr. Robot》(黑客军团)系列,但其成员及功绩早在该剧上映前就已存在。该俄罗斯黑客组织是有史以来最危险的银行木马之一Dridex(也称为Cridex或Bugat)的创建者。2020年,该组织攻击了Garmin及其他数十家公司。 根据法院文件显示,Evil Corp使用特许经营业务模式,允许其他犯罪分子使用Dridex,以换取100,000美元和收入的50%。联邦调查局(FBI)估计,该组织在过去十年中至少偷走了1亿美元。 安全研究人员称,除Dridex之外,Evil Corp还创建了WastedLocker勒索软件家族和Hades勒索软件。计算机安全软件公司ESET还宣称,BitPaymer勒索软件很可能也是该组织的“杰作”。 2019年,美国司法部指控该组织的两名杰出成员Maksim Yakubets和Igor Turashev涉嫌多项刑事控告,包括串谋实施欺诈和电汇欺诈,但这并未阻止该团伙继续开展活动。CrowdStrike Intelligence高级副总裁Adam Meyers介绍称,在过去一年中,该组织采用了新的工具,并重新命名了几种工具,以逃避美国财政部采取的制裁措施,这种制裁将阻止受害者支付赎金。 尽管针对该团体有关联的个人进行了起诉和制裁,但是仍然无法阻止该组织的事业蒸蒸日上。 Fancy Bear——影响美国大选的组织 又名:APT28、Sofacy、Sednit、Strontium 该讲俄语的组织至少从2004年开始活跃,并针对政府和军事组织以及美国、西欧和南高加索地区的能源和媒体公司展开攻击活动。其受害者主要包括德国和挪威议会、白宫、北约和法国电视台TV5。 Fancy Bear最出名的事迹是在2016年侵入民主党全国委员会(DNC)和希拉里·克林顿(Hillary Clinton)的竞选活动,据称此举影响了总统竞选的最终结果。一些专家认为,大名鼎鼎的DNC黑客Guccifer2.0 背后的力量正是Fancy Bear。 据CrowdStrike称,另一个讲俄语的团体“Cozy Bear”同样也在民主党的计算机网络内部独立地窃取密码。但是显然,这两只“Bear”彼此并不认识。 Fancy Bear主要通过在周一和周五发送的鱼叉式网络钓鱼邮件来瞄准受害者。在某些情况下,它注册了看起来与合法域名相似的域名,建立了伪造的网站以获取凭据。 LuckyMouse——Lucky(幸运)源于实力 又名:Emissary Panda、Iron Tiger、APT27 该组织已经活跃了十多年,主要针对外国使馆和组织,以及涉及航空、国防、技术、能源、医疗、教育和政府等不同行业的企业实施攻击活动。受害者遍布北美、南美、欧洲、亚洲以及中东等地区。 卡巴斯基的Jungheit介绍称,该组织在渗透测试方面具有很高的技能,习惯使用Metasploit框架等公开可用的工具。除了将鱼叉式网络钓鱼作为一种散布方式外,该组织还在其行动中使用SWC(战略性网络妥协)来针对其中最具价值的目标。 趋势科技的研究人员注意到,该组织可以快速更新和修改其工具,这使得研究人员很难检测到它们。 REvil——勒索界的巨头 又名:Sodinokibi、Pinchy Spider REvil犯罪团伙以《生化危机》电影和视频游戏系列而得名,运行着一些油水最多的勒索软件即服务(RaaS)业务,并且位于讲俄语的世界中。该组织于2019年4月首次出现,也就是臭名昭著的GandCrab关闭后不久的事情,此后其业务开始蓬勃发展。其受害者包括Acer、本田、Travelex以及杰克丹尼威士忌的制造商Brown-Forman。 在当今众多的勒索软件领域,REvil(Sodinokibi)勒索软件占据着统治地位。REvil(Sodinokibi)以勒索软件即服务(RaaS)的形式运行,将其勒索软件病毒出租给其他犯罪集团。 卡巴斯基的Jungheit介绍称,REvil算得上2021年索要赎金最高的组织。为了分发勒索软件,REvil会与在网络犯罪论坛上雇用的会员合作。会员赚取赎金的60%至75%。 开发人员会定期更新REvil勒索软件,以避免检测到正在进行的攻击。该组织还会在其网络犯罪论坛中告知合作伙伴计划中所有主要的更新以及新的可用职位。 Malwarebytes Labs的Kujawa表示,REvil与其他组织不同,因为其开发人员对业务的关注程度很高。据该小组的一名成员所言,通过窃取并威胁公开受害者数据的方式,他们已经获取了高达1亿美元的赎金付款,未来他们计划通过DDoS攻击来进一步扩大勒索能力。” Wizard Spider——“大猎杀”施暴者 该说俄语的Wizard Spider于2016年首次被发现,但近年来它变得越来越复杂,建立了一些用于网络犯罪的工具。最初,Wizard Spider以其银行木马TrickBot而闻名,但后来又将其工具集扩展到Ryuk,Conti和BazarLoader。该组织正在不断调整其武器库,以获取更高利润。 Wizard Spider的恶意软件没有在任何犯罪论坛上公开广告,表明它们很可能只出售给可信任的犯罪集团访问权限或与受信任的犯罪集团一起工作。该组织开展了不同类型的活动,其中包括倾向于针对性强、回报率高的勒索软件活动,这些活动被称为“大猎杀”。 据悉,Wizard Spider会根据其目标价值计算其要求的赎金,而且似乎没有任何行业能够幸免于难。在新冠疫情期间,它与Ryuk和Conti一起袭击了美国数十家医疗机构。来自世界各地的医院也受到了影响。 Winnti 又名:Barium、Double Dragon、Wicked Panda、APT41、Lead、Bronze Atlas Winnti组织既进行网络犯罪活动,又进行国家资助的间谍攻击。其网络间谍活动针对的是医疗保健和技术公司,以窃取知识产权为主要目的。同时,它也会实施出于经济动机的网络犯罪活动,例如攻击视频游戏行业,操纵虚拟货币,并试图部署勒索软件。 研究人员观察到,Winnti使用了许多不同的代码家族和工具,并且通常依靠鱼叉式网络钓鱼电子邮件来渗透组织。根据调查显示,在近一年的活动中,APT41破坏了数百个系统,并使用了近150种独特的恶意软件,包括后门程序、凭证窃取程序、键盘记录程序以及rootkit。此外,APT41还最小限度地部署了rootkit和主引导记录(MBR)引导包,以隐藏其恶意软件并在选定的受害者系统上保持持久性。 ...
网络资讯 650次浏览 0条评论
2021-6-23
内网渗透测试Kerberos 协议 Kerberos 认证原理

内网渗透测试Kerberos 协议 Kerberos 认证原理

前言 如果你了解内网渗透,那么应该都对 IPC、黄金票据、白银票据、PTT、PTK 这些老生常谈的词汇再熟悉不过了,对其利用也应该是了如指掌了吧。但是如果你对其背后的所使用的原理还不太了解的话,那么这篇(系列)文章你一定不能错过。 在本篇文章中,我们将对 Kerberos 协议与 Kerberos 认证原理分模块进行详细的讲解,为下篇文章中讲解 Kerberos 认证原理的安全问题做下铺垫。 Kerberos 协议 Kerberos 协议是一种计算机网络授权协议,用来在非安全网络中,对个人通信以安全的手段进行身份认证。其设计目标是通过密钥系统为客户机与服务器应用程序提供强大的认证服务。该协议的认证过程的实现不依赖于主机操作系统的认证,无需基于主机地址的信任,不要求网络上所有主机的物理安全,并假定网络上传送的数据包可以被任意地读取、修改和插入数据。在以上情况下, Kerberos 作为一种可信任的第三方认证服务,是通过传统的密码技术(如:共享密钥)执行认证服务的。Kerberos 协议在在内网域渗透领域中至关重要,白银票据、黄金票据、攻击域控等都离不开 Kerberos 协议。 为了让阁下能够更轻松地理解后文对认证原理的讲解,你需要先了解以下几个关键角色: 角色 作用 Domain Controller 域控制器,简称DC,一台计算机,实现用户、计算机的统一管理。 Key Distribution Center 秘钥分发中心,简称KDC,默认安装在域控里,包括AS和TGS。 Authentication Service 身份验证服务,简称AS,用于KDC对Client认证。 Ticket Grantng Service 票据授予服务,简称TGS,用于KDC向Client和Server分发Session Key(临时秘钥)。 Active Directory 活动目录,简称AD,用于存储用户、用户组、域相关的信息。 Client 客户端,指用户。 Server 服务端,可能是某台计算机,也可能是某个服务。 打个比方:当 whoami 要和 bunny 进行通信的时候,whoami 就需要向 bunny 证明自己是whoami,直接的方式就是 whoami 用二人之间的秘密做秘钥加密明文文字生成密文,把密文和明文文字一块发送给 bunny,bunny 再用秘密解密得到明文,把明文和明文文字进行对比,若一致,则证明对方是 whoami。 但是网络中,密文和文字很有可能被窃取,并且只要时间足够,总能破解得到秘钥。所以不能使用这种长期有效的秘钥,要改为短期的临时秘钥。那么这个临时秘钥就需要一个第三方可信任的机构来提供,即 KDC(Key Distribution Center)秘钥分发中心。 Kerberos 认证原理 首先我们根据以下这张图来大致描述以下整个认证过程: 首先 Client 向域控制器 DC 请求访问 Server,DC 通过去 AD 活动目录中查找依次区分 Client 来判断 Client 是否可信。 认证通过后返回 TGT 给 Client,Client 得到 TGT(Ticket Granting Ticket)。 Client 继续拿着 TGT 请求 DC 访问 Server,TGS 通过 Client 消息中的 TGT,判断 Client 是否有访问权限。 如果有,则给 Client 有访问 Server 的权限 Ticket,也叫 ST(Service Ticket)。 Client 得到 Ticket 后,再去访问 Server,且该 Ticket 只针对这一个 Server 有效。 最终 Server 和 Client 建立通信。 下面讲一下详细的认证步骤,大概分为三个阶段: AS_REQ & AS_REP TGS_REQ & TGS_REP AP-REQ & AP-REP AS_REQ & AS_REP 该阶段是 Client 和 AS 的认证,通过认证的客户端将获得 TGT 认购权证。 当域内某个客户端用户 Client 视图访问域内的某个服务,于是输入用户名和密码,此时客户端本机的 Kerberos 服务会向 KDC 的 AS 认证服务发送一个AS_REQ认证请求。请求的凭据是 Client 的哈希值 NTLM-Hash 加密的时间戳以及 Client-info、Server-info 等数据,以及一些其他信息。 当 Client 发送身份信息给 AS 后,AS 会先向活动目录 AD 请求,询问是否有此 Client 用户,如果有的话,就会取出它的 NTLM-Hash,并对AS_REQ请求中加密的时间戳进行解密,如果解密成功,则证明客户端提供的密码正确,如果时间戳在五分钟之内,则预认证成功。然后 AS 会生成一个临时秘钥 Session-Key AS,并使用客户端 Client 的 NTLM-Hash 加密 Session-key AS 作为响应包的一部分内容。此 Session-key AS 用于确保客户端和 KGS 之间的通信安全。 还有一部分内容就是 TGT:使用 KDC 一个特定账户的 NTLM-Hash 对 Session-key AS、时间戳、Client-info 进行的加密。这个特定账户就是创建域控时自动生成的 Krbtgt 用户,然后将这两部分以及 PAC 等信息回复给 Client,即AS_REP。PAC 中包含的是用户的 SID、用户所在的组等一些信息。 AS-REP 中最核心的东西就是 Session-key 和 TGT。我们平时用 Mimikatz、kekeo、rubeus 等工具生成的凭据是 .kirbi 后缀,Impacket 生成的凭据的后缀是 .ccache。这两种票据主要包含的都是 Session-key 和 TGT,因此可以相互转化。 至此,Kerberos 认证的第一步完成。 TGS_REQ & TGS_REP 该阶段是 Client 和 TGS 的认证,通过认证的客户端将获得 ST 服务票据。 客户端 Client 收到 AS 的回复AS_REP后分别获得了 TGT 和加密的 Session-Key AS。它会先用自己的 Client NTLM-hash 解密得到原始的 Session-Key AS,然后它会在本地缓存此 TGT 和原始的 Session-Key AS,如果现在它就需要访问某台服务器上的服务,他就需要凭借这张 TGT 认购凭证向 KGS 购买相应的 ST 服务票据(也叫Ticket)。 此时 Client 会使用 Session-Key AS 加密时间戳、Client-info、Server-info 等数据作为一部分。由于 TGT 是用 Krbtgt 账户的 NTLM-Hash 加密的,Client 无法解密,所以 Client 会将 TGT 作为另一部分继续发送给 TGS。两部分组成的请求被称为TGS_REQ。 TGS 收到该请求,用 Krbtgt 用户的 NTLM-hash 先解密 TGT 得到 Session-key AS、时间戳、Client-info 以及 Server-info。再用 Session-key AS 解密第一部分内容,得到 Client-info、时间戳。然后将两部分获取到时间戳进行比较,如果时间戳跟当前时间相差太久,就需要重新认证。TGS 还会将这个 Client 的信息与 TGT 中的 Client 信息进行比较,如果两个相等的话,还会继续判断 Client 有没有权限访问 Server,如果都没有问题,认证成功。认证成功后,KGS 会生成一个 Session-key TGS,并用 Session-key AS 加密 Session-key TGS 作为响应的一部分。此 Session-key TGS 用于确保客户端和服务器之间的通信安全。 另一部分是使用服务器 Server 的 NTLM-Hash 加密 Session-key TGS、时间戳以及 Client-info 等数据生成的 ST。然后 TGS 将这两部分信息回复给 Client,即TGS_REP。 至此,Client 和 KDC 的通信就结束了,然后是和 Server 进行通信。 AP-REQ & AP-REP 该阶段是 Client 和 TGS 的认证,通过认证的客户端将与服务器建立连接。 客户端 Client 收到TGS_REP后,分别获得了 ST 和加密的 Session-Key TGS。它会先使用本地缓存了的 Session-key AS 解密出了原始的 Session-key TGS。然后它会在本地缓存此 ST 和原始的 Session-Key TGS,当客户端需要访问某台服务器上的服务时会向服务器发送请求。它会使用 Session-key TGS 加密 Client-info、时间戳等信息作为一部分内容。ST 因为使用的是 Server NTLM-hash 进行的加密,无法解密,所以会原封不动发送给 Server。两部分一块发送给 Server,这个请求即是AP_REQ。 Server 收到AP_REQ请求后,用自身的 Server NTLM-Hash 解密了 ST,得到 Session-Key TGS,再解密出Client-info、时间戳等数据。然后与 ST 的Client-info、时间戳等进行一一对比。时间戳有效时间一般时间为8小时。通过客户端身份验证后,服务器 Server 会拿着 PAC 去询问 DC 该用户是否有访问权限,DC 拿到 PAC 后进行解密,然后通过 PAC 中的 SID 判断用户的用户组信息、用户权限等信息,然后将结果返回给服务端,服务端再将此信息域用户请求的服务资源的 ACL 进行对比,最后决定是否给用户提供相关的服务。通过认证后 Server 将返回最终的AP-REP并与 Client 建立通信。 至此,Kerberos 认证流程基本结束。 PAC 我们在前面关于 Kerberos 认证流程的介绍中提到了 PAC(Privilege Attribute Certificate)这个东西,这是微软为了访问控制而引进的一个扩展,即特权访问证书。 在上面的认证流程中,如果没有 PAC 的访问控制作用的话,只要用户的身份验证正确,那么就可以拿到 TGT,有了 TGT,就可以拿到 ST,有了 ST ,就可以访问服务了。此时任何一个经过身份验证的用户都可以访问任何服务。像这样的认证只解决了 "Who am i?" 的问题,而没有解决 "What can I do?" 的问题。 为了解决上面的这个问题,微软引进了PAC。即 KDC 向客户端 Client 返回AS_REP时插入了 PAC,PAC 中包含的是用户的 SID、用户所在的组等一些信息。当最后服务端 Server 收到 Client 发来的AP_REQ请求后,首先会对客户端身份验证。通过客户端身份验证后,服务器 Server 会拿着 PAC 去询问 DC 该用户是否有访问权限,DC 拿到 PAC 后进行解密,然后通过 PAC 中的 SID 判断用户的用户组信息、用户权限等信息,然后将结果返回给服务端,服务端再将此信息域用户请求的服务资源的 ACL 进行对比,最后决定是否给用户提供相关的服务。 但是在有些服务中并没有验证 PAC 这一步,这也是白银票据能成功的前提,因为就算拥有用户的 Hash,可以伪造 TGS,但是也不能制作 PAC,PAC 当然也验证不成功,但是有些服务不去验证 PAC,这是白银票据成功的前提。 Kerberos 认证中的相关安全问题概述 Kerberos 认证并不是天衣无缝的,这其中也会有各种漏洞能够被我们利用,比如我们常说的 MS14-068、黄金票据、白银票据等就是基于Kerberos协议进行攻击的。下面我们便来大致介绍一下Kerberos 认证中的相关安全问题。 黄金票据(Golden ticket) 在 Windows 的kerberos认证过程中,Client 将自己的信息发送给 KDC,然后 KDC 使用 Krbtgt 用户的 NTLM-Hash 作为密钥进行加密,生成 TGT。那么如果获取到了 Krbtgt 的 NTLM-Hash 值,不就可以伪造任意的 TGT 了吗。因为 Krbtgt 只有域控制器上面才有,所以使用黄金凭据意味着你之前拿到过域控制器的权限,黄金凭据可以理解为一个后门。 先假设这么一种情况,原先已拿到的域内所有的账户 Hash,包括 Krbtgt 这个账户,由于有些原因导致你对域管权限丢失,但好在你还有一个普通域用户权限,碰巧管理员在域内加固时忘记重置 Krbtgt 密码,基于此条件,我们还能利用该票据重新获得域管理员权限。利用 Krbtgt 的 Hash 值可以伪造生成任意的 TGT,能够绕过对任意用户的账号策略,让用户成为任意组的成员,可用于 Kerberos 认证的任何服务。 白银票据(Silver ticket) 白银票据不同于黄金票据,白银票据的利用过程是伪造 TGS,通过已知的授权服务密码生成一张可以访问该服务的 TGT。因为在票据生成过程中不需要使用 KDC,所以可以绕过域控制器,很少留下日志。而黄金票据在利用过程中由 KDC 颁发 TGT,并且在生成伪造的 TGT 得 20 分钟内,TGS不会对该 TGT 的真伪进行效验。 白银票据依赖于服务账号的密码散列值,这不同于黄金票据利用需要使用 Krbtgt 账号的密码哈希值,因此更加隐蔽。 MS14-068 这里便用到了我们之前所讲到的 PAC 这个东西,PAC 是用来验证 Client 的访问权限的,它会被放在 TGT 里发送给 Client,然后由 Client 发送给 TGS。但也恰恰是这个 PAC 造成了MS14-068这个漏洞。 该漏洞是位于 kdcsvc.dll 域控制器的密钥分发中心(KDC)服务中的 Windows 漏洞,它允许经过身份验证的用户在其获得的票证 TGT 中插入任意的 PAC 。普通用户可以通过呈现具有改变了 PAC 的 TGT 来伪造票据获得管理员权限。 密码喷洒攻击(Password Spraying) 在实际渗透中,许多渗透测试人员和攻击者通常都会使用一种被称为 “密码喷洒”(Password Spraying)的技术来进行测试和攻击。对密码进行喷洒式的攻击,这个叫法很形象,因为它属于自动化密码猜测的一种。这种针对所有用户的自动密码猜测通常是为了避免帐户被锁定,因为针对同一个用户的连续密码猜测会导致帐户被锁定。所以只有对所有用户同时执行特定的密码登录尝试,才能增加破解的概率,消除帐户被锁定的概率。普通的爆破就是用户名固定,爆破密码,但是密码喷洒,是用固定的密码去跑用户名。 AS-REP Roasting 我们前文说过,AS_REQ & AS_REP 认证的过程是 Kerberos 身份认证的第一步,该过程又被称为预身份验证。预身份验证主要是为了防止密码脱机爆破。 而如果域用户设置了选项 "Do not require Kerberos preauthentication"(该选项默认没有开启)关闭了预身份验证的话,攻击者可以使用指定的用户去请求票据,向域控制器发送AS_REQ请求,此时域控会不作任何验证便将 TGT 票据和加密的 Session-key 等信息返回。因此攻击者就可以对获取到的加密 Session-key 进行离线破解,如果爆破成功,就能得到该指定用户的明文密码。 这种攻击方式被称作 AS-REP Roasting 攻击。 Ending...... 本节中我们对 Kerberos 协议与 Kerberos 认证原理分模块进行详细的讲解。在下篇文章,我们将详细的讲解 Kerberos 认证原理的安全问题并演示相关的攻击研究 ...
技术教程 720次浏览 0条评论
微信二维码