Active Directory

Tüm serinin temel yazısı: iki ormanlı, üç domain'li bir Active Directory laboratuvarının bir ThinkPad üzerinde çıplak donanımdan nasıl kurulduğu, Vagrant ve Ansible'ın gerçekte ne yaptığı, yamalanması gereken VMware pürüzleri ve laboratuvarın nasıl başlatılıp snapshot alındığı ve Kali'den nasıl erişildiği.

Bir istismarı çalıştırmadan önce beş sunuculu GOAD ortamına sistem tarafından bakmak: kuruluşlar neden ormanlara ve alt etki alanlarına ayrılır, dizin bölümleri nasıl replike olur, DNS koşullu yönlendiricileri ve Trusted Domain Objects ormanlar arası kimlik doğrulamayı nasıl yönlendirir ve normal Windows özellikleri nerede saldırı yoluna dönüşür?

Kerberos double-hop problemi ve Windows'taki üç nesil delegasyon: Unconstrained, Constrained (S4U2Self / S4U2Proxy) ve Resource-Based Constrained Delegation (RBCD) modellerinin GOAD laboratuvarındaki LDAP izleri, protokol davranışları ve istismar yüzeyleri.

Active Directory her kullanıcı, grup, bilgisayar ve GPO nesnesini ikili bir nTSecurityDescriptor özniteliğine sahip LDAP nesnesi olarak saklar. GOAD'ın sevenkingdoms.local etki alanındaki sekiz adımlı yükseltme zinciri, ACE maskelerinin, Extended Rights GUID'lerinin ve sahiplik değişimlerinin yardım masası izinlerini nasıl Domain Controller ele geçirmeye dönüştürdüğünü gösterir.

GOAD Active Directory laboratuvarını tek bir Kali makinesinden yürümek: sıfır bilgiyle host keşfi, SMB imzalama kontrolleri, orman ve güven haritalama, kimlik doğrulamasız kullanıcı numaralandırma, AS-REP Roasting, SMB/SYSVOL sır avı ve BloodHound grafik analizi.

Hesap kilitlemeye takılmayan kimlik bilgisi saldırısı: tek bir yaygın parola, domain'deki her hesaba karşı yalnızca bir kez denenir ve kilitleme eşiği aşılmaz. GOAD'ın north domain'i sürecin tamamını gösteriyor — parola politikasını okumaktan Winter2022'yi yeniden kullanan tek hesabı bulmaya kadar.

Düşük yetkili bir kullanıcı hesabından north.sevenkingdoms.local içindeki DC02 üzerinde Domain Admin'e: servis hesabını Kerberoasting ile kırma, S4U2Self ve S4U2Proxy ile constrained delegation istismarı ve yazılabilir GPO üzerinden SYSTEM zamanlanmış görevi çalıştırma.

Kerberoasting normalde bir servis hesabının zaten SPN sahibi olmasını bekler. Bir kullanıcı üzerinde GenericWrite hakkın varsa SPN'i kendin ekleyebilir ve o hesabı istediğin anda Kerberoast edebilirsin — böylece yazabildiğin zayıf parolalı her kullanıcı kırılabilir bir hedefe dönüşür.

DCSync elimizde NTLM hash'leri bıraktı ama parola yoktu. Pass-the-hash ham hash'i doğrudan NTLM'e verir; overpass-the-hash ise aynı hash'i bir Kerberos TGT'sine çevirir. İkisi de hiçbir şey kırmadan Administrator olarak giriş yapar — ve aslında iki farklı sorunu çözer.

DCSync bize krbtgt hash'lerini ve servis hesabı hash'lerini verdi. Bunların asıl kullanım amacı buydu: tüm orman için bir Golden Ticket, tek bir SPN için bir Silver Ticket üretmek — parola bilmeden Administrator olarak giriş yapmak ve iki bilet türünün neden farklı olduğunu anlamak.

GOAD laboratuvarında SQL Server linked server üzerinden yanal hareket: kırılan bir servis hesabından (jon.snow) north\sql_svc olarak xp_cmdshell çalıştırmaya ve sa eşlemeli linked server üzerinden essos\sql_svc'ye Kerberos güven doğrulaması olmadan sıçramaya.

Kurtarılan tek bir paroladan sevenkingdoms.local orman kökünde Domain Admin yetkisine uzanan sekiz hatalı ACL: her adımda farklı bir hak ve farklı bir teknik. Zincirin her geçişi, kullanılan araçlar ve iki kritik başarısızlık noktası.

Son iki GOAD tekniği exploit değil, gruplardır: DNSAdmins, DNS servisine bir DLL yükler; Backup Operators ise işletim sisteminin gizlemeyi tercih ettiği verileri okur. Biri uçtan uca gösteriliyor, diğeri uzak registry pürüzüyle dürüstçe belgeleniyor ve ikisinin de kapsamadığı relay boşluğu ayrıca anlatılıyor.

DCSync, hash'leri çekmenin çevrimiçi yoludur — ama replikasyon hakkı ister. Çevrimdışı yol ise DC'den neredeyse hiçbir şey istemez: C: sürücüsünün shadow copy'sini al, NTDS.dit veritabanını ve SYSTEM hive'ını dışarı kopyala, ardından her kimlik bilgisini kendi makinede, Domain Controller'ın iş birliği olmadan dök.

Active Directory Certificate Services saldırı yüzeyini sökmek: şablon öznitelikleri, PKINIT kimlik bilgisi alışverişi, EKU semantiği, kimlik eşlemesi ve kök nedene göre gruplanmış ESC taksonomisi.

ESSOS-CA üzerindeki ESC1 sertifika şablonunu silaha dönüştürmek: MS-WCCE RPC uç noktası çözümlemesi, zayıf UPN eşlemesi üzerinden PKINIT ile Kerberos TGT alma ve DRSUAPI DCSync ile ormanın tamamını ele geçirme.

Bölüm 2, zaten savunmasız olan ESC1 şablonunu istismar etti. Bu bölüm zafiyeti kendisi yaratıyor: ESC4, üzerinde GenericAll sahibi olduğun bir şablonu ESC1'e çevirir; ESC6 ise CA genelindeki User Specified SAN bayrağını kullanarak herhangi bir Client Authentication şablonuna Subject Alternative Name basar.

essos.local'e uzanan orman güveni SID filtering uyguluyor; bu yüzden sahte bir ExtraSids bileti sınırı Domain Admin olarak geçemiyor. Sınırı gerçekten aşan şey yabancı grup yuvalaması, üç adımlı bir ACL zinciri, LAPS ve ESC şablonlarıyla dolu bir AD CS CA'sı oluyor.

Domain Admin olduktan sonra oyun içeri girmekten içeride kalmaya döner. Skeleton Key, Domain Controller'ın KDC'sini bellekte yamalar ve 'mimikatz' parolası her hesabı açar — KINGSLANDING üzerinde canlı olarak gösterildi; yanı sıra bellek içi SSP ve DSRM'nin bu laboratuvarda neden geçerli olmadığı da ele alınıyor.

AD CS serisini kapatmak: ESC2'nin any-purpose EKU'su, ESC3'ün kayıt temsilcisi üzerinden yükseltmesi, ESC9'un kimlik eşleme zayıflıkları ve relay tabanlı ESC8/ESC11 — sonra tüm taksonomiyi geri bağlayan dört soruluk sıkılaştırma kontrol listesi.