88tcp/udp - Pentesting Kerberos
Podstawowe informacje
Kerberos działa na zasadzie uwierzytelniania użytkowników bez bezpośredniego zarządzania ich dostępem do zasobów. Jest to ważne rozróżnienie, ponieważ podkreśla rolę protokołu w ramach struktur bezpieczeństwa.
W środowiskach takich jak Active Directory, Kerberos odgrywa kluczową rolę w potwierdzaniu tożsamości użytkowników poprzez sprawdzanie ich tajnych haseł. Ten proces zapewnia, że tożsamość każdego użytkownika zostaje potwierdzona przed interakcją z zasobami sieciowymi. Jednak Kerberos nie rozszerza swojej funkcjonalności w celu oceny lub egzekwowania uprawnień użytkownika do konkretnych zasobów lub usług. Zamiast tego zapewnia bezpieczny sposób uwierzytelniania użytkowników, co stanowi kluczowy pierwszy krok w procesie zabezpieczania.
Po uwierzytelnieniu przez Kerberos, proces podejmowania decyzji dotyczących dostępu do zasobów jest delegowany do poszczególnych usług w sieci. To właśnie te usługi są odpowiedzialne za ocenę praw i uprawnień uwierzytelnionego użytkownika na podstawie informacji dostarczonych przez Kerberos dotyczących uprawnień użytkownika. Taki projekt pozwala na oddzielenie uwierzytelniania tożsamości użytkowników od zarządzania ich uprawnieniami dostępu, umożliwiając bardziej elastyczne i bezpieczne podejście do zarządzania zasobami w rozproszonych sieciach.
Domyślny port: 88/tcp/udp
Aby nauczyć się, jak nadużywać Kerberos, powinieneś przeczytać post na temat Active Directory.
Więcej
Shodan
port:88 kerberos
MS14-068
Usterka MS14-068 umożliwia atakującemu manipulowanie prawidłowym tokenem logowania Kerberos użytkownika w celu fałszywego twierdzenia o podwyższonych uprawnieniach, takich jak bycie administratorem domeny. To fałszywe twierdzenie jest błędnie potwierdzane przez kontroler domeny, umożliwiając nieautoryzowany dostęp do zasobów sieciowych w całym lesie Active Directory.
Inne wykorzystania: https://github.com/SecWiki/windows-kernel-exploits/tree/master/MS14-068/pykek
Automatyczne polecenia HackTricks
Last updated