T1187: 强制认证

摘要

攻击者可能通过调用或迫使用户通过其可以拦截的机制自动提供认证信息，来收集凭据材料。 服务器消息块 (SMB) 协议通常用于 Windows 网络中，用于系统之间的认证和通信，以便访问资源和文件共享。当 Windows 系统尝试连接到 SMB 资源时，它会自动尝试认证并将当前用户的凭据信息发送到远程系统。(Citation: Wikipedia Server Message Block) 此行为在企业环境中很典型，以便用户无需输入凭据即可访问网络资源。 当 SMB 被阻止或失败时，Windows 系统通常还将 Web 分布式创作和版本控制 (WebDAV) 用作备用协议。WebDAV 是 HTTP 的扩展，通常运行在 TCP 端口 80 和 443 上。(Citation: Didier Stevens WebDAV Traffic)(Citation: Microsoft Managing WebDAV Security) 攻击者可能利用此行为，通过强制 SMB/WebDAV 认证来获取用户账户哈希。攻击者可以通过鱼叉式网络钓鱼向用户发送包含指向攻击者控制的外部服务器资源链接的附件（即[模板注入](https://attack.mitre.org/techniques/T1221)），或将特制文件放置在特权账户的导航路径上（例如放置在桌面上的 .SCF 文件），或放置在可公开访问的共享上供受害者访问。当用户系统访问不受信任的资源时，它将尝试认证并通过 SMB 将信息（包括用户哈希凭据）发送到攻击者控制的服务器。(Citation: GitHub Hashjacking) 获得凭据哈希后，攻击者可以进行离线[暴力破解](https://attack.mitre.org/techniques/T1110)以获取明文凭据。(Citation: Cylance Redirect to SMB) 这可以通过几种不同的方式发生。(Citation: Osanda Stealing NetNTLM Hashes) 一些来自野外的具体用例如下： * 一个鱼叉式网络钓鱼附件，包含一个文档，其中有一个在文档打开时自动加载的资源（即[模板注入](https://attack.mitre.org/techniques/T1221)）。该文档可以包含例如类似于 <code>file[:]//[remote address]/Normal.dotm</code> 的请求来触发 SMB 请求。(Citation: US-CERT APT Energy Oct 2017) * 一个经过修改的 .LNK 或 .SCF 文件，其图标文件名指向外部引用，例如 <code>\\[remote address]\pic.png</code>，这将在渲染图标时强制系统加载该资源，以反复收集凭据。(Citation: US-CERT APT Energy Oct 2017) 或者，通过利用 <code>EfsRpcOpenFileRaw</code> 函数，攻击者可以向远程系统的 MS-EFSRPC 接口发送 SMB 请求，迫使受害计算机发起认证过程并共享其认证详细信息。加密文件系统远程协议 (EFSRPC) 是 Windows 网络中用于对远程存储、通过网络访问的加密数据进行维护和管理操作的协议。在 EFSRPC 中使用 <code>EfsRpcOpenFileRaw</code> 函数用于打开服务器上的加密对象以进行备份或还原。攻击者可以收集这些数据，并将其滥用为 NTLM 中继攻击的一部分，以获取对同一内部网络上远程系统的访问权限。(Citation: Rapid7)(Citation: GitHub)