👨‍💻 Pwning the Domain: AD CS.

• В Windows Server присутствует роль под названием Active Directory Certification Services (AD CS), которая нужна для реализации инфраструктуры открытых ключей (PKI) в сетях с контроллером домена. AD CS предназначена для выдачи сертификатов пользователям и ПК. Сертификаты могут использоваться для шифрования, подписи, аутентификации и т.д., и в целом эта роль выглядит как сервис для повышения безопасности в домене.

• Чаще всего при пентесте домена AD конечной целью является перехват учётки администратора. Есть множество способов добиться указанной цели, и один из них — эксплуатация неправильных конфигураций шаблонов, по которым выпускаются сертификаты.

• Для получения администратора домена, мы можем воспользоваться инструментом — Certipy. Он поможет найти информацию о шаблонах, запросить сертификаты и аутентифицироваться при помощи сертов, но самое главное — проводить атаки. Об этом сегодня и поговорим:

- Domain Escalation;
- Domain Persistence;
- Account Persistence;
- Domain Certificate Theft;
- Security Research.

#Пентест #AD

👨‍💻 50 Methods For Lsass Dump.

• Если не сильно углубляться в теорию, то Local Security Authority Subsystem Service (он же LSASS) — это процесс (исполняемый файл C:\Windows\System32\lsass.exe), ответственный за управление разными подсистемами аутентификации ОС #Windows. Среди его задач: проверка «кред» локальных и доменных аккаунтов в ходе различных сценариев запроса доступа к системе, генерация токенов безопасности для активных сессий пользователей, работа с провайдерами поддержки безопасности (Security Support Provider, SSP) и др.

• В домене Active Directory правит концепция единого входа Single Sign-On (SSO), благодаря которой процесс lsass.exe хранит в себе разные материалы аутентификации залогиненных пользователей, например, NT-хеши и билеты Kerberos, чтобы «пользачу» не приходилось печатать свой пароль в вылезающем на экране окошке каждые 5 минут. В «лучшие» времена из LSASS можно было потащить пароли в открытом виде в силу активности протокола WDigest (HTTP дайджест-аутентификация), но начиная с версии ОС Windows Server 2008 R2 вендор решил не включать этот механизм по умолчанию.

• При успешном дампе LSASS злоумышленнику чаще всего остается довольствоваться NT-хешами и билетами Kerberos, это все равно с большой вероятностью позволит ему повысить свои привилегии в доменной среде AD за короткий промежуток времени. Реализуя схемы Pass-the-Hash, Overpass-the-Hash и Pass-the-Ticket, злоумышленник может быстро распространиться по сети горизонтально, собирая по пути все больше хешей и «тикетов», что в конечном итоге дарует ему «ключи от Королевства» в виде данных аутентификации администратора домена.

• В этой статье представлены 50 методов извлечения данных аутентификации из памяти LSASS: https://redteamrecipe.com/50-methods-for-lsass-dumprtc0002

#Red_Team #Пентест #AD

🦮 Kerberos для специалиста по тестированию на проникновение.

• Cпециалисту по тестированию на проникновение инфраструктуры на базе Active Directory важно понимать общее устройство протокола Kerberos. Вот лишь несколько причин почему:

- Знание устройства протокола Kerberos необходимо для понимания ряда классических атак.
- Периодически появляются новые атаки, но прежде чем приступать к их эксплуатации, необходимо разобраться к каким последствиям они могут привести. Без знания Kerberos это порой затруднительно, либо вовсе невозможно.
- Личная чуйка, что если человек называет себя специалистом, то он должен обладать несколько более глубокими знаниями, чем название инструмента или кнопки, на которую надо нажать.

• В этом цикле статей автор попытался разобрать, как в теории устроен протокол Kerberos и какие атаки с его использованием можно осуществить на практике в Active Directory. Также будут приведены некоторые рекомендации по противодействию рассматриваемым атакам.

• Часть 1. Теория:
- Требования к протоколу Kerberos;
- Список терминов;
- Аутентификация с использованием Kerberos;
- Житейская аналогия;
- По верхам в общем виде;
- Разбор аутентификации в Kerberos согласно RFC;
- Алгоритм формирования ключа;
- Kerberos в Active Directory;
- Доменная аутентификация пользователя к рабочей станции в Active Directory.

• Часть 2. Классические атаки:
- Атака на подбор имен пользователей;
- Распыление пароля;
- AS-REQ roasting;
- AS-REP roasting;
- Kerberoasting;
- Pass-the-key / Overpass The Hash;
- Pass-the-Ticket (PtT) / Pass-the-Cache;
- PtT + AnySPN;
- Silver Ticket;
- Golden Ticket.

• Часть 3. Неограниченное делегирование:
- История и виды делегирования;
- Устройство неограниченного делегирования;
- Общая схема атаки при неограниченном делегировании;
- Поиск учетных записей с неограниченным делегированием;
- Атака “Извлечение из памяти сервера”;
- Атака с использованием учетной записи без сервера;
- Общая схема вариантов проведения атак;
- Рекомендации.

• Часть 4. Ограниченное делегирование:
- Ограниченное делегирование с использованием только Kerberos (S4U2Proxy);
- Ограниченное делегирование со сменой протокола (S4U2Self и S4U2Proxy);
- Классическая атака на ограниченное делегирование;
- Про другие атаки.

• Часть 5. Делегирование, ограниченное на основе ресурсов:
- Устройство ограниченного на основе ресурсов делегирования;
- Классическая атака на RBCD;
- Как получить учетную запись с SPN;
- Атака без контроля над учетной записью с SPN;
- Изменение msDS-AllowedToActOnBehalfOfOtherIdentity с помощью ACL;
- Изменение msDS-AllowedToActOnBehalfOfOtherIdentity через Relay-атаки.

• Часть 6. PKINIT:
- Криптография с открытым ключом;
- Электронная цифровая подпись;
- Центр сертификации;
- PKINIT в Kerberos Active Directory;
- Физическое хранение закрытых ключей;
- NTLM в PKINIT;
- Key Trust;
- PassTheCertificate;
- UnPAC the Hash;
- Shadow Credentials;
- Enterprises Key Admin.

#Kerberos #AD #Пентест

👨‍💻 Пентест Active Directory.

• С момента создания службы каталогов Active Directory (AD) прошло уже 25 лет. За это время служба обросла функционалом, протоколами и различными клиентами.

• Материал, который Вы найдете по ссылкам ниже, станет хорошей отправной точкой для изучения особенностей и слабых мест AD. Содержание следующее:

- Trees and Forests / Components;
- Enumerating AD with Bloodhound;
- Authentication, Authorization, Access Control and more;
- Enumeration;
- LLMNR Poisoning;
- Lateral movement & privilege escalation;
- Domain persistence and cross forest attacks.

• Вот ещё очень хороший цикл статей "Active Directory in Red Teaming" — включает в себя описание различных инструментов, основ и нюансов при проведении тестирования на проникновение в AD:

- Introduction;
- Offensive PowerShell;
- Local Privilege Escalation;
- Lateral Movement;
- Domain Persistence;
- Domain Privilege Escalation;
- Forest Trust Abuse.

• Дополнительно:

- DetectionLab — проект, который позволит тебе развернуть виртуальную лабораторию на базе Windows, для использования в исследовательских целях.
- Vulnerable-AD — заведомо уязвимая Active Directory. Окажется полезной для практических занятий и тестов.
- Cheat Sheet AD — эта шпаргалка описывает определенные методы, которые используются для атак Windows Active Directory.

#Пентест #AD

👨‍💻 Attack methods for Windows Active Directory.

• Этот репозиторий содержит информацию о методах, которые используются для атак Windows Active Directory. Материал постоянно обновляется и поддерживается автором в актуальном состоянии. Обязательно добавляйте в закладки и используйте на практике:

• Pre-requisites;
• PowerShell AMSI Bypass;
• PowerShell Bypass Execution Policy;
• Evasion and obfuscation with PowerShellArmoury;
• Windows Defender;
• Remote Desktop;
- Enable Remote Desktop;
- Login with remote desktop;
- Login with remote desktop with folder sharing;
• Enumeration;
- Users Enumeration;
- Domain Admins Enumeration;
- Computers Enumeration;
- Groups and Members Enumeration;
- Shares Enumeration;
- OUI and GPO Enumeration;
- ACLs Enumeration;
- Domain Trust Mapping;
- Domain Forest Enumeration;
- User Hunting;
- Enumeration with BloodHound;
- Gui-graph Queries;
- Console Queries;
• Local Privilege Escalation;
• Lateral Movement;
• Persistence;
- Golden Ticket;
- Silver Ticket;
- Skeleton Key;
- DCSync;
• Privilege Escalation;
- Kerberoast;
- Targeted Kerberoasting AS REPs;
- Targeted Kerberoasting Set SPN;
- Kerberos Delegation;
- Unconstrained Delegation;
- Printer Bug;
- Constrained Delegation;
- Child to Parent using Trust Tickets;
- Child to Parent using Krbtgt Hash;
- Across Forest using Trust Tickets;
- GenericAll Abused;
• Trust Abuse MSSQL Servers;
• Forest Persistence DCShadow.

#Пентест #AD