BloodHound & Other AD Enum Tools
AD Explorer
AD Explorer je deo Sysinternal Suite:
Napredni pregledač i editor Active Directory (AD). Možete koristiti AD Explorer da biste lako navigirali kroz AD bazu podataka, definisali omiljene lokacije, pregledali osobine objekata i atribute bez otvaranja dijaloških okvira, menjali dozvole, pregledali šemu objekta i izvršavali složene pretrage koje možete sačuvati i ponovo izvršiti.
Snimci
AD Explorer može kreirati snimke AD-a tako da ih možete proveriti offline. Može se koristiti za otkrivanje ranjivosti offline, ili za poređenje različitih stanja AD baze podataka tokom vremena.
Potrebno je korisničko ime, lozinka i pravac za povezivanje (potreban je bilo koji AD korisnik).
Da biste napravili snimak AD-a, idite na File --> Create Snapshot i unesite ime snimka.
ADRecon
ADRecon je alat koji izvlači i kombinuje razne artefakte iz AD okruženja. Informacije se mogu prikazati u posebno formatiranom Microsoft Excel izveštaju koji uključuje pregledne prikaze sa metrikama radi olakšane analize i pružanja celovite slike trenutnog stanja ciljnog AD okruženja.
BloodHound
Sa https://github.com/BloodHoundAD/BloodHound
BloodHound je jednostranična Javascript web aplikacija, izgrađena na vrhu Linkurious, kompajlirana sa Electron, sa Neo4j bazom podataka koju napaja C# data kolektor.
BloodHound koristi teoriju grafova da otkrije skrivene i često nenamerne veze unutar Active Directory ili Azure okruženja. Napadači mogu koristiti BloodHound da lako identifikuju visoko kompleksne putanje napada koje bi inače bilo nemoguće brzo identifikovati. Odbrambeni timovi mogu koristiti BloodHound da identifikuju i eliminišu iste te putanje napada. I plavi i crveni timovi mogu koristiti BloodHound da lako steknu dublje razumevanje privilegovanih veza u Active Directory ili Azure okruženju.
Dakle, Bloodhound je neverovatan alat koji može automatski nabrojati domen, sačuvati sve informacije, pronaći moguće putanje za eskalaciju privilegija i prikazati sve informacije koristeći grafove.
Bloodhound se sastoji od 2 glavna dela: ingestori i aplikacija za vizualizaciju.
Ingestori se koriste za nabrojavanje domena i izvlačenje svih informacija u formatu koji će aplikacija za vizualizaciju razumeti.
Aplikacija za vizualizaciju koristi neo4j da prikaže kako su sve informacije povezane i da prikaže različite načine za eskalaciju privilegija u domenu.
Instalacija
Nakon stvaranja BloodHound CE, ceo projekat je ažuriran radi lakšeg korišćenja sa Dockerom. Najlakši način za početak je korišćenje prekonfigurisane Docker Compose konfiguracije.
Instalirajte Docker Compose. Ovo bi trebalo da bude uključeno u instalaciju Docker Desktop.
Pokrenite:
Pronađite nasumično generisanu lozinku u terminalnom izlazu Docker Compose-a.
U pretraživaču, idite na http://localhost:8080/ui/login. Prijavite se sa korisničkim imenom admin i nasumično generisanom lozinkom iz logova.
Nakon toga ćete morati da promenite nasumično generisanu lozinku i imaćete novi interfejs spreman, sa kojeg možete direktno preuzeti ingestore.
SharpHound
Imaju nekoliko opcija, ali ako želite da pokrenete SharpHound sa računara koji je pridružen domenu, koristeći trenutnog korisnika i izvučete sve informacije, možete uraditi sledeće:
Više informacija o CollectionMethod i petlji sesije možete pročitati ovde
Ako želite da izvršite SharpHound koristeći različite akreditive, možete kreirati CMD netonly sesiju i pokrenuti SharpHound iz nje:
Saznajte više o Bloodhound-u na ired.team.
Group3r
Group3r je alat za pronalaženje ranjivosti u Active Directory-u povezanih sa Group Policy-jem. Morate pokrenuti group3r sa računara unutar domena koristeći bilo koji korisnički nalog domena.
PingCastle
PingCastle procenjuje sigurnosni položaj AD okruženja i pruža lep izveštaj sa grafikonima.
Da biste ga pokrenuli, možete izvršiti binarnu datoteku PingCastle.exe i ona će pokrenuti interaktivnu sesiju koja prikazuje meni sa opcijama. Podrazumevana opcija za korišćenje je healthcheck koja će uspostaviti osnovni pregled domena i pronaći pogrešne konfiguracije i ranjivosti.
Last updated