⭕️اگر Sccm Current Branch Unleashed را کانفیگ کرده باشید در فرایند نصب سایت به نکته ای جالب بر خواهید خورد.
‏computer account مربوط به سایت اصلی باید عضو گروه local admin sql sever باشد.
حال این موضوع به این معنی است که:
متصل شدن سایت ها و push شدن کلاینت ها بصورت خودکار اتفاق می افتد.
بصورت پیشفرض مکانیزم احراز هویت به ntlm بازمیگردد،بصورت پیشفرض در احراز هویت کلاینت ها pki cert الزام نیست و ‏mssql در سرور دیتابیس سایت در دسترس است ، البته smb sign ملزوم نیست.
پس عملا با تصاحب سایت sccm که با اجبار کردن احراز هویت با ntlm و انقال آن به سرور پایگاه داده سایت و استفاده از عبارت هویت mssql منجر به full admin شده و به تمامی بخش های سایت مشرف بوده و میتوان آنها را کنترل کرد.

++ برای جلوگیری از این مشکل چه باید کرد:
- نصب hotfix
- فعال کردن extended protection بر روی mssql
- فعال کردن smb sign برای سرور های درون سایت
- بلاک کردن ارتباطات sql و smb از سیستم های غیر ضروری به سرور های سایت
- ملزوم کردن pki cert بر روی کلاینت ها
- در عوض نصب خودکار آپدیت ها از نصب مبتنی بر نرم افزار، group policy و دستی اقدام شود.

https://posts.specterops.io/sccm-site-takeover-via-automatic-client-push-installation-f567ec80d5b1#a2e2

#redteam #hardening #sccm #blueteam
@securation