Top 10 Active Directory Attacks

admin 2022年12月22日23:13:26评论17 views字数 5887阅读19分37秒阅读模式

简介

AD(Active Directory) 一直是各企业所使用的核心认证系统的一个主流选择。AD 提供了一种方法来存储和管理用户和计算机的详细信息,并让他们对服务和企业的 IT 网络进行认证。

多年来,该技术已经有了很大的发展,针对 AD 环境的攻击也是如此。正是因为如此使它变得如此流行,甚至专业认证也将其纳入教学大纲(OSCP 等),从而使认证更接近实际场景。

什么是 Active Directory?

比如你到了办公室,打开 SSO 企业应用系统,输入你的用户 ID 和密码进入 SSO 应用系统。这中间谁来检查这个密码是否正确呢?这种认证检查通常是由 AD 执行的,AD 也是世界上最常用的身份管理服务。

AD 的结构像一棵树,存储着与用户和企业网络有关的信息。它所拥有的信息包括但不限于:域、计算机、用户、组、组织单位、政策、站点、服务器、IP 证书。

在进行攻击前我们要知道以下几个术语:

  • • Domain Controller:域控服务器是 AD 的核心,它拥有攻击者想要的所有组织信息。这是一个处理提供认证和授权服务的服务器。通常情况下,一个环境会有一个以上的 DC,它们会相互复制配置。你破坏了一个,意味着你就破坏了所有。

  • • AD DS: 存在于 DC 中的数据存储。它包含有关于用户、计算机等所有信息的文件。它包含NTDS.dit文件,包含所有基本上需要的所有信息,包括用户密码哈希值。

  • • Domain:比如 jgeek.cn 就是一个域。域将确定管理的范围。任何连接到域的用户、个人电脑、系统都将在管理该域的 DC 中获得其信息。

  • • Trees: 用于管理域名,比如 US.jgeek.cn 和 Asia.jgeek.cn 可以作为两个子域在 jgeek.cn 中。

  • • Forests: 一个或多个域树的集合。

  • • OUs: 组织单位(Organisational Units)用于保存用户、计算机、组等信息的容器。在一个组织中,人力资源部可以是一个 OU 组,法律部可以是另一个 OU 组。

  • • Objects:由 AD 管理的单个实体。

  • • DA: 域管理员,可以访问 DC 并控制网络的一组凭证。

攻击域名树

在讨论攻击之前,我们需要为潜在的攻击对象假设一个案例,例如这些人可以成为潜在的攻击者。

  • • 坐在 office 网络之外的人。

  • • 坐在组织的访客区并访问 office 网络的人。

  • • 已经是 Office 网络的一部分的人,也许是心怀不满的员工。

有多种方法可以通过服务器、应用程序等进入 office 网络内部。假设攻击者是上述的 B 或 C。如下的攻击方案 1-4 不需要任何证书,而攻击方案 5-10 需要一套低权限的证书。在从攻击 1-4 中获得凭证后,攻击者也可以转到 5-10 中提到的攻击方案。

攻击场景 1:LLMNR Poisoning

LLMNR 是指链路本地多播名称解析。当内部 DNS 无法确认时,它被用来识别主机。例如一个攻击者在网络上启动了一个监听器,并等待网络上的用户登录到这个共享驱动器或任何其他网络目标。

步骤 1:在网络中启动嗅探

$ responder.py -I eth0

如果用户输入错误的地址,DNS 将无法解析目标。在这种情况下,在网络上监听的攻击者会发出一个假的回复,并从网络上收集用户名和 NTLMv2 哈希值。

这个 NTLMv2 的哈希值可以使用标准工具和公开可用的词表进行暴力破解。这是一组有效的凭证,可以用来进入网络并进一步渗透。

步骤 2:抓取哈希值并将其传递给 hashcat 进行破解

$ hashcat -m 5600 hashes.txt rockyou.txt

具体攻击实例可以参见:https://www.jgeek.cn/article/115.html#Foothold_60

攻击场景 2:SMB 中继攻击

SMB 中继攻击反映了攻击场景 1 中所做的事情。攻击者不是抓取哈希值并直接破解,而是在网络上转发哈希值以访问目标设备。如果用户可以访问目标设备,攻击者转发凭证将获得该设备的 shell。

获得 shell 后,攻击者可以拉出可以破解的 SAM 哈希值。而一旦被破解,攻击者就有了一套可以用来深入挖掘的凭证。这种攻击工作的要求是,网络上的 SMB 签名应该被禁用。SMB 签名如果启用,将检查 traffic 的签名要求,并不允许中转的 traffic 被用来获得访问。

步骤 1:将应答器配置更改为倾听而不响应

SMB=Off & HTTP=Off

步骤 2:启动响应程序,就像攻击场景 1 中的步骤 1

步骤 3:启动 SMB 中继

ntlmrelayx.py -tf targets.txt -smb2support

中继并登录后,该工具将转储该机器上本地用户的 SAM 哈希。

攻击场景 3:DNS 接管

IPv4 在组织中被普遍使用,而 IPv6 则没有被完全使用。在这次攻击中,我们将使用一个名为 mitm6 的工具;它是用来设置中间人攻击的。mitm6 被设计为与 ntlmrelayx 一起使用,应该平行运行。mitm6 将欺骗 DNS,使受害者连接到 ntlmrelayx 工具,进行 HTTP 和 SMB 连接。

PS:确保运行 ntlmrelayx 时使用 -6 选项,这将使它同时监听 IPv4 和 IPv6。如果管理员在运行时登录,它将为我们创建一个域用户以及一个还原点。

步骤 1:使用 mitm6 工具和 ntlmrelay 并行启动中间人

mitm6 -d <Domain>

ntlmrelayx.py -6 -t ldaps://DC_IP -wh fakewpad.<Domain> -l lootme

攻击场景 4:在互联网上搜索凭据以获取进入

这是一种可以在不被察觉的情况下以被动方式完成的事情。攻击者可以在互联网上搜索可用于访问 IT 网络的凭据。凭证可用于访问办公室的 Wi-Fi 或登录应用程序。这可能看起来很扯蛋,但在 github 和其他具有硬编码凭据的代码共享网站上有很多代码片段。

为了寻找凭据,可以在互联网上搜索域名或公司名称。这种攻击不仅仅基于 OSINT,还需要一些交互来验证帐户。为了验证帐户,可以尝试访问应用程序或使用凭据运行 enum4linux 命令,以查看凭据是否有效。攻击者还可以检查域上的其他用户是否使用了相同的密码。如果用户名是数字,请尝试轮换数字并尝试使用相同的密码登录。如果管理员向其他人提供了相同的密码,则很有可能获得进一步渗透的有效凭据集。

攻击场景 5 和 6:传递哈希并传递密码

由于我们有一组凭据,让我们可以在网络中“传递密码”,并查看使用这些凭据可以访问的所有目标。这可以通过 crackmapexec 工具进行检查。我们也可以使用相同的工具将散列转储到服务器上,以便以后使用。

步骤 1:识别可以使用这些账户访问的服务器

如果输出显示(Pwned),我们可以对该服务器进行管理访问。可以使用相同的方法从该服务器中提取哈希值。

crackmapexec smb 10.0.0.0/24  -u <user> -d <Domain> -p <Password>

步骤 2:从用户有权访问的服务器获取 SAM 哈希

crackmapexec smb 10.0.0.0/24  -u <user> -d <Domain> -p <Password> --sam

收集到的哈希值可以用 hashcat 破解,用于进一步的渗透。如果我们只有 NTLM 的哈希值,而没有明文密码,我们也可以在网段中进行碰撞,看看是否在任何地方都能发挥作用。这被称为传递哈希值攻击,因为我们在网段中传递哈希值。

步骤 1:传递哈希值以检查用户有访问权限的服务器

crackmapexec smb 10.0.0.0/24  -u <user> -d <Domain> -H <Hash>

步骤 2:使用下面的命令,在我们有权限的服务器上获得交互式 shell (通过上述命令确认)

psexec.py <domain>/<user>:<Password>@<Server IP>

攻击场景 7:Kerberoasting

Kerberoasting 是一种攻击技术,它可以利用 AD 中的 Kerberos 协议来提取用户凭据。Kerberos 是一种常用的认证协议,用于在计算机网络中进行身份验证。在 AD 中, Kerberos 用于在域控制器和客户端之间进行身份验证。

在 Kerberoasting 攻击中,攻击者试图提取服务帐户的凭据,这些帐户用于在 AD 域中运行服务。这些凭据通常被加密,但是 Kerberos 协议的一些设计缺陷允许攻击者使用特定的技术来提取加密的凭据。一旦攻击者拥有了这些凭据,他们就可以使用它们来访问服务帐户所拥有的资源,并在域中执行操作。

为了演示,我们使用 Python 脚本来生成服务票证。

步骤 1:使用以下命令生成 Kerberos 票据

GetUsersSPNs.py <Domain>/<User>:<Password> -dc-ip <Domain controller IP> -request

步骤 2:使用 hashcat 对服务账户的密码进行破解

hashcat -m 13100 hashes.txt rockyou.txt

攻击场景 8:Bloodhound

Bloodhound 是一种用于分析和可视化 AD 域拓扑结构的工具。它通过收集 AD 中的信息,并使用图形化界面展示域内的权限关系,帮助安全专业人员更好地理解域内的安全架构,并发现潜在的安全风险和漏洞。

它可以使用 PowerShell 脚本来收集信息,并使用 C# 和 Neo4j 图形数据库来存储和展示数据。它可以帮助发现域内的用户和组之间的关系,以及这些用户和组所拥有的权限。还可以帮助发现有趣的权限关系,例如高级权限的用户可以访问的资源,以及拥有恶意代码执行权限的用户。Bloodhound 可以与其他安全工具,如 Mimikatz 和 SharpHound,配合使用,以帮助安全专业人员更好地利用信息并执行攻击模拟。

它是一种强大的安全工具,可以帮助发现域内的潜在安全风险,并采取相应的措施来保护网络。例如:

  • • 哪个用户在哪里登录?

  • • 哪个用户有管理权限?

Shortest path to reach the Domain Controller (到达域控制器的最短途径)

步骤 1:使用 sharphound.ps1 收集数据

PS>PowerShell -ep bypass
PS>. .SharpHound.ps1
PS>Invoke-BloodHound -CollectionMethod -All -Domain <Domain name> -ZipFileName file.zip

步骤 2:上传至 bloodhound 进行分析

我们需要将域管理员登录的框作为目标,然后尝试访问并提取哈希值。

Top 10 Active Directory Attacks

攻击场景 9:MS14-025 攻击

MS14-025 也被称为 GPP 攻击,这是一种较早的存储密码的方式。GPP(Group Policy Preferences)是微软的一项功能,可以帮助管理员在域环境中管理用户和计算机的设置。GPP 允许管理员在域内部分或全部计算机上配置操作系统、应用程序、网络和安全设置。

GPP 配置文件中的敏感信息,如用户名和密码,可能会被加密。加密方式通常为 AES(Advanced Encryption Standard)加密,并使用 RSA(Rivest-Shamir-Adleman)公钥密码系统(PKCS)加密。要解密 GPP 配置文件中的加密信息,需要拥有解密所需的密钥。在域内,这些密钥通常由域控制器维护。如果是域管理员,则可以使用 Group Policy Management Console(GPMC)工具或 Windows PowerShell 脚本访问这些密钥。

配置文件通常保存在域控制器上的 SYSVOL 文件夹内。在 Windows 服务器操作系统中,SYSVOL 文件夹通常位于 C:WindowsSYSVOL 路径下。在域内的计算机上,GPP 配置文件可以通过使用 Group Policy Management Console(GPMC)工具查看和管理。

实例复现参见:https://www.jgeek.cn/article/81.html#22ADGPP_97

攻击场景 10:Golden Ticket 攻击

在这种攻击中,攻击者可以利用 Kerberos 功能生成票证,从而允许攻击者访问所有网络资源。这种攻击与 Mimikatz (一种用于从计算机内存中提取凭据的工具)密切相关。

假设正在使用 Mimikatz 生成一张金票,然后通过此票访问网络上的任何资源。

步骤 1:打开 Mimikatz,运行以下命令,提取 "SID "和 "NTLM "哈希值

lsadump::lsa /inject /name:krbtgt

步骤 2:生成 Golden Ticket

kerberos::golden /User:Administrator /domain:<Domain> /<sid> /krbtgt:<NTLM> /id:500
/ptt

步骤 3:获得访问权限

misc::cmd

缓解措施

  • • 保持系统和域控制器的补丁。

  • • 建立强大的密码策略(复杂性、历史、过期),即使是服务账户和访客账户。

  • • 确保不向任何用户提供默认密码,默认密码也应该由管理员在提供账户时改变。管理员在提供账户时也应更改默认密码。

  • • 所有用户和管理员都遵守密码安全政策。

  • • 不要使用管理账户进行非特权活动。

  • • 不要使用域管理员账户登录不受信任的系统。

  • • 禁用 LLMNR 和 NBT-NS 以及 GPP 的使用。

  • • 尽可能地启用 SMB 签名。

总结

AD pentesting 是渗透测试人员的金矿,因为这是大多数组织中的关键 IT 系统。

任何凭证泄露都有助于攻击者访问组织的域,如果执行了这些攻击操作而我们不缓解此类漏洞,会出现什么问题?AD 漏洞可使攻击者造成如下的后果:

  • • 完全控制 IT 基础架构,关闭计算机、服务器和应用程序。

  • • 错误配置 AD,因此导致正常用户无法登录。

  • • 根据需要创建具有权限的帐户,并横向移动到网络中,而不会通过从一个帐户跳到另一个帐户而被检测到。

  • • 将勒索软件安装到网络中。

简而言之,攻击者会对 IT 网络造成破坏,从而使网络陷入瘫痪。从技术、商业、财务和法律的角度来看,这些风险造成的影响都是合理且存在的。如果公司的服务器被用于对另一个目标发起攻击,或者将该组织的网络添加到僵尸网络的一部分,又该怎么办?

对于渗透测试人员和红队来说,AD 在功能和集成方面非常复杂。在测试过程中,很容易被迷惑,被调侃。试着把每一步都记下来,并退一步来确定下一步可能采取的路径。如果其中一条不成功,就尝试另一种选择,另一种工具。


原文始发于微信公众号(一个人的安全笔记):Top 10 Active Directory Attacks

  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年12月22日23:13:26
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Top 10 Active Directory Attackshttps://cn-sec.com/archives/1478854.html

发表评论

匿名网友 填写信息