1. 項目概述為什么是RedSnarf如果你在Windows域滲透測試這個圈子里待過一段時間或者剛剛開始接觸那么“RedSnarf”這個名字你大概率不會陌生。它不像Metasploit那樣家喻戶曉也不像Cobalt Strike那樣功能全面但在針對Windows活動目錄Active Directory的橫向移動和憑證竊取方面RedSnarf絕對是一把被低估的瑞士軍刀。我第一次接觸它是在一次內(nèi)部紅隊評估中當(dāng)時需要快速、隱蔽地從一臺已控的域內(nèi)主機上提取其他用戶的會話和憑證嘗試了幾個工具都因為各種限制比如殺軟、網(wǎng)絡(luò)策略失敗了直到一位前輩丟過來一個命令幾秒鐘后目標(biāo)域控制器的管理員哈希就躺在了我的終端里——那個工具就是RedSnarf。簡單來說RedSnarf是一個用Perl和PowerShell編寫的工具包它的核心設(shè)計理念就是“快、準(zhǔn)、狠”。它不追求花哨的界面或復(fù)雜的模塊而是專注于執(zhí)行幾個在域滲透中最高頻、最致命的任務(wù)遠(yuǎn)程轉(zhuǎn)儲LSASS進程內(nèi)存以獲取憑證、竊取和重用用戶的Kerberos票據(jù)、執(zhí)行基于IPCS$的哈希傳遞攻擊以及枚舉域內(nèi)關(guān)鍵信息。它的所有操作幾乎都依賴于Windows原生協(xié)議和特性如SMB、WMI、計劃任務(wù)這使得它在許多環(huán)境下具有極佳的兼容性和隱蔽性。對于從零開始學(xué)習(xí)域滲透的新手理解RedSnarf的工作流程就等于理解了Windows認(rèn)證與橫向移動的核心脈絡(luò)對于有經(jīng)驗的老手它則是工具箱里一個可靠的“應(yīng)急”選項。2. 核心原理與攻擊鏈拆解要精通RedSnarf不能只會敲命令必須理解它背后的Windows安全機制。它的威力全部源于對Windows域認(rèn)證體系弱點的精準(zhǔn)利用。2.1 認(rèn)證基石NTLM與KerberosWindows域環(huán)境主要使用兩種認(rèn)證協(xié)議較老的NTLM和較新的Kerberos。RedSnarf的攻擊大多圍繞它們展開。NTLM哈希是用戶密碼經(jīng)過MD4算法加密后的值。在域中用戶的NTLM哈希存儲在域控制器DC的NTDS.dit數(shù)據(jù)庫中也會緩存在登錄過的成員計算機內(nèi)存中。一旦攻擊者獲取了哈希就可以在不破解明文密碼的情況下直接使用該哈希向網(wǎng)絡(luò)資源證明身份這就是“哈希傳遞”Pass-the-Hash PtH。RedSnarf的-pth參數(shù)就是干這個的。Kerberos票據(jù)則像是一場精心設(shè)計的戲劇票。當(dāng)你客戶端想訪問服務(wù)器如文件共享時需要先向域控制器票務(wù)中心證明身份獲取一張“票務(wù)授予票”TGT。然后用TGT去申請訪問特定服務(wù)的“服務(wù)票據(jù)”ST。RedSnarf的-k參數(shù)相關(guān)的功能就是竊取或偽造這些票據(jù)實現(xiàn)“票據(jù)傳遞”Pass-the-Ticket PtT。2.2 LSASS憑證的寶庫本地安全機構(gòu)子系統(tǒng)服務(wù)LSASS進程是Windows安全的核心。它負(fù)責(zé)管理登錄會話、維護憑據(jù)包括明文密碼、NTLM哈希、Kerberos票據(jù)等。因此LSASS內(nèi)存成了攻擊者的頭號目標(biāo)。RedSnarf的核心功能之一就是遠(yuǎn)程轉(zhuǎn)儲LSASS進程內(nèi)存。它通常通過WMI或計劃任務(wù)在目標(biāo)機器上執(zhí)行一個PowerShell或二進制程序如procdump將LSASS的內(nèi)存轉(zhuǎn)儲到磁盤然后通過SMB拉回攻擊機最后用Mimikatz等工具離線解析出憑證。整個過程RedSnarf幫你做了自動化封裝。2.3 橫向移動的跳板SMB與WMIRedSnarf利用兩種主要的協(xié)議進行橫向移動服務(wù)器消息塊SMB和Windows管理規(guī)范WMI。SMB是文件共享和打印機共享協(xié)議。經(jīng)典的IPC$共享是空會話連接和后續(xù)攻擊的入口。RedSnarf利用SMB進行文件上傳上傳攻擊載荷、下載拉回轉(zhuǎn)儲文件以及執(zhí)行基于SMB的哈希傳遞攻擊。WMI則提供了強大的遠(yuǎn)程系統(tǒng)管理能力。通過WMIRedSnarf可以遠(yuǎn)程創(chuàng)建進程、執(zhí)行命令、查詢系統(tǒng)信息。相比SMBWMI的執(zhí)行方式可能更隱蔽因為它走的是DCOM或WinRM協(xié)議是系統(tǒng)管理員的“正規(guī)”管理通道。理解了這些你就明白了RedSnarf每一條命令背后在“捅”Windows系統(tǒng)的哪個要害。3. 環(huán)境搭建與工具準(zhǔn)備工欲善其事必先利其器。RedSnarf的運行環(huán)境有點“老派”但搭建起來并不復(fù)雜。3.1 攻擊機環(huán)境配置RedSnarf主要依賴Perl和部分PowerShell模塊。雖然它自稱支持Linux和Windows但在Kali Linux或Parrot OS這類滲透測試發(fā)行版上運行最為順暢。系統(tǒng)準(zhǔn)備推薦使用最新版的Kali Linux作為攻擊機。確保系統(tǒng)已更新。sudo apt update sudo apt upgrade -y安裝Perl依賴RedSnarf的核心是Perl腳本需要一些額外的Perl模塊。sudo apt install perl libio-socket-ssl-perl libnet-ssleay-perl libssl-dev -y這里安裝的是處理SSL連接所需的Perl模塊因為部分操作如某些WMI調(diào)用可能需要加密通道。獲取RedSnarf從GitHub克隆最新代碼。git clone https://github.com/nccgroup/redsnarf.git cd redsnarf注意務(wù)必從官方或可信源獲取工具。第三方打包的版本可能被植入后門。準(zhǔn)備輔助工具RedSnarf本身不解析憑證它需要配合其他工具。Mimikatz用于解析從LSASS轉(zhuǎn)儲文件中提取的哈希和票據(jù)。將mimikatz.exex64版放在RedSnarf目錄下的tools/文件夾中如果沒有就創(chuàng)建一個。Impacketsecretsdump.py雖然RedSnarf有自己的哈希抓取模塊但I(xiàn)mpacket的secretsdump是離線解析NTDS.dit或注冊表hive文件的黃金標(biāo)準(zhǔn)。確保你的Python環(huán)境安裝了Impacket套件。pip3 install impacket3.2 目標(biāo)域環(huán)境模擬實驗室搭建絕對禁止在未經(jīng)授權(quán)的真實網(wǎng)絡(luò)中使用RedSnarf。你必須搭建自己的實驗室。 一個經(jīng)典的實驗室拓?fù)淙缦乱慌_域控制器DC安裝Windows Server 2016/2019提升為域控制器創(chuàng)建測試域如lab.local。一臺域成員服務(wù)器安裝Windows Server 2016/2019或Windows 10/11加入上述域。一臺攻擊機即我們剛配置好的Kali Linux需要能與域內(nèi)機器通信。確保所有機器在同一網(wǎng)絡(luò)段防火墻規(guī)則允許必要的流量SMB 445端口 WMI 135端口等。在域成員服務(wù)器上可以創(chuàng)建幾個測試用戶如user1,admin_user并分配不同的權(quán)限。3.3 RedSnarf目錄結(jié)構(gòu)初探進入RedSnarf目錄你會看到幾個關(guān)鍵文件和文件夾redsnarf.pl主程序入口。redsnarf.pyPython版本的主程序功能可能略有不同建議以Perl版為主。modules/存放各種攻擊模塊的Perl腳本。tools/你應(yīng)該把Mimikatz等第三方工具放在這里。logs/默認(rèn)的日志輸出目錄。creds/成功獲取的憑證可能會被保存到這里。運行./redsnarf.pl -h查看幫助菜單熟悉所有參數(shù)。這是你使用任何新工具的第一步。4. 核心模塊深度解析與實戰(zhàn)RedSnarf的功能通過不同的模塊和參數(shù)組合實現(xiàn)。我們深入剖析幾個最核心的攻擊場景。4.1 哈希獲取遠(yuǎn)程轉(zhuǎn)儲LSASS這是RedSnarf的招牌動作。假設(shè)我們已經(jīng)通過某種方式比如釣魚獲取的憑據(jù)在域成員服務(wù)器WORKSTATION01上有了一個立足點一個本地管理員權(quán)限的shell現(xiàn)在想提取這臺機器內(nèi)存中的所有域用戶哈希。命令示例./redsnarf.pl -H 192.168.1.10 -u administrator -p Pssw0rd! -d lab.local -h-H指定目標(biāo)主機IP。-u/-p用于認(rèn)證的本地管理員用戶名和密碼或哈希。-d域名。-h執(zhí)行“哈希轉(zhuǎn)儲”操作。背后發(fā)生了什么連接與認(rèn)證RedSnarf使用你提供的憑據(jù)通過SMB連接到目標(biāo)主機的ADMIN$共享。上傳工具它會將內(nèi)置或tools/目錄下的一個LSASS轉(zhuǎn)儲工具可能是PowerShell腳本或編譯好的可執(zhí)行文件上傳到目標(biāo)機的臨時目錄。遠(yuǎn)程執(zhí)行通過計劃任務(wù)或WMI在目標(biāo)機上靜默執(zhí)行該轉(zhuǎn)儲工具將lsass.exe進程的內(nèi)存轉(zhuǎn)儲到一個文件如C:\Windows\Temp\lsass.dmp。下載文件通過SMB將轉(zhuǎn)儲文件拉回到攻擊機的logs/目錄。離線解析RedSnarf會自動或提示你使用tools/目錄下的Mimikatz來解析這個dump文件。你會看到輸出中包含NTLM哈希、Kerberos密鑰等信息。實操心得這個操作動靜較大容易被端點防護EDR檢測。在實際測試中我發(fā)現(xiàn)使用-dumpmethod wmi參數(shù)通過WMI調(diào)用CreateProcess有時比默認(rèn)的計劃任務(wù)方式更隱蔽。另外確保你的Mimikatz版本較新能繞過一些內(nèi)存掃描特征。4.2 橫向移動哈希傳遞攻擊拿到了一個域用戶的NTLM哈希比如aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0這是空用戶的哈希但原理相同如何用它登錄到另一臺主機WORKSTATION02命令示例./redsnarf.pl -H 192.168.1.11 -u administrator -HASH aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0 -d lab.local -pth-HASH指定NTLM哈希值LM:NT格式。-pth執(zhí)行哈希傳遞攻擊。攻擊流程解析RedSnarf使用提供的哈希而不是密碼向目標(biāo)主機192.168.1.11發(fā)起SMB認(rèn)證。如果目標(biāo)主機的本地管理員賬戶administrator的密碼與哈希來源的密碼相同或者在域環(huán)境下該哈希屬于一個在目標(biāo)機上有權(quán)限的域賬戶認(rèn)證就會成功。認(rèn)證成功后RedSnarf可以進一步執(zhí)行命令例如添加一個后門用戶、啟動一個反向shell等。這通常需要結(jié)合-c參數(shù)來指定要執(zhí)行的命令。注意事項哈希傳遞成功的關(guān)鍵在于權(quán)限。你擁有的哈希所對應(yīng)的賬戶必須在目標(biāo)機器上具有足夠的權(quán)限通常是本地管理員組。在域環(huán)境中域管理員賬戶的哈?？梢栽谌魏斡虺蓡T機器上傳遞成功這就是它如此危險的原因。4.3 票據(jù)竊取與傳遞Kerberos攻擊如果目標(biāo)環(huán)境主要使用Kerberos認(rèn)證哈希傳遞可能受限。這時票據(jù)攻擊就更有效。場景你已經(jīng)控制了WORKSTATION01并且當(dāng)前登錄的用戶或系統(tǒng)內(nèi)存中有域管理員的Kerberos TGT票據(jù)。命令示例簡化流程RedSnarf的Kerberos模塊可能需要手動指定。更常見的做法是先用RedSnarf或Mimikatz在目標(biāo)機上導(dǎo)出所有票據(jù)。# 在已控的WORKSTATION01上通過RedSnarf或其他方式執(zhí)行 # 使用Mimikatz導(dǎo)出票據(jù) mimikatz # privilege::debug mimikatz # sekurlsa::tickets /export這會生成一系列.kirbi文件。然后在攻擊機上你可以使用RedSnarf或Impacket的ticketConverter.py將其轉(zhuǎn)換為Impacket可用的格式并用python3 psexec.py -k -no-pass domain/admindc.lab.local這樣的命令進行票據(jù)傳遞攻擊。RedSnarf可能通過-k參數(shù)集成部分功能但根據(jù)版本不同其Kerberos模塊的成熟度可能不如專門的工具。理解這個流程比記住特定命令更重要。4.4 信息枚舉偵察與定位在發(fā)動攻擊前偵察至關(guān)重要。RedSnarf提供了一些基本的枚舉功能。命令示例./redsnarf.pl -H 192.168.1.10 -u guest -p -d lab.local -e-e執(zhí)行枚舉操作。這可能會嘗試空會話連接枚舉共享、用戶、組等信息。枚舉內(nèi)容可能包括通過net view或SMB枚舉網(wǎng)絡(luò)共享。通過WMI查詢系統(tǒng)信息用戶、進程、服務(wù)。嘗試枚舉域內(nèi)用戶和組如果權(quán)限足夠。踩坑記錄空會話-u guest -p 在現(xiàn)代Windows系統(tǒng)Server 2008以后上受到嚴(yán)格限制通常無法枚舉到有價值信息。這個模塊的成功率很大程度上取決于目標(biāo)系統(tǒng)的安全策略RestrictAnonymous。更可靠的信息收集往往需要先獲得一個有效賬戶哪怕權(quán)限很低然后使用-u -p參數(shù)配合枚舉。5. 高級技巧與隱蔽化操作直接使用默認(rèn)參數(shù)和模塊很容易被藍(lán)隊發(fā)現(xiàn)。以下是一些提升隱蔽性和成功率的技巧。5.1 繞過日志與檢測清理痕跡RedSnarf執(zhí)行后會在目標(biāo)機留下計劃任務(wù)、臨時文件、WMI事件訂閱等痕跡。成熟的腳本應(yīng)在操作后自動清理。你可以手動檢查schtasks /query /tn [任務(wù)名]Get-WmiObject -Namespace root\Subscription -Class __EventFilter和__EventConsumerC:\Windows\Temp\目錄下的可疑文件。 在實戰(zhàn)中我通常會寫一個簡單的PowerShell腳本在RedSnarf執(zhí)行完畢后作為-c參數(shù)調(diào)用專門刪除這些痕跡。對抗EDR直接使用公開的Mimikatz或Procdump會被大多數(shù)EDR瞬間攔截。自定義加載器將Mimikatz的PowerShell版本或C#版本進行混淆、編譯、或通過反射加載。使用替代工具使用Task Manager的轉(zhuǎn)儲功能、SqlDumper.exe等合法系統(tǒng)工具間接轉(zhuǎn)儲LSASS。RedSnarf不一定集成這些方法但你可以修改其模塊或自行上傳腳本。直接讀取進程內(nèi)存通過MiniDumpWriteDumpAPI的P/Invoke調(diào)用這是更高階的技巧。你需要將相應(yīng)的C#或PowerShell代碼集成到RedSnarf的攻擊流程中。5.2 流量偽裝與協(xié)議選擇加密通道盡可能使用Kerberos認(rèn)證-k而非NTLM。Kerberos流量本身是加密的而NTLM認(rèn)證過程可能被網(wǎng)絡(luò)設(shè)備嗅探到挑戰(zhàn)-響應(yīng)消息。端口選擇SMB over TCP445端口是重災(zāi)區(qū)。如果環(huán)境允許可以嘗試將SMB流量封裝在HTTP/HTTPS中例如使用WebDAV但這需要目標(biāo)服務(wù)器配置支持且RedSnarf原生不支持。延遲與抖動在腳本中添加隨機延遲模擬正常用戶行為。RedSnarf本身是單線程快速攻擊容易被流量異常檢測發(fā)現(xiàn)。你可以分步驟手動執(zhí)行或在腳本層進行控制。5.3 模塊擴展與自定義RedSnarf的模塊化結(jié)構(gòu)允許你進行擴展。modules/目錄下的.pl文件就是各個功能模塊。如果你有一個新的攻擊思路比如利用某個新的服務(wù)漏洞可以參照現(xiàn)有模塊的寫法創(chuàng)建一個新的Perl腳本。例如一個簡單的模塊框架如下package RSModule; use strict; use warnings; use RSHelper; # RedSnarf的輔助模塊 sub new { my ($class, %args) _; my $self {%args}; bless $self, $class; return $self; } sub execute { my ($self) _; my $target $self-{target}; my $creds $self-{creds}; # 你的攻擊邏輯在這里 print [*] 正在對 $target 執(zhí)行自定義攻擊...\n; # 調(diào)用RSHelper中的函數(shù)進行SMB/WMI連接等 my $result RSHelper::wmi_command($target, $creds, whoami); print [] 結(jié)果: $result\n; return 1; # 成功返回1 } 1;然后你需要在主程序redsnarf.pl中注冊和調(diào)用這個模塊。這需要對Perl和RedSnarf的代碼結(jié)構(gòu)有一定了解。6. 防御視角如何檢測與防范RedSnarf攻擊作為一名紅隊成員了解如何攻擊的同時也必須知道藍(lán)隊如何防御這樣才能更好地規(guī)避。6.1 關(guān)鍵攻擊特征檢測網(wǎng)絡(luò)層面異常SMB連接模式短時間內(nèi)從單一IP向多臺主機發(fā)起SMB連接并使用相同的用戶名進行認(rèn)證失敗和成功嘗試。WMI異常調(diào)用來自非管理終端或非常用IP地址的Win32_ProcessCreate調(diào)用特別是創(chuàng)建cmd.exe、powershell.exe或未知可執(zhí)行文件。計劃任務(wù)創(chuàng)建遠(yuǎn)程創(chuàng)建名稱隨機或類似系統(tǒng)任務(wù)的任務(wù)計劃。主機層面LSASS進程訪問任何非系統(tǒng)關(guān)鍵進程如svchost.exe,lsass.exe自身對lsass.exe進程進行PROCESS_VM_READ操作都應(yīng)視為高度可疑。Windows Defender ATP和SysmonEvent ID 10可以監(jiān)控這一點。憑證內(nèi)存讀取直接檢測Mimikatz等工具的內(nèi)存簽名或行為鏈。臨時文件創(chuàng)建在C:\Windows\Temp\或C:\Users\Public目錄下創(chuàng)建.dmp文件并隨后被網(wǎng)絡(luò)傳輸。6.2 主動防御策略強化認(rèn)證禁用NTLM在域環(huán)境中盡可能強制使用Kerberos認(rèn)證并禁用NTLMv1限制NTLMv2的使用范圍。實施Credential Guard對于Windows 10/11和Server 2016啟用Credential Guard可以基于虛擬化安全VBS隔離LSASS進程使傳統(tǒng)的內(nèi)存轉(zhuǎn)儲工具無法讀取受保護的憑據(jù)。啟用LSA保護通過設(shè)置注冊表RunAsPPL保護LSASS進程不被非受保護進程注入。最小權(quán)限原則限制本地管理員嚴(yán)格限制擁有本地管理員權(quán)限的用戶數(shù)量。使用“受限管理員”模式或“僅允許提升的應(yīng)用程序”策略。網(wǎng)絡(luò)分段將關(guān)鍵服務(wù)器如域控制器放在獨立網(wǎng)段嚴(yán)格限制從工作站發(fā)起到DC的SMB、WMI連接。管理跳板機所有對服務(wù)器的管理操作必須通過經(jīng)過嚴(yán)格安全加固的跳板機堡壘機進行并實施多因素認(rèn)證。深度監(jiān)控部署Sysmon配置精細(xì)的Sysmon策略記錄進程創(chuàng)建、網(wǎng)絡(luò)連接、文件創(chuàng)建、進程訪問等事件并集中收集到SIEM中。啟用命令行審計在組策略中啟用“審核進程創(chuàng)建”并記錄命令行參數(shù)這能捕獲攻擊者執(zhí)行的命令。建立行為基線了解環(huán)境中正常的WMI、計劃任務(wù)、SMB登錄模式任何偏離基線的行為都值得警惕。7. 實戰(zhàn)演練從外網(wǎng)到域控的模擬路徑讓我們串聯(lián)起所有知識模擬一個高度簡化的攻擊鏈。再次強調(diào)僅在授權(quán)的實驗室環(huán)境中進行。階段一初始訪問假設(shè)我們通過一次成功的釣魚攻擊在域用戶Bob的工作站CLIENT01上獲得了一個反向Shell。Bob是普通用戶不是本地管理員。階段二權(quán)限提升在CLIENT01上我們利用一個本地提權(quán)漏洞例如通過getsystem或利用未修補的內(nèi)核漏洞獲得了NT AUTHORITY\SYSTEM權(quán)限。階段三憑證竊取RedSnarf登場在攻擊機Kali上我們已經(jīng)知道了CLIENT01的IP192.168.1.100和本地管理員密碼通過提權(quán)后的信息收集獲得或假設(shè)默認(rèn)密碼。使用RedSnarf遠(yuǎn)程轉(zhuǎn)儲LSASS./redsnarf.pl -H 192.168.1.100 -u administrator -p Admin123! -d lab.local -h -o logs/client01_dump解析dump文件幸運地發(fā)現(xiàn)域管理員DAlab.local的密碼哈希也緩存在這臺機器上。階段四橫向移動至域控制器域控制器IP為192.168.1.1。使用RedSnarf進行哈希傳遞并嘗試執(zhí)行命令添加后門用戶./redsnarf.pl -H 192.168.1.1 -u DA -HASH [獲取到的DA用戶的NTLM哈希] -d lab.local -pth -c “net user backdooruser Pssw0rd! /add /domain net group ‘Domain Admins’ backdooruser /add /domain”這條命令使用域管理員哈希向域控制器發(fā)起認(rèn)證成功后執(zhí)行添加用戶并加入域管理員組的命令。階段五持久化與清理成功添加后門賬戶后可以通過該賬戶直接訪問域控制器。最后記得清理在CLIENT01上留下的RedSnarf臨時文件和計劃任務(wù)。這個鏈條展示了RedSnarf在“憑證竊取”和“橫向移動”兩個關(guān)鍵環(huán)節(jié)的核心作用。在實際復(fù)雜的網(wǎng)絡(luò)中步驟會更多障礙也會更大但基本原理相通。掌握RedSnarf的精髓不在于記住所有參數(shù)而在于深刻理解每一條命令背后的Windows協(xié)議和認(rèn)證機制。它更像一個教學(xué)工具和概念驗證腳本將復(fù)雜的攻擊過程自動化、模塊化。當(dāng)你能夠手動復(fù)現(xiàn)RedSnarf的每一個步驟甚至能根據(jù)環(huán)境變化修改其代碼時你才算真正“精通”了它。工具會過時但底層原理永存。在滲透測試中最強大的工具始終是測試者自己的知識體系。