宸极实验室——『红蓝对抗』Exchange的渗透流程（一）

Answer 1

介绍：简单介绍一下Exchange邮箱以及渗透流程。

0x00 前言

在打靶场时，存在Exchange邮箱的漏洞。开始学习Exchange邮箱，从搭建到使用，再到漏洞利用，对Exchange邮箱的了解逐渐加深。

0x01 Exchange介绍

Exchange Server是微软公司提供的电子邮件服务组件，能够构建企业、学校的邮件系统。它还是一个协作平台，支持工作流、知识管理系统、Web系统等消息系统的开发。

目前有四个版本：Exchange Server 2010、2013、2016、2019。

1.1 Exchange 接口介绍
1.2 Exchange 命令行管理程序使用

查看MailBox 数据库：

查看指定用户邮箱使用信息：

查看全部用户邮箱使用信息：

0x02 发现Exchange
2.1 SPN 查询

使用SPN查询，快速判断域中是否安装了Exchange邮箱，并定位到Exchange服务器。

2.2 端口扫描

Exchange会暴露OWA、ecp等接口，通常在80端口，同时在25、587、2525等端口上有SMTP服务。通过端口特征定位Exchange。

0x03 Exchange版本确定

在owa界面的HTML代码中，显示Exchange的具体版本号，例如15.1.1591。搜索该版本号，确认最终版本为Exchange Server 2016 CU11。

0x04 Exchange邮箱账户爆破
4.1 使用 burp 爆破

对OWA、EWS、autodiscover、Microsoft-Server-ActiveSync界面进行爆破，使用burp工具针对OWA界面，通过返回包长度判断爆破成功。

4.2 Ruler

Ruler工具允许通过MAPI/HTTP或RPC/HTTP与Exchange服务器交互，用于滥用Outlook功能并远程获取Shell。

通过/autodiscover/autodiscover.xml爆破。

4.3 MailSniper

用于密码喷洒、枚举用户和域、从OWA和EWS收集GAL以及检查每个Exchange用户邮箱权限的工具。

通过OWA爆破，EWS爆破，Microsoft-Server-ActiveSync爆破。

拿到邮箱账号密码后，获取所有邮箱地址。

0x05 总结

收集Exchange邮箱信息的方法和爆破工具众多。爆破正确邮箱用户及密码对漏洞利用至关重要，了解漏洞环境，选择合适工具提高效率。

免责声明：本文仅供安全研究与讨论，严禁非法用途，责任自负。