AD CS Account Persistence
यह https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf से अद्भुत शोध के मशीन स्थिरता अध्यायों का छोटा सारांश है
प्रमुख यूजर क्रेडेंशियल चोरी को प्रमाण पत्रों के साथ समझना - PERSIST1
एक स्थिति में जहां एक प्रमाण पत्र जो डोमेन प्रमाणीकरण की अनुमति देता है, एक उपयोगकर्ता द्वारा अनुरोध किया जा सकता है, एक हमलावर को नेटवर्क पर स्थिरता बनाए रखने के लिए इस प्रमाण पत्र को अनुरोध और चुराने का मौका मिलता है। एक्टिव डायरेक्टरी में User टेम्पलेट ऐसे अनुरोधों की अनुमति देता है, हालांकि कभी-कभी यह अक्षम किया जा सकता है।
Certify नामक एक उपकरण का उपयोग करके, कोई भी मान्य प्रमाण पत्रों की खोज कर सकता है जो स्थायी पहुंच को सक्षम करते हैं:
प्रमाणपत्र की शक्ति उसकी क्षमता में है जो यह किसी उपयोगकर्ता के रूप में प्रमाणित होने की है, किसी भी पासवर्ड परिवर्तन के बावजूद, जब तक प्रमाणपत्र मान्य रहता है।
प्रमाणपत्रों को certmgr.msc का उपयोग करके या certreq.exe के साथ कमांड लाइन के माध्यम से अनुरोध किया जा सकता है। Certify के साथ, प्रमाणपत्र का अनुरोध करने की प्रक्रिया निम्नलिखित रूप में सरल होती है:
एक सफल अनुरोध के बाद, एक प्रमाणपत्र के साथ उसकी निजी कुंजी .pem प्रारूप में उत्पन्न की जाती है। इसे एक .pfx फ़ाइल में परिवर्तित करने के लिए, जो Windows सिस्टम पर उपयोगी है, निम्नलिखित कमांड का उपयोग किया जाता है:
फिर .pfx फ़ाइल को लक्ष्य सिस्टम पर अपलोड किया जा सकता है और उसे Rubeus नामक एक उपकरण के साथ उपयोग किया जा सकता है ताकि उपयोगकर्ता के लिए टिकट ग्रांटिंग टिकट (TGT) का अनुरोध किया जा सके, हमलावर की पहुंच को प्राप्त करने के लिए प्रमाणित करते हुए प्रमाणपत्र मान्य होने तक (सामान्यत: एक साल):
प्रमाणपत्रों के साथ मशीन स्थिरता प्राप्त करना - PERSIST2
एक और तकनीक शामिल है जिसमें एक संकटग्रस्त सिस्टम के मशीन खाते को प्रमाणपत्र के लिए नामांकित करना, डिफ़ॉल्ट Machine टेम्प्लेट का उपयोग करते हुए। यदि किसी हमलावर को सिस्टम पर उच्चाधिकार प्राप्त होता है, तो वे SYSTEM खाता का उपयोग करके प्रमाणपत्र का अनुरोध कर सकते हैं, जो एक प्रकार की स्थिरता प्रदान करता है:
यह पहुंच अटैकर को कर्बेरोस में मशीन अकाउंट के रूप में प्रमाणीकरण करने की सुविधा प्रदान करती है और S4U2Self का उपयोग करके होस्ट पर किसी भी सेवा के लिए कर्बेरोस सेवा टिकट प्राप्त करने के लिए, अटैकर को मशीन के लिए स्थायी पहुंच प्रदान करती है।
प्रमाणित करने के माध्यम से परिस्थिति का विस्तार - PERSIST3
चर्चा किया गया अंतिम तरीका प्रमाणपत्र टेम्पलेट की मान्यता और नवीकरण अवधियों का उपयोग करने का है। प्रमाणपत्र को इसके समाप्त होने से पहले नवीकरण करके, एक अटैकर सक्रिय डायरेक्ट्री को पुनः प्रमाणीकरण बनाए रख सकता है बिना अतिरिक्त टिकट पंजीकरण की आवश्यकता के, जो प्रमाणपत्र प्राधिकरण (CA) सर्वर पर निशान छोड़ सकता है।
यह दृष्टिकोण एक विस्तारित स्थिरता विधि के लिए अनुमति देता है, CA सर्वर के साथ कम बातचीतों के माध्यम से पहचान का जोखिम कम करता है और अभिवादनकर्ताओं को अतिक्रमण की सूचना देने वाले आर्टिफैक्ट का उत्पादन टालता है।
Last updated