如何使用Whisker接管活动目录用户或计算机账号

安全 数据安全
Whisker是一款基于C#开发的工具,可以通过篡改目标账号的msDS-KeyCredentialLink或添加“Shadow Credentials”来实现活动目录用户或计算机账号的接管。

关于Whisker

Whisker是一款基于C#开发的工具,可以通过篡改目标账号的msDS-KeyCredentialLink或添加“Shadow Credentials”来实现活动目录用户或计算机账号的接管。

该工具主要基于DSInternals项目代码实现其功能。

为了保证攻击能够成功,环境必须为运行了最新版本Windows Server 2016的域控制器,而且域控制器必须拥有一个服务器认证证书以支持PKINIT Kerberos认证。

工具下载

广大研究人员可以使用下列命令将该项目源码克隆至本地,并进行代码构建:

  1. git clone https://github.com/eladshamir/Whisker.git 

工具使用

向目标对象的msDS-KeyCredentialLink属性添加一个新的值:

  • /target::必须。设置目标名称,计算机对象必须以“$”结尾。
  • /domain::可选。设置目标全限定域名(FQDN),如果不提供该值,工具将会尝试解析当前用户的FQDN。
  • /dc::可选。设置目标域控制器(DC),如果不提供该值,工具将会尝试攻击主域控制器(PDC)。
  • /path: :可选。设置存储生成的自签名证书的路径,如果不提供该值,证书将会以Base64格式打印。
  • /password: :可选。设置已存储自签名证书的密码,如果不提供该值,将会生成随机密码。

使用样例:

  1. Whisker.exe add /target:computername$ /domain:constoso.local /dc:dc1.contoso.local /path:C:\path\to\file.pfx /password:P@ssword1 

从目标对象的msDS-KeyCredentialLink属性移除一个值:

  • /target::必须。设置目标名称,计算机对象必须以“$”结尾。
  • /deviceID:: 必须。设置目标对象msDS-KeyCredentialLink属性待移除值的DeviceID,必须是一个有效的GUID。
  • /domain:: 可选。设置目标全限定域名(FQDN),如果不提供该值,工具将会尝试解析当前用户的FQDN。
  • /dc::可选。设置目标域控制器(DC),如果不提供该值,工具将会尝试攻击主域控制器(PDC)。

使用样例:

  1. Whisker.exe remove /target:computername$ /domain:constoso.local /dc:dc1.contoso.local /remove:2de4643a-2e0b-438f-a99d-5cb058b3254b 

清除目标对象msDS-KeyCredentialLink属性的所有值:

  • /target::必须。设置目标名称,计算机对象必须以“$”结尾。
  • /domain::可选。设置目标全限定域名(FQDN),如果不提供该值,工具将会尝试解析当前用户的FQDN。
  • /dc::可选。设置目标域控制器(DC),如果不提供该值,工具将会尝试攻击主域控制器(PDC)。

使用样例:

  1. Whisker.exe clear /target:computername$ /domain:constoso.local /dc:dc1.contoso.local 

输出目标对象msDS-KeyCredentialLink属性的所有值:

  • /target::必须。设置目标名称,计算机对象必须以“$”结尾。
  • /domain::可选。设置目标全限定域名(FQDN),如果不提供该值,工具将会尝试解析当前用户的FQDN。
  • /dc::可选。设置目标域控制器(DC),如果不提供该值,工具将会尝试攻击主域控制器(PDC)。

使用样例:

  1. Whisker.exe list /target:computername$ /domain:constoso.local /dc:dc1.contoso.local 

项目地址

Whisker:【GitHub传送门

 

责任编辑:赵宁宁 来源: FreeBuf
相关推荐

2011-07-12 16:22:31

活动目录

2011-08-01 15:34:42

非活动计算机账号

2022-02-15 13:38:46

PowerPoint计算机Windows

2010-12-27 16:14:22

Active Dire

2019-12-12 09:20:05

注销计算机Windows 10

2020-09-01 13:07:52

女人计算机编程

2013-03-19 10:37:55

psacctacct监视

2010-10-22 11:01:42

Windows Pow

2022-05-26 15:10:31

量子计算机

2013-12-06 10:11:18

冰岛语计算机信息技术

2023-06-26 10:44:42

2018-09-03 15:20:29

2011-11-17 13:28:35

云计算超级计算机

2009-06-25 09:01:42

Linux

2019-10-24 10:40:51

Windows 10安全性密码登录

2013-01-16 10:19:28

2010-09-29 11:10:35

活动目录AD

2012-06-20 10:40:36

量子计算机

2011-08-01 16:59:27

活动目录域控制器

2010-07-05 10:52:42

水冷超级计算机
点赞
收藏

51CTO技术栈公众号