paradoxis/dnsrpc-bofBeacon Object File (BOF) implementazione della funzionalità di dnscmd.exe utilizzata per ottenere l'esecuzione remota di codice su un server ADIDNS sfruttando il vettore ServerLevelPluginDll tramite MS-DNSP.
Implementazione Beacon Object File (BOF) della funzionalità di dnscmd.exe utilizzata per ottenere l'esecuzione remota di codice su un server ADIDNS sfruttando l'edge ServerLevelPluginDll1 2 3 tramite MS-DNSP. 4 Lo sfruttamento richiede l'accesso a un account utente membro del gruppo DnsAdmins.
[!NOTE] Poiché i BOF non supportano nativamente le eccezioni C, questa estensione si aggancia al metodo
RtlRaiseExceptione restituisce il controllo del flusso al BOF durante le chiamate RPC. Sebbene questo metodo sia rozzo, è necessario poiché l'implementazione RPC di Microsoft fa ampio uso di RpcTryExcept per il controllo del flusso. Ha funzionato correttamente in un ambiente di test, ma tieni presente che questa tecnica potrebbe causare instabilità del beacon.
Per compilare il progetto, puoi usare make su un sistema con MinGW installato:
make
In alternativa, usa .\build.bat se stai utilizzando il Prompt dei comandi degli strumenti nativi x64 per Visual Studio su Windows:
.\build.bat
Entrambi i passaggi di compilazione produrranno sia i file .o che i file .exe per sperimentare con la funzionalità BOF in un ambiente di laboratorio.
I seguenti BOF sono stati creati per interagire con il server ADIDNS:
dnsrpc_probe - Verifica se il server ADIDNS è attivodnsrpc_info - Ottiene le impostazioni correnti del server ADIDNSdnsrpc_coerce_write - Utilità per forzare il server ADIDNS a scrivere un file su una condivisione di rete per testare se il tuo DC può raggiungere la condivisione di rete specificata prima di danneggiarlo tramite il plugin dnsrpc_set_plugin_dll.dnsrpc_set_plugin_dll - Configura la DLL da caricare quando il server viene riavviatodnsrpc_restart_server - Ordina al server ADIDNS di riavviarsidnsrpc_cleanup - Pulisce gli artefatti del registro lasciati dai comandi dnsrpc_coerce_write e dnsrpc_set_plugin_dll. Deve essere eseguito sul controller di dominio stesso.In aggiunta, è stato fornito un payload di esempio in dnssrv_plugin.c.
[!WARNING] Se per qualsiasi motivo il DC non riesce a raggiungere il payload DLL specificato con
dnsrpc_set_pugin_dll, si rifiuterà di riavviarsi e probabilmente paralizzerai l'intero dominio. Considera l'uso didnsrpc_coerce_writeper testare se il DC può effettivamente connettersi alla tua condivisione prima di distruggere accidentalmente il target. Le persone tendono ad arrabbiarsi quando il loro DNS va giù.Inoltre,
dnsrpc_restart_servercomporterà due minuti di inattività del DNS. Chiamare il BOF più volte farà aumentare il timeout ogni volta, quindi usalo con parsimonia.
Per testare i BOF in un ambiente di sviluppo, puoi usare uno strumento come il COFFLoader di TrustedSec, che può essere compilato su Windows così:
cl.exe /W4 /DCOFF_STANDALONE /DDEBUG beacon_compatibility.c COFFLoader.c /Fe:COFFLoader.exe /link advapi32.lib
Poi per eseguire un BOF (ad esempio: il BOF dnsrpc_info), genera gli argomenti e passali al COFFLoader:
> python beacon_generate.py
Beacon Argument Generator
Beacon>addWString DC01
Beacon>generate
b'0e0000000a00000044004300300031000000'
Beacon> exit
> cl.exe /c /GS- dnsrpc_info.c /Fo:dist\dnsrpc_info.o
> COFFLoader.exe go dist\dnsrpc_info.o 0e0000000a00000044004300300031000000
...
$SG77912
: Section: 3, Value: 0xA08
$SG77914H
: Section: 3, Value: 0xA48
$SG77915X
: Section: 3, Value: 0xA58
.chks64: Section: 11, Value: 0x0
X: Section: 0, Value: 0x0
Back
Returning
Ran/parsed the coff
Outdata Below:
server name: DC01.research.lan
server version: 4F7C000A (10.0 build 20348)
rpc structure version: 2 (longhorn)
directory services available: yes
admin configured: yes
allow update: yes
is read-only domain controller: no
boot method: 3 (registry)
no recursion: no
round robin: yes
secure responses: yes
forward timeout: 3
recursion retry: 3
recursion timeout: 8
max cache ttl: 86400
directory services polling interval: 180
scavenging interval: 0
log level: 0x00000000
directory services container: cn=MicrosoftDNS,cn=System,DC=research,DC=lan
domain name: research.lan
forest name: research.lan
log file path: (none)
server addresses: fe80:0000:0000:0000:4cbe:0281:82dd:76ed, 172.16.50.107
listen addresses: (none)
forwarders: 8.8.8.8, 1.1.1.1
Per ricompilare le definizioni IDL, puoi usare il seguente comando:
midl /W1 /char signed /env x64 /target NT100 /Oicf dnsrpc.idl
Durante lo sviluppo, il flag _DEBUG comporterà l'aggiunta di un wmain al binario finale, e il flag _VERBOSE viene utilizzato per includere registrazione di debug aggiuntiva. Per maggiori informazioni, fai riferimento a build.bat e Makefile.
Questo progetto è concesso in licenza sotto la MIT License - consulta il file LICENSE per i dettagli. Non mi assumo alcuna responsabilità per usi impropri o danni causati dall'utilizzo di questo strumento. Usalo solo in ambienti in cui hai esplicita autorizzazione a farlo.
https://raw.githubusercontent.com/paradoxis/dnsrpc-bof/HEAD/%3Chttps:/medium.com/@esnesenon/feature-not-bug-dnsadmin-to-dc-compromise-in-one-line-a0f779b8dc83%3E ↩
https://raw.githubusercontent.com/paradoxis/dnsrpc-bof/HEAD/%3Chttps:/www.semperis.com/blog/dnsadmins-revisited/%3E ↩
https://raw.githubusercontent.com/paradoxis/dnsrpc-bof/HEAD/%3Chttps:/www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/from-dnsadmins-to-system-to-domain-compromise%3E ↩
https://raw.githubusercontent.com/paradoxis/dnsrpc-bof/HEAD/%3Chttps:/learn.microsoft.com/en-us/openspecs/windows_protocols/ms-dnsp/9500a7e8-165d-4b13-be86-0ddc43100eef%3E ↩