Exchange邮件服务器渗透技巧

1. Exchange邮件服务器概述

Exchange邮件服务器在企业环境中通常是高价值目标，因为：

通常具有域管理员权限
存储大量敏感邮件数据
可作为横向移动的跳板
机器账户具有特殊权限

2. 信息收集

2.1 识别Exchange服务器

通过DNS查询：nslookup -type=SRV _autodiscover._tcp.domain.com
使用Nmap扫描：nmap -p 25,80,443,587,993,995 <target>
常见Exchange端口：
- 443 (HTTPS/OWA)
- 25 (SMTP)
- 587 (SMTP submission)
- 993 (IMAPS)
- 995 (POP3S)

2.2 版本识别

通过OWA页面源代码查看版本信息
使用Nmap脚本：nmap --script smtp-commands <target> -p25
通过EWS(Exchange Web Services)端点获取版本信息

3. 攻击面分析

3.1 常见攻击向量

OWA (Outlook Web Access) 登录页面
EWS (Exchange Web Services)
Autodiscover服务
Exchange管理控制台(ECP)
Exchange ActiveSync
RPC over HTTP

3.2 漏洞利用

ProxyLogon (CVE-2021-26855)
ProxyShell (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207)
ProxyOracle (CVE-2021-31195, CVE-2021-31196)
SSRF漏洞
NTLM中继攻击

4. 认证攻击

4.1 密码喷射攻击

使用工具：MailSniper, O365Spray
针对OWA/EWS/ActiveSync端点
注意锁定策略

4.2 NTLM中继

通过Exchange的SSRF漏洞触发NTLM认证
中继到LDAP/SMB服务
使用工具：Responder, ntlmrelayx.py

5. 权限提升

5.1 Exchange机器账户权限

Exchange服务器加入域时会创建机器账户
该账户默认具有"WriteDACL"权限
可修改其他用户的ACL

5.2 DCSync权限授予

获取Exchange机器账户凭据
使用PowerView添加DCSync权限：

Add-ObjectACL -TargetDistinguishedName "dc=domain,dc=com" -PrincipalSamAccountName "exchange_machine$" -Rights DCSync

使用mimikatz执行DCSync：

lsadump::dcsync /domain:domain.com /user:krbtgt

6. 后利用技术

6.1 邮件数据窃取

通过EWS API访问邮箱
使用工具：MailSniper, Ruler
导出PST文件

6.2 持久化

添加隐藏邮箱规则
创建管理角色
添加后门账户

6.3 横向移动

使用Exchange服务器作为中继点
利用机器账户凭证
通过邮件传递恶意负载

7. 防御检测

7.1 防御措施

及时更新Exchange补丁
限制Exchange机器账户权限
监控DCSync操作
实施NTLM限制策略

7.2 检测指标

异常的EWS请求
大量的邮箱访问
ACL修改事件
DCSync操作日志

8. 工具集

MailSniper: 用于搜索邮箱和收集信息
Ruler: 通过Outlook规则执行攻击
PrivExchange: NTLM中继攻击工具
mimikatz: 凭证转储和DCSync
PowerView: Active Directory枚举和ACL操作
BloodHound: 可视化攻击路径

9. 攻击流程示例

信息收集识别Exchange服务器
通过ProxyShell漏洞获取初始访问
转储LSASS进程获取机器账户凭据
使用PowerView添加DCSync权限
执行DCSync获取域控hash
黄金票据攻击获取域控权限

10. 注意事项

渗透测试前获取书面授权
注意操作对邮件服务可用性的影响
避免触发账号锁定策略
清理操作日志和痕迹

通过以上技术，攻击者可以从Exchange服务器入手，逐步获取整个域的控制权。防御方应特别关注Exchange服务器的安全配置和权限管理。

Exchange邮件服务器渗透技巧 1. Exchange邮件服务器概述 Exchange邮件服务器在企业环境中通常是高价值目标，因为：通常具有域管理员权限存储大量敏感邮件数据可作为横向移动的跳板机器账户具有特殊权限 2. 信息收集 2.1 识别Exchange服务器通过DNS查询： nslookup -type=SRV _autodiscover._tcp.domain.com 使用Nmap扫描： nmap -p 25,80,443,587,993,995 <target> 常见Exchange端口： 443 (HTTPS/OWA) 25 (SMTP) 587 (SMTP submission) 993 (IMAPS) 995 (POP3S) 2.2 版本识别通过OWA页面源代码查看版本信息使用Nmap脚本： nmap --script smtp-commands <target> -p25 通过EWS(Exchange Web Services)端点获取版本信息 3. 攻击面分析 3.1 常见攻击向量 OWA (Outlook Web Access) 登录页面 EWS (Exchange Web Services) Autodiscover服务 Exchange管理控制台(ECP) Exchange ActiveSync RPC over HTTP 3.2 漏洞利用 ProxyLogon (CVE-2021-26855) ProxyShell (CVE-2021-34473, CVE-2021-34523, CVE-2021-31207) ProxyOracle (CVE-2021-31195, CVE-2021-31196) SSRF漏洞 NTLM中继攻击 4. 认证攻击 4.1 密码喷射攻击使用工具：MailSniper, O365Spray 针对OWA/EWS/ActiveSync端点注意锁定策略 4.2 NTLM中继通过Exchange的SSRF漏洞触发NTLM认证中继到LDAP/SMB服务使用工具：Responder, ntlmrelayx.py 5. 权限提升 5.1 Exchange机器账户权限 Exchange服务器加入域时会创建机器账户该账户默认具有"WriteDACL"权限可修改其他用户的ACL 5.2 DCSync权限授予获取Exchange机器账户凭据使用PowerView添加DCSync权限：使用mimikatz执行DCSync： 6. 后利用技术 6.1 邮件数据窃取通过EWS API访问邮箱使用工具：MailSniper, Ruler 导出PST文件 6.2 持久化添加隐藏邮箱规则创建管理角色添加后门账户 6.3 横向移动使用Exchange服务器作为中继点利用机器账户凭证通过邮件传递恶意负载 7. 防御检测 7.1 防御措施及时更新Exchange补丁限制Exchange机器账户权限监控DCSync操作实施NTLM限制策略 7.2 检测指标异常的EWS请求大量的邮箱访问 ACL修改事件 DCSync操作日志 8. 工具集 MailSniper : 用于搜索邮箱和收集信息 Ruler : 通过Outlook规则执行攻击 PrivExchange : NTLM中继攻击工具 mimikatz : 凭证转储和DCSync PowerView : Active Directory枚举和ACL操作 BloodHound : 可视化攻击路径 9. 攻击流程示例信息收集识别Exchange服务器通过ProxyShell漏洞获取初始访问转储LSASS进程获取机器账户凭据使用PowerView添加DCSync权限执行DCSync获取域控hash 黄金票据攻击获取域控权限 10. 注意事项渗透测试前获取书面授权注意操作对邮件服务可用性的影响避免触发账号锁定策略清理操作日志和痕迹通过以上技术，攻击者可以从Exchange服务器入手，逐步获取整个域的控制权。防御方应特别关注Exchange服务器的安全配置和权限管理。