На конкурсе Pentest Awards наш эксперт Виктор Зварыкин стал не только фаворитом по версии жюри: другой кейс Виктора вошёл в топ-10 в номинации "Пробив инфраструктуры". Поэтому предлагаем вам ещё одну историю на чашечку кофе – о том, как полезно читать документацию. Вот как это было:

– Работы проводились удаленно с недоменного хоста с Windows OS, доступ к которому шел через редиректор и reverse ssh. В результате сканирования мы обнаружили хосты с веб-интерфейсом Algosec. После изучения документации были успешно подобраны учетные данные для входа по протоколу ssh.

Затем с помощью tcpdump на хосте в трафике обнаружили зашифрованные учетные данные для входа в веб-интерфейс Algosec. Изучив еще одну документацию и использовав built-in инструмент "fa_password", мы эти учетные данные успешно расшифровали.

После чего переиспользовали учётки на других сервисах – и получили административный доступ в веб-интерфейс Palo Alto. В PAN-OS могут использоваться учётные записи от сторонних сервисов, например LDAP или SMTP. По умолчанию в Palo Alto используется дефолтный мастер-ключ. Он не был изменен, и нам удалось успешно расшифровать пароль доменной учетной записи.

Для повышения привилегий в домене использовался вектор атаки типа relay, с принудительной аутентификацией контроллера домена к службе Web Enrollment центра сертификации (ESC8). Для этого был выполнен вход по протоколу ssh с port forwarding 445 порта на хост Algosec, запущена утилита socat для ретрансляции входящего трафика на 445 порту, и на удаленном хосте Исполнителя через proxychains запущена утилита ntlmrelayx.

Использовав инструмент типа "coerce" dfscoerce.py, мы успешно осуществили принудительную аутентификацию контроллера домена на хост Algosec и ретранслировали к службе Web Enrollment. Далее был получен TGT-билет машинной учетной записи контроллера домена, в результате чего мы получили доступ к файлу базы данных NTDS.DIT и административные права в домене.

Мораль: Если вы не меняете дефолтные ключи и конфиги – возможно, к вам пробьются аналогичным путем.

Защита: Как обнаружить, что кто-то крафтит ваш TGT, мы уже писали. Что ещё подкрутить, чтобы было безопасно? Читайте рекомендации в полной версии кейса (в авторской редакции) на нашем гитхабе.