深入Exchange Server在网络渗透下的利用方法
字数 1879 2025-08-18 11:37:49

Exchange Server在网络渗透中的利用方法

一、Exchange Server基础知识

1. Exchange Server概述

Exchange Server是微软开发的邮件服务器和日历服务器，运行于Windows Server操作系统上。主要版本包括Exchange 2010、2013、2016和2019。

2. 服务器角色演变

  • Exchange 2010：5个角色

    • 邮箱服务器(Mailbox Server)：托管邮箱和公共文件夹
    • 客户端访问服务器(Client Access Server)：处理客户端请求
    • 集线传输服务器(Hub Transport Server)：邮件路由和中继
    • 边缘传输服务器(Edge Transport Server)：边界邮件路由
    • 统一消息服务器(Unified Messaging Server)：语音和传真集成

  • Exchange 2013：3个角色

    • 邮箱服务器
    • 客户端访问服务器
    • 边缘传输服务器

  • Exchange 2016/2019：2个角色

    • 邮箱服务器
    • 边缘传输服务器

3. 客户端访问接口和协议

  • OWA (Outlook Web App)：Web邮箱接口
  • ECP (Exchange Control Panel)：管理控制台
  • Outlook Anywhere (RPC-over-HTTP)：远程访问协议
  • MAPI (MAPI-over-HTTP)：Outlook专用协议
  • Exchange ActiveSync (EAS)：移动设备同步协议
  • Exchange Web Services (EWS)：SOAP API接口

4. 关键服务功能

  • 自动发现服务(Autodiscover)：自动配置客户端设置
  • 全局地址列表(GAL)：组织内所有邮箱用户的地址列表

二、Exchange Server发现方法

1. 端口扫描识别

Exchange常见开放端口：

  • 25/587/2525：SMTP服务
  • 80/443：HTTP/HTTPS (OWA/ECP)
  • 465：SMTPS
  • 其他Exchange相关服务端口

2. SPN查询

通过活动目录查询Exchange相关SPN：

setspn -T fb.com -F -Q */*

常见Exchange SPN包括：

  • exchangeRFR
  • exchangeAB
  • exchangeMDB
  • SMTP
  • SMTPSvc

三、Exchange接口利用

1. 暴力破解

  • 自动发现服务破解：利用Autodiscover.xml接口

    ruler --domain fb.com brute --users users.txt --passwords passwords.txt -v

  • Password Spray：针对多个账户的低频尝试

    • OWA接口
    • EWS接口
    • ActiveSync接口

2. 合法凭证后渗透利用

2.1 Outlook功能滥用

规则和通知功能利用：

  1. 创建规则：当邮件主题包含特定关键词时执行程序
  2. 发送触发邮件
  3. 用户Outlook接收邮件时执行程序

主页设置功能利用：

  1. 设置收件箱主页为恶意URL
  2. 利用ActiveX逃逸执行命令 
    Set Application = ViewCtl1.OutlookApplication
Set cmd = Application.CreateObject("Wscript.Shell")
cmd.Run("cmd.exe")

2.2 邮件内容检索

  • 检索当前用户邮箱：

    Invoke-SelfSearch -Mailbox user@domain.com -Terms *机密* -Folder 收件箱

  • 检索所有用户邮箱：

    Invoke-GlobalMailSearch -ImpersonationAccount user -ExchHostname exchange-server -AdminUserName admin -Term "*内部邮件*"

2.3 邮箱权限利用

查找存在权限缺陷的邮箱：

Invoke-OpenInboxFinder -ExchangeVersion Exchange2013_SP1 -ExchHostname exchange-server -EmailList users.txt

四、NTLM中继攻击Exchange

1. 攻击原理

  • 截获Net-NTLM哈希
  • 重放到Exchange EWS接口
  • 获取邮箱访问权限

2. 攻击步骤

  1. 启动ExchangeRelayx工具
  2. 发送钓鱼邮件诱导用户访问恶意链接
  3. 捕获NTLM认证并重放
  4. 通过管理后台访问邮箱

3. 可执行操作

  • 查看邮件和附件
  • 下载联系人列表
  • 创建邮件转发规则
  • 导出地址簿

五、防御建议

  1. 认证安全

    • 启用多因素认证
    • 设置合理的密码策略
    • 监控异常登录尝试

  2. 权限控制

    • 遵循最小权限原则
    • 定期审计邮箱权限
    • 限制ApplicationImpersonation角色分配

  3. 服务安全

    • 及时更新Exchange补丁
    • 禁用不必要的协议和服务
    • 配置SPN保护

  4. 监控与检测

    • 监控异常规则创建
    • 检测异常邮件转发
    • 审计邮箱访问日志

  5. NTLM防护

    • 启用SMB签名
    • 限制NTLM使用
    • 配置EPA(Extended Protection for Authentication)

六、参考工具

  1. Ruler：Exchange命令行交互工具
  2. MailSniper：邮箱信息检索工具
  3. ExchangeRelayx：NTLM中继攻击工具
  4. Inveigh/Responder：NTLM捕获工具

通过深入理解Exchange Server的架构和功能，渗透测试人员可以有效地识别和利用其安全弱点，同时管理员也能针对性地加强Exchange环境的安全防护。

Exchange Server在网络渗透中的利用方法 一、Exchange Server基础知识 1. Exchange Server概述 Exchange Server是微软开发的邮件服务器和日历服务器，运行于Windows Server操作系统上。主要版本包括Exchange 2010、2013、2016和2019。 2. 服务器角色演变 Exchange 2010 ：5个角色 邮箱服务器(Mailbox Server)：托管邮箱和公共文件夹 客户端访问服务器(Client Access Server)：处理客户端请求 集线传输服务器(Hub Transport Server)：邮件路由和中继 边缘传输服务器(Edge Transport Server)：边界邮件路由 统一消息服务器(Unified Messaging Server)：语音和传真集成 Exchange 2013 ：3个角色 邮箱服务器 客户端访问服务器 边缘传输服务器 Exchange 2016/2019 ：2个角色 邮箱服务器 边缘传输服务器 3. 客户端访问接口和协议 OWA (Outlook Web App) ：Web邮箱接口 ECP (Exchange Control Panel) ：管理控制台 Outlook Anywhere (RPC-over-HTTP) ：远程访问协议 MAPI (MAPI-over-HTTP) ：Outlook专用协议 Exchange ActiveSync (EAS) ：移动设备同步协议 Exchange Web Services (EWS) ：SOAP API接口 4. 关键服务功能 自动发现服务(Autodiscover) ：自动配置客户端设置 全局地址列表(GAL) ：组织内所有邮箱用户的地址列表 二、Exchange Server发现方法 1. 端口扫描识别 Exchange常见开放端口： 25/587/2525：SMTP服务 80/443：HTTP/HTTPS (OWA/ECP) 465：SMTPS 其他Exchange相关服务端口 2. SPN查询 通过活动目录查询Exchange相关SPN： 常见Exchange SPN包括： exchangeRFR exchangeAB exchangeMDB SMTP SMTPSvc 三、Exchange接口利用 1. 暴力破解 自动发现服务破解 ：利用Autodiscover.xml接口 Password Spray ：针对多个账户的低频尝试 OWA接口 EWS接口 ActiveSync接口 2. 合法凭证后渗透利用 2.1 Outlook功能滥用 规则和通知功能利用 ： 创建规则：当邮件主题包含特定关键词时执行程序 发送触发邮件 用户Outlook接收邮件时执行程序 主页设置功能利用 ： 设置收件箱主页为恶意URL 利用ActiveX逃逸执行命令 2.2 邮件内容检索 检索当前用户邮箱 ： 检索所有用户邮箱 ： 2.3 邮箱权限利用 查找存在权限缺陷的邮箱： 四、NTLM中继攻击Exchange 1. 攻击原理 截获Net-NTLM哈希 重放到Exchange EWS接口 获取邮箱访问权限 2. 攻击步骤 启动ExchangeRelayx工具 发送钓鱼邮件诱导用户访问恶意链接 捕获NTLM认证并重放 通过管理后台访问邮箱 3. 可执行操作 查看邮件和附件 下载联系人列表 创建邮件转发规则 导出地址簿 五、防御建议 认证安全 启用多因素认证 设置合理的密码策略 监控异常登录尝试 权限控制 遵循最小权限原则 定期审计邮箱权限 限制ApplicationImpersonation角色分配 服务安全 及时更新Exchange补丁 禁用不必要的协议和服务 配置SPN保护 监控与检测 监控异常规则创建 检测异常邮件转发 审计邮箱访问日志 NTLM防护 启用SMB签名 限制NTLM使用 配置EPA(Extended Protection for Authentication) 六、参考工具 Ruler ：Exchange命令行交互工具 MailSniper ：邮箱信息检索工具 ExchangeRelayx ：NTLM中继攻击工具 Inveigh/Responder ：NTLM捕获工具 通过深入理解Exchange Server的架构和功能，渗透测试人员可以有效地识别和利用其安全弱点，同时管理员也能针对性地加强Exchange环境的安全防护。