Showing posts older than #237 · Back to latest
Kerberoasting یک Service Account چقدر میتونه خطرناک باشه؟ مطلب در پایین 👇👇 @KavehOffSec #ActiveDirectory #RedTeam #Kerberoasting #CyberSecurity
یکی از چیزهایی که توی تست Active Directory همیشه باید بررسی بشه، Service Accountها و SPNها هستن.
چرا؟
چون برای درخواست یک Kerberos Service Ticket معمولاً لازم نیست Administrator باشی.
یک Domain User احراز هویت شده میتونه برای Serviceهایی که SPN دارن Ticket بگیره.
حالا مهاجم چی به دست میاره؟
یک Ticket رمزنگاری شده که میتونه خارج از DC و بهصورت Offline برای Password Guessing بررسی بشه.
اینجا اگر Password مربوط به Service Account ضعیف باشه، داستان جالب میشه.
مثلاً تصور کن:
ا RC4 با Encryption Type 0x17 میتونه یک Signal مهم باشه، اما دیدن RC4 به تنهایی یعنی «Kerberoasting قطعی» نیست.
ممکنه سیستم های Legacy یا Service Accountهای قدیمی واقعاً از RC4 استفاده کنن.
🔹 یک سیستم که در مدت کوتاه برای SPNهای مختلف Ticket میگیره
ا 🔹 Requester غیرعادی
ا 🔹 LDAP Enumeration مربوط به servicePrincipalName قبل از TGS Burst
ا 🔹 Service Account با Privilege بالا
🔹 استفاده غیرمعمول از RC4 در محیطی که معمولاً AES استفاده میشه
بهترین کار فقط این نیست که دنبال Kerberoasting بگردیم.
سرویس اکانتهای قدیمی رو بررسی کنیم، Passwordهای قوی و تصادفی داشته باشیم، تا جای ممکن از gMSA استفاده کنیم، SPNهای غیرضروری رو حذف کنیم و Privilege اضافی رو از Service Accountها بگیریم.
ا Kerberoasting شاید با یک User معمولی شروع بشه.
ولی اینکه به کجا ختم بشه، کاملاً به وضعیت همون Service Account بستگی داره.
یک ردتیمر فقط ابزار یاد نمیگیرد.
مهمترین مهارت، نوع تفکر است.
🔹 همیشه مثل مهاجم فکر کن.
ا🔹 TTPهای گروههای مهاجم را مطالعه کن.
🔹 همیشه در حال یادگیری باش.
🔹 فقط به آسیب پذیری نگاه نکن؛ به کل مسیر حمله فکر کن.
🔹 امنیت فقط تکنولوژی نیست؛ انسان و فرآیند هم مهم هستند.
This post (sticker, poll or similar) has no web preview. Open in Telegram
Forwarded from Try Hack Box
Forwarded from Try Hack Box
Golden and Silver Tickets :🥇 Golden Ticket ?
روشهای قدرتمند Kerberos Ticket Forging در محیطهای Active Directory (AD) هستند که به مهاجم امکان “پایداری بلندمدت یا حتی نامحدود” می دهند. این حملات از Trust Relationships بین Kerberos سوءاستفاده میکنند تا بدون طی کردن فرآیندهای عادی Authentication، بتوانند کاربر یا سرویس را impersonate کنند.
گلدن تیکت (Golden Ticket) یک Kerberos TGT (Ticket Granting Ticket) جعلی است که به مهاجم اجازه می دهد به هر سرویس داخل domain، به عنوان هر کاربری دسترسی داشته باشد.🛠 ابزار : mimikatz
الزامات :
ا # KRBTGT NTLM hash
ا # Domain SID
ا # اطلاعات کاربر هدف (میتواند کاربرِ Domain Admin را impersonate کند)
mimikatz # kerberos::golden /user:Administrator /domain:corp.local /sid:S-1-5-21-... /krbtgt:<hash> /id:500
تا زمانی که KRBTGT hash ثابت بماند، مهاجم هر زمان میتواند TGT جدید تولید کند.🥈Silver Ticket ?
ا - Default TGT lifetime حدود ۱۰ ساعت است، اما میتواند Customize شود.
اصلاح (Remediation) :
ا # KRBTGT account را دو بار Reset کنید
ا # همه Credentialهای Domain Admin را Rotate کنید
ا # Kerberos logging را فعال/پیادهسازی کنید و روی TGTهای غیرعادی Alert بگذارید
سیلور تیکت Silver Ticket یک TGS (Ticket Granting Service ticket) جعلی است که به مهاجم اجازه می دهد به سرویس های مشخصی (مثل MSSQL، CIFS) در یک domain-joined machine دسترسی پیدا کند، بدون اینکه به KDC مراجعه کند.
الزمات:
Service account NTLM hash (مثلاً machine account یا service principal)
SPN سرویس
Domain name و SID
kerberos::golden /domain:corp.local /sid:S-1-5-21-... /target:mssql.corp.local /service:MSSQLSvc /rc4:<NTLM> /user:svc_sql
سیلور تیکت Silver Ticketها روی سرویس های خاص هدف می گیرند، بنابراین stealthier هستند.
مدت زمان اثر معمولاً تا وقتی است که مهاجم “service hash” را در اختیار داشته باشد.
اصلاح :
ا # Password حساب service/machine (compromised) را Reset کنید
ا # Kerberos event ها را برای Service ticket usage غیرعادی مانیتور کنید
ا # Event ID 4768 بدون اینکه Event ID مربوطه 4769 رخ داده باشد (یعنی TGT بدون TGS)
الگوهای غیرعادی درخواست TGT
استفاده از non-trusted systems
بدون درخواست TGT، اما دسترسی مستقیم به سرویس با یک forged TGS
یوزر نیم Usernameها نامطابق یا منبع hostهای غیرعادی
