AD CS Account Persistence
Hii ni muhtasari mdogo wa sura za uthabiti wa mashine kutoka kwenye utafiti mzuri kutoka https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf
Kuelewa Wizi wa Kitambulisho cha Mtumiaji Mwenye Shughuli na Vyeti - PERSIST1
Katika hali ambapo cheti kinachoruhusu uthibitisho wa kikoa kinaweza kuombwa na mtumiaji, mshambuliaji ana fursa ya kuomba na kuiba cheti hiki ili kuendelea kuwepo kwenye mtandao. Kwa chaguo-msingi, kigezo cha User katika Active Directory kinaruhusu maombi kama hayo, ingawa mara nyingine inaweza kuwa imezimwa.
Kwa kutumia zana inayoitwa Certify, mtu anaweza kutafuta vyeti halali vinavyowezesha ufikiaji endelevu:
Imesisitiza kuwa nguvu ya cheti iko katika uwezo wake wa uthibitisho kama mtumiaji ambaye cheti hicho kinahusiana naye, bila kujali mabadiliko ya nenosiri, ikiwa tu cheti kinaendelea kuwa halali.
Cheti linaweza kuombwa kupitia kiolesura cha picha kinachotumia certmgr.msc au kupitia mstari wa amri na certreq.exe. Kwa kutumia Certify, mchakato wa kuomba cheti unafanywa kuwa rahisi kama ifuatavyo:
Baada ya ombi la mafanikio, cheti pamoja na ufunguo wake wa kibinafsi hutengenezwa katika muundo wa .pem. Ili kubadilisha hii kuwa faili ya .pfx, ambayo inaweza kutumiwa kwenye mifumo ya Windows, amri ifuatayo hutumiwa:
Faili la .pfx linaweza kupakiwa kwenye mfumo wa lengo na kutumika na zana inayoitwa Rubeus kuomba Tiketi ya Kibali cha Tiketi (TGT) kwa mtumiaji, kuongeza ufikiaji wa mshambuliaji kwa muda mrefu kama cheti kinavyokuwa halali (kawaida mwaka mmoja):
Tahadhari muhimu inashirikiwa juu ya jinsi mbinu hii, iliyochanganywa na njia nyingine iliyoelezwa katika sehemu ya THEFT5, inaruhusu mshambuliaji kupata kwa kudumu NTLM hash ya akaunti bila kuingiliana na Huduma ya Subsystem ya Usalama wa Mitaa (LSASS), na kutoka kwa muktadha usio na uwezo, kutoa njia ya siri zaidi ya wizi wa vitambulisho kwa muda mrefu.
Kupata Uthabiti wa Mashine na Vyeti - PERSIST2
Njia nyingine inahusisha kujiandikisha kwa akaunti ya mashine ya mfumo uliopotoshwa kwa cheti, kwa kutumia kigezo cha cheti cha Machine kinachoruhusu hatua kama hizo. Ikiwa mshambuliaji anapata mamlaka ya juu kwenye mfumo, wanaweza kutumia akaunti ya SYSTEM kuomba vyeti, kutoa aina fulani ya uthabiti:
Hii ufikiaji unawezesha mshambuliaji kujithibitisha kwa Kerberos kama akaunti ya mashine na kutumia S4U2Self kupata tiketi za huduma za Kerberos kwa huduma yoyote kwenye mwenyeji, kwa ufanisi kumpa mshambuliaji ufikiaji endelevu kwenye mashine.
Kuongeza Uthabiti Kupitia Ukarabati wa Cheti - PERSIST3
Njia ya mwisho inayojadiliwa inahusisha kutumia kipindi cha halali na vipindi vya ukarabati vya templeti za cheti. Kwa kukarabati cheti kabla ya muda wake wa kumalizika, mshambuliaji anaweza kuendelea kujithibitisha kwa Active Directory bila hitaji la usajili wa tiketi za ziada, ambazo zinaweza kuacha alama kwenye seva ya Mamlaka ya Cheti (CA).
Njia hii inaruhusu njia ya uthabiti uliopanuliwa, kupunguza hatari ya kugundulika kupitia mwingiliano mdogo na seva ya CA na kuepuka kuzalisha vitu ambavyo vinaweza kuwajulisha waendeshaji kuhusu uvamizi.
Last updated