Sarrerak Kerberos

Gaur barne-pentest-ean egin ohi ditugun teknika ezberdinetako bati buruz hitz egingo dugu

Erasotzaile batek pribilegio handiak lortu ondoren domeinu bat arriskuan jartzea lortzen duenean, hala nola Domeinuen Administratzailea edo Enpresa Administratzailea, oso zaila da erakunde batek basoaren kontrol osoa berreskuratzea eta %100 garbitzat jotzea.

Sarbide hau duten erasotzaileek beren pribilegio handiak erabil ditzakete domeinutik kredentzial bereziak ateratzeko eta iraunkortasuna lortzeko erabil ditzakete, edozein erabiltzaile gisa sarbidea edozein unetan berreskuratu ahal izateko. Kredentzial hauek oso gutxitan edo inoiz ez dira aldatzen, erasotzaileei sarbide ia mugagabea emanez.

Argitalpen ezberdinetan zehar, iraunkortasun-teknika horietako batzuk ikusiko ditugu, Kerberos txartelen erabileran oinarritzen direnak.

URREZKO TXARTELA

Golden Ticket eraso batek Ticket Granting Ticket (TGT) zilegi bat sortzea dakar, edozein erabiltzaile ordezkatzen duena, KRBTGT Active Directory kontuaren NTLM hash-a erabiliz. Teknika hau bereziki indartsua da, domeinuko edozein zerbitzu edo makinara sarbidea ahalbidetzen baitu norberaren erabiltzaile gisa. Ezinbestekoa da gogoratzea KRBTGT kontuaren kredentzialak ez direla inoiz automatikoki eguneratzen.

KRBTGT kontuaren NTLM hash-a eskuratzeko, hainbat metodo erabil daitezke:

• Memoriatik atera daiteke Domeinu Kontrolatzaile baten LSASS (Local Security Authority Subsystem Service) prozesua isuriz.

• Edozein domeinu-kontrolatzailetan dagoen NT Directory Services fitxategitik (NTDS.dit) ere atera daiteke.

• Edo DCsync eraso bat exekutatu ondoren lor daiteke, Mimikatz edo Impacket-en secretsdump.py script bezalako tresnak erabiliz egin daitekeena.

Garrantzitsua da aipatzea, eragiketa hauek egiteko, normalean Domeinuko Admin pribilegioak edo antzeko sarbide-maila (auth/system) behar direla. Hori dela eta, Golden Tickets domeinuaren gainerako alboko mugimenduak egiteko erabiltzen dira, baita iraunkortasuna ezartzeko eta ez pribilegioak igotzeko.

Silver Ticket-en kasuan bezala, NTLM hashing-ak horretarako metodo bideragarria den arren, eraso hau Kerberos AES (Advanced Encryption Standard) gakoak erabiliz egitea gomendatzen da segurtasun operatiboengatik eta gutxiago detektatzeko.

Eragina

Golden Ticket batek domeinuko edozein baliabidetara sarbide mugagabea eta iraunkorra ahalbidetzen du, KRBTGT gakoa aldatzen den arte, prozesu konplexua eta apurtzailea izan daitekeena.

Explotazioa

Eszenatoki honetarako, domeinu konprometitu batetik abiatzen gara, non Domain Admin kredentzialak ditugun eta DCSync teknika egitea lortu dugu, horrela KRBTGT kontuaren Kerberos gakoak lortuz.

Txartelak sortzea

Urrezko Ticketa sortzeko, Rubeus tresna erabil dezakegu eta komando hau exekutatu:

Rubeus.exe golden /aes256: 42a38fe97bcf9c48190e5d77e48faa7d95b7fed838c8910845a86d66d78f188a /erabiltzailea:Eddard.stark /domeinua:north.sevenkingdoms:-2015-2015-2-15-2-15-2 86379517-4083755373 /nowrap