Hacking for all!

https://chacker.pl/

Teraz, gdy mamy dostęp Administratora domeny, chcemy się upewnić, że możemy go zachować. Aby to zrobić, mamy kilka opcji. Na przykład możemy utworzyć nowych użytkowników, których kontrolujemy, a następnie dodać ich do zaufanych grup, takich jak Administratorzy domeny. Jednak w bardziej dojrzałych organizacjach członkostwo w grupach krytycznych jest starannie monitorowane i możemy dać znać obrońcom, co spowoduje, że usuną nasz dostęp. Mamy jednak dodatkowe opcje. Przyjrzymy się dwóm metodom osiągnięcia trwałości: zatruwaniu obiektu AdminSDHolder i wstrzykiwaniu historii SID.

https://chacker.pl/

Na początek chcemy wiedzieć, jakie członkostwa w grupach ma ten użytkownik passwordadmin i co te grupy robią. Możemy w tym celu użyć PowerView:

Grupa użytkowników CloudSync znajduje się w jednostce organizacyjnej Administrative OU, więc wygląda to obiecująco. Sprawdźmy, czy znajdziemy jakieś interesujące listy kontroli dostępu w AD, do których dostęp ma nasz użytkownik passwordadmin lub grupa użytkowników CloudSync. Krok 1 to użycie polecenia cmdlet PowerView Find-InterestingDomainAcl, które wyszuka interesujące uprawnienia w obiektach AD. Chcemy zapisać to w zmiennej, aby nie musieć uruchamiać tego w kółko, ponieważ jest to dość czasochłonne, a im większa domena, tym większe będą wyniki. Określamy również opcję ResolveGUIDs, abyśmy mogli łatwo odczytać uprawnienia po zakończeniu wyszukiwania:

WSKAZÓWKA Może to zająć sporo czasu. To narzędzie przeszukuje wszystkie listy kontroli dostępu w domenie i rozwiązuje informacje dla każdego ze znalezionych wpisów.  

Następnie chcemy poszukać rzeczy, które mają naszego użytkownika i grupę jako część Identity ReferenceName. Możemy użyć programu PowerShell, aby to dla nas przefiltrować:

Wygląda na to, że grupa CloudSync Users ma możliwość DCSync z domeną. Możemy zalogować się jako ten użytkownik i wykonać te zadania lub możemy użyć Rubeusa, aby dodać dla nas TGT, który pozwoli nam wykonać atak DCSync bez ponownego uwierzytelniania. Następnie otwieramy okno cmd.exe jako Administrator, używając naszych nowych uprawnień i wchodzimy do wiersza poleceń programu PowerShell. Musimy ponownie zaimportować nasz moduł Rubeus, a następnie poprosić o TGT. Potrzebujemy tego podwyższonego dostępu, ponieważ normalnie nie można wstrzykiwać poświadczeń do sesji bez niego.

Teraz mamy TGT. Mając ten poziom poświadczeń, możemy spróbować wykonać DCSync z naszymi poświadczeniami PasswordAdmin. Aby to zrobić, użyjemy BetterSafetyKatz, aby wykonać atak DCSync dla użytkownika krbtgt. Pozwoli nam to użyć ataku golden ticket, aby uzyskać dostęp do dowolnego konta w domenie. Najpierw użyjmy stagera iex/iwr, aby załadować BetterSafetyKatz:

Po załadowaniu Mimikatz do pamięci możemy teraz wykonać ukierunkowaną synchronizację DC użytkownika krbtgt. Musimy określić moduł lsadump::dcsync i użytkownika docelowego dla opcji:

Potrzebujemy tutaj dwóch informacji: SID domeny (1), który jest całym SID do 502, oraz skrótu aes256_hmac (2). Potrzebujemy tych informacji, ponieważ wszelkie bilety, które utworzymy ze słabszym szyfrowaniem, mogą zdradzić, że są sfałszowane. Następnie chcemy utworzyć TGT dla administratora, używając ataku złotego biletu. Ten atak używa kluczy szyfrujących krbtgt, aby sfałszować TGT dla innego użytkownika, który następnie może zostać użyty do uwierzytelnienia w systemach w domenie. Umieszczamy wszystko w jednym poleceniu w wierszu poleceń:

WSKAZÓWKA Jeśli to nie działa, upewnij się, że aktualizujesz swój SID i inne istotne informacje, aby pasowały do ​​Twojej konkretnej instancji. W przyszłych krokach konieczne będą dodatkowe zmiany dla takich elementów, jak SID, nazwa hosta kontrolera domeny itd., więc upewnij się, że zaktualizowałeś każdą zmienną odpowiednio.

To pokaże nam, że nowy TGT został wygenerowany i wstrzyknięty do naszej sesji:

Widzimy, że bilet został pomyślnie utworzony i teraz możemy wyjść z Mimikatz. Mamy teraz prawidłowy token administratora i możemy go użyć, aby uzyskać dostęp do DC. Widzieliśmy na początku ataków Kerberos, że rozwiązał on nazwę DC na EC2AMAZ-TBKC0DJ.ghh.local. Możemy użyć programu PowerShell, aby uzyskać dostęp zdalny:

Teraz eskalujemy do użytkownika Administratora domeny i mamy pełną kontrolę nad lasem ghh.local.

https://chacker.pl/

Po uruchomieniu serwera WWW w katalogu PowerSharpBinaries, możemy załadować narzędzie Rubeus. Rubeus pozwala nam przeprowadzić rozpoznanie i eksploatację Kerberosa. Jest napisany w języku C#, ale w tym ćwiczeniu wykorzystamy wersję etapową programu PowerShell:

Kerberoasting wykorzystuje sposób, w jaki usługi obsługują bilety Kerberos w AD. Te bilety usług są żądane z serwera przyznającego bilety (TGS) i zawierają informacje o użytkowniku usługi, aby określić, czy użytkownik powinien mieć dostęp do usługi bez konieczności znajomości hasła użytkownika. Ten bilet usługi jest szyfrowany za pomocą poświadczeń właściciela usługi — konta komputera lub konta użytkownika. Każda usługa będzie identyfikowana za pomocą nazwy głównej usługi (SPN) w usłudze Active Directory, którą użytkownik może wyszukać, aby zidentyfikować usługę, a gdy użytkownik zażąda tego biletu, nie musi on komunikować się z usługą docelową. Zamiast tego, jeśli użytkownik wyeksportuje te bilety, można je wymusić w trybie offline za pomocą narzędzia do łamania haseł, zamieniając przykładowe hasło na skrót NTLM, a następnie próbując odszyfrować bilet. Jeśli bilet zostanie odszyfrowany, wiemy, że jest to prawidłowe hasło dla usługi. Ten proces jest znany jako Kerberoasting. Użyjmy Rubeusa do Kerberoastu domeny i wyszukajmy prawidłowe nazwy SPN powiązane z kontami użytkowników, które moglibyśmy wykorzystać w niewłaściwy sposób:

Hasze będą teraz w pliku h.txt i można je skopiować do Kali w celu złamania. Po skopiowaniu haszy możesz spróbować je złamać za pomocą John the Ripper i listy słów na komputerze Kali. Ponieważ te maszyny są lekkie, spróbujmy najpierw z bardzo małą listą słów:

Nie wiadomo, do którego użytkownika to trafia, więc sprawdźmy nasz plik John POT:

Widzimy, że użytkownik passwordadmin ma hasło Passw+ord127. Sprawdzimy to ponownie za chwilę, ale najpierw spróbujmy tego samego z użytkownikami AS-REProasted. AS-REP to wstępne negocjacje uwierzytelniające z serwerem udzielającym biletów, zanim użytkownik otrzyma bilet udzielający biletów (TGT). Po wykonaniu tego wstępnego uwierzytelnienia informacje zostaną zwrócone użytkownikowi zaszyfrowane za pomocą żądanego skrótu NTLM użytkownika, więc można je złamać w podobny sposób:

Plik zostanie zapisany podobnie jak atak Kerberoasting i może zostać skopiowany do skrzynki Kali w celu złamania. Teraz, gdy mamy poświadczenia z Kerberoasting, przeprowadźmy rekonesans i dowiedzmy się więcej o użytkowniku i tym, do czego ma dostęp.

https://chacker.pl/

Czasami konta usługowe zawierają hasła w swoim opisie. Ma to na celu to, aby konta, które mogą być używane do wyszukiwania informacji lub innych działań ogólnego przeznaczenia, nie musiały mieć centralnie skoordynowanych poświadczeń. Oczywiście nie jest to najlepsza praktyka, ale nie zmienia to faktu, że zdarza się to częściej niż powinno. Aby znaleźć takie przypadki, załadujemy moduł PowerView i wyszukamy użytkowników z poświadczeniami w opisie ich konta:

BadBlood utworzy losowe konta jako część konfiguracji AD dla tego laboratorium, więc Twoje dane uwierzytelniające mogą wyglądać inaczej i będą miały różne grupy. Niezależnie od różnic, powinno to dać Ci wiele danych uwierzytelniających, które użytkownicy mogą wykorzystać jako ścieżki eskalacji. Jeśli ci użytkownicy nie są wartościowi, istnieją inne sposoby zbierania danych uwierzytelniających. Przyjrzyjmy się Kerberoasting i ASREProasting.

https://chacker.pl/

Eskalacja uprawnień AD zawiera trochę sztuki i trochę narzędzi. Część znajdowania ścieżek do Administratora domeny można wykonać za pomocą narzędzi takich jak BloodHound. Niezależnie od tego, jakich narzędzi używasz do znajdowania ścieżek, często będzie musiała nastąpić seria eskalacji. Przyjrzyjmy się kilku sposobom znajdowania poświadczeń do eskalacji.

https://chacker.pl/

Ponieważ ten sam nasłuch jest nadal na miejscu, uruchommy Invoke-SharpUp.ps1, aby zobaczyć, co może znaleźć (zauważ, że używamy tego samego stagera iex/iwr, którego używaliśmy do tej pory):

Widzimy, że usługa „Vulnerable Software” ma modyfikowalny plik binarny usługi. Przyjrzyjmy się plikowi binarnemu z icacls.exe:

To pokazuje, że nie mamy żadnych uprawnień do tego pliku binarnego. Dlaczego więc SharpUp go wyróżnił? Został wyróżniony z powodu niezacytowanej ścieżki usługi. Kiedy system Windows szuka plików binarnych, zaczyna od próby wyszukania pliku binarnego przy każdej przerwie spacji. W tym przypadku będzie szukał c:\Software\Vulnerable.exe, zanim dojdzie do vulnagent.exe. Przyjrzyjmy się uprawnieniom w katalogu C:\Software:

Mamy tutaj możliwość dodawania plików i katalogów, więc możemy spróbować utworzyć vulnerable.exe. Stwórzmy aplikację C#, aby po prostu dodać siebie do lokalnej grupy Administrators. Utworzymy plik vulnerable.cc w c:\programdata, a następnie go skompilujemy. W przypadku zawartości użyj tego podstawowego skryptu C#:

Po zapisaniu pliku jako c:\ProgramData\vulnerable.cc możemy go skompilować za pomocą wbudowanego kompilatora C# w środowisku .NET:

Teraz, gdy wszystko jest już gotowe, spróbujmy ponownie uruchomić tę usługę:

Teraz jesteśmy członkami lokalnej grupy Administratorzy, ale użycie polecenia whoami /groups nie pokaże tego. Aby uzyskać uprawnienia, musimy się wylogować i zalogować ponownie lub rozpocząć nową sesję za pomocą runas lub innej metody. Tak czy inaczej, musimy utworzyć nową powłokę z uprawnieniami Administratora, więc zróbmy to i zbadajmy kilka taktyk eskalacji z Active Directory.

https://chacker.pl/

Narzędzie winPEAS (Privilege Escalation Awesome Script) to plik wsadowy lub C#, który tworzy profil systemu Windows i próbuje zidentyfikować luki w zabezpieczeniach, które mogą zostać wykorzystane. Użyjemy wersji PowerShell z repozytorium SharpPack, która została sklonowana do Kali. Za pomocą tego samego odbiornika HTTP, który został skonfigurowany w poprzednich laboratoriach, załadujemy skrypt InvokewinPEAS.ps1, a następnie sprawdzimy niektóre z naszych opcji:

Możemy zobaczyć wiele informacji o systemie, a także kilka exploitów, które mogą się przydać do eskalacji uprawnień. Większość z nich wymaga pobrania dodatkowych plików binarnych do systemu, co może oznaczać AV lub EDR. Skrypt dostarczył nam jednak niektórych dodatkowych informacji, które uzyskaliśmy od Seatbelt, więc byłaby to realna alternatywa dla zbierania danych. WinPEAS nie wykrył jednak żadnej z podatnych ścieżek przez usługę, a to jest jedna z mocnych stron SharpUp, więc przyjrzyjmy się temu.

https://chacker.pl/

Chociaż PowerSploit ma wiele modułów, które są przydatne do późniejszej eksploatacji, skupimy się na module PowerView w podkatalogu Recon. Z naszego pola Kali uruchommy serwer WWW w katalogu PowerSploit:

Następnie na naszym serwerze docelowym załadujmy moduł PowerView. Możemy to zrobić za pomocą stagera iex/iwr:

Następnie wypróbujmy niektóre z funkcji, które omówiliśmy wcześniej. Najpierw zdobądźmy informacje o naszej domenie:

To te same informacje, które widzieliśmy wcześniej, ale są o wiele prostsze. Ponadto możemy uzyskać listę OU, jak poprzednio:

Aby uzyskać listę kontroli dostępu (ACL) dla jednostki organizacyjnej administratora, możemy użyć polecenia cmdlet Get-DomainObjectAcl:

Niestety, SID użytkownika nie jest rozwiązany, a uprawnienia są nadal w formie GUID, podobnie jak w metodzie ADSI z wcześniejszego artykułu. PowerView może pomóc nam je przekonwertować, aby wyjaśnić dostęp każdego użytkownika. Użyjmy polecenia cmdlet ConvertFrom-SID i opcji -ResolveGuids do Get-DomainObjectAcl, aby to uporządkować:

Dzięki temu odczyt danych jest znacznie łatwiejszy. Ponadto możemy użyć PowerView do wyszukania użytkowników, którzy mają uprawnienia DCSync, pobierając ACL dla tych, którzy mają albo uprawnienia All privileges albo uprawnienia replication w DN domeny:

Teraz wiemy, których użytkowników należy wybrać, aby przeprowadzić atak DCSync. To tylko kilka elementów, których można szukać.  Możemy użyć tych informacji, aby taktycznie znaleźć informacje, których potrzebujemy w domenie, bez wydawania ogromnej liczby zapytań, ale jednym z ulubionych narzędzi jest BloodHound. BloodHound zbierze mnóstwo informacji AD, a następnie pozwoli przeszukać dane w przeglądarce baz danych grafów o nazwie Neo4j. Wadą tego jest to, że wydaje ogromne ilości zapytań, a bardziej dojrzałe organizacje szukają ich, aby zidentyfikować złośliwe intencje, więc nie jest to szczególnie bezpieczne pod kątem bezpieczeństwa operacyjnego.

https://chacker.pl/

Musimy znać podstawy domeny. Część z nich poznaliśmy wcześniej w tym rozdziale, omawiając profilowanie użytkownika i komputera. Chociaż moduł ActiveDirectory PowerShell może być pomocny, często nie jest instalowany, więc przyjrzyjmy się, jak to zrobić, korzystając z interfejsów API usługi Active Directory w programie PowerShell. Te interfejsy API są dostępne we wszystkich systemach Windows i nie wymagają instalowania dodatkowych modułów, które mogłyby nas zdradzić. Na początek przyjrzyjmy się informacjom o domenie:

Tutaj możemy zobaczyć kilka krytycznych danych. Nazwa domeny to ghh.local, a jeden kontroler domeny (DC) jest również wymieniony, EC2AMAZTBKC0DJ. ghh.local. DomainModeLevel wynosi 7, co odpowiada poziomowi funkcjonalnemu systemu Windows 2016. Poziom funkcjonalny jest ważny, ponieważ funkcje bezpieczeństwa mogą działać inaczej na różnych poziomach funkcjonalnych. Następnie weźmy informacje, które uzyskaliśmy z polecenia whoami /user i sprawdźmy, jakie informacje o naszym użytkowniku znajdują się w AD:

Na podstawie tych wyników możemy zobaczyć grupy, do których należy nasz użytkownik, a także obiekty, którymi zarządza. Da nam to dodatkowy wgląd w typy rzeczy, do których użytkownik otrzymał uprawnienia na podstawie członkostwa w grupie, a zarządzane przez niego obiekty pomagają zidentyfikować dostęp, jaki może zapewnić innym kontom. Mając podstawową wiedzę o naszym użytkowniku i właściwościach domeny, przyjrzyjmy się bliżej układowi, uzyskując listę jednostek organizacyjnych (OU), które tworzą AD. Są one często opisowe i pomogą nam zrozumieć, gdzie szukać interesujących obiektów.

Stąd widzimy wbudowaną jednostkę organizacyjną kontrolerów domeny, ale widzimy również szereg jednostek organizacyjnych administratora i zagnieżdżonych jednostek organizacyjnych pod nimi. To są rzeczy, które zazwyczaj chcielibyśmy lepiej zrozumieć. Przyjrzyjmy się korzeniowi jednostek organizacyjnych administratora za pomocą programu PowerShell.

Widzimy, że oprócz Domain Admins i SYSTEM, grupa SC-266-distlist ma również prawa do tej grupy. Więc jeśli znajdziemy użytkownika w tej grupie, możemy użyć tego użytkownika do manipulowania obiektami w tej OU. Zobaczmy, kto jest w tej grupie:

UWAGA Ponieważ informacje dla każdego wdrożenia AD zostały losowo zmanipulowane przez BadBlood, Twoje grupy, użytkownicy i członkostwo mogą się różnić.

Zaczynamy od użycia System.DirectoryServices, aby uzyskać domenę (1), w której obecnie się znajdujemy. Musimy utworzyć obiekt DirectorySearcher (2), aby przeszukać Active Directory. Ten obiekt ma wszystkie metody, których będziemy potrzebować do wykonania naszego wyszukiwania. Następnie musimy wygenerować wyszukiwanie Lightweight Directory Access Protocol (LDAP), które będzie zawierało nasze informacje. Wyszukiwanie (3) używa operatora &, aby połączyć dwa różne terminy wyszukiwania: typ obiektu i nazwę wspólną (CN) obiektu, którego szukamy. Na koniec, po uzyskaniu elementu, którego szukamy, możemy przejrzeć właściwości (4) tego elementu, aby uzyskać członków grupy. Pomoże nam to w określeniu, kogo szukać później w celu eskalacji. Chociaż wykonywanie wszystkich tych zapytań bez użycia dodatkowych modułów jest przydatną umiejętnością, moduł PowerView w PowerSploit ma pomocnicze polecenia cmdlet, które mogą znacznie to ułatwić. Ponadto moduł PowerView ma dodatkowe polecenia cmdlet, które wyszukują luki w zabezpieczeniach.

UWAGA PowerSploit nie jest już utrzymywany, ale wielu testerów nadal go używa. Gdy aspekty modułów przestaną działać, prawdopodobnie nie zostaną naprawione, ale nie wszystkie funkcje modułów w PowerSploit zostały w pełni zintegrowane w porównywalnym module.

https://chacker.pl/

Prawie wszystkie systemy, które są częścią środowiska przedsiębiorstwa, będą częścią usługi Active Directory (AD). AD to usługa katalogowa, która śledzi użytkowników, grupy, komputery, zasady, witryny, struktury organizacyjne i wiele innych. Każdy obiekt ma atrybuty i informacje o zabezpieczeniach, które definiują obiekt i kto może z nim wchodzić w interakcje. Ten katalog jest podstawą domen AD (grupowania tych obiektów przechowywane na zestawie serwerów) i lasów (wiele domen, które mają między sobą relacje interoperacyjności i zaufania).

WSKAZÓWKA Active Directory (AD) ma wiele komponentów i może być trudne do zrozumienia. Jeśli nie znasz AD, Microsoft ma dobry odnośnik, który pomoże Ci zacząć: https://docs.microsoft.com/en-us/windowsserver/identity/ad-ds/get-started/virtual-dc/active- directory-domainservices- overview. Gdy już zapoznasz się z podstawami, wróć, a zagłębimy się w to, jak wchodzić w interakcję z AD za pomocą programu PowerShell i innych narzędzi.

Gdy wchodzimy do środowiska, musimy wiedzieć kilka ważnych rzeczy. Musimy wiedzieć, kim jesteśmy w środowisku i jakie są nasze grupy. Musimy również wiedzieć, kim są administratorzy. Możemy chcieć wiedzieć, jak duże jest środowisko, czy jest podzielone na witryny i jak wygląda struktura organizacyjna. Na koniec możemy chcieć wiedzieć, jakie obiekty zasad grupy (GPO) istnieją i gdzie są połączone. Te elementy pozwolą nam lepiej zrozumieć, jak skonfigurowana jest domena AD i gdzie powinniśmy szukać opcji eskalacji i trwałości.