『AD域g防实践』第二期学习笔记

『AD域g防实践』第二期学习笔记

# 域内信息收集与防御 #

域内信息收集主要通过LDAP和SAMR两种方式：

1）LDAP信息收集原理：因为域环境下所有的组、账户等对象都存储在Directory-Database中，而LDAP可以用来查询和更新目录数据库，所以通过LDAP协议可以快速收集很多域内重要信息，比如域管组、域控、MAQ、组策略等。

2）SAMR信息收集原理：通过身份验证的用户，可以远程访问SAM；NET命令就是通过SAMR协议查询。

信息收集检测与防御：从流量中可以检测到信息收集的特征。

# 域内横向移动及对抗 #

1）PTH横向移动：

威胁：击者可能会在获得Hash后在RDP的受限管理模式中PTH进行横向移动，此模式RDP不会使凭据暴露在目标系统中。

原理：受限管理模式下无需输入凭据，就可以进行RDP。

2）重置用户密码进行横向移动

威胁：已知hash或明文密码的条件下重置该用户密码。

原理：在登录一些系统比如云桌面等不支持PTH的，就需要明文密码，那么就可以利用已经得到的hash来重置密码，在默认的配置下，everyone都可以通过SAMR协议利用RPC的方式在已知用户hash或明文的情况下重置任意用户的hash或明文密码，那g击者为了无感知操作，可以用SetNTLM重置密码，登陆了目标系统后，然后再用ChangeNTLM去修改回去。

3）利用WinRM进行横移

原理：WinRM是Windows远程管理服务，Windows server2012后开启，默认监听端口5985(HTTP)和5986(HTTPS)。相比于psexec或者wmiexec，利用WInRM也能达到相同的效果，g击者控下一台主机就能利用这种方式执行命令。

4）无需445端口横向移动：

威胁：这种方法可以将命令执行的结果输出到注册表，然后通过wmic读注册表，实现了不借助445进行回显。

原理：调用了Win32_ScheduledJob而不是Win32_Process。

防护：所以可对注册表进行限制来实现对此横向移动方法的防御。

5）横向移动防御对抗方法：

通过系统配置来防御：

开启remoteUAC（KB2871997） 禁用本地administrator用户用户 本地用户不允许通过网络登录 通过防火墙限制登录时入站流量只能来自于特定的主机。

通过专业检测来防御：

在流量中可检测密码喷洒或爆破； 在日志当中可检测到g击者进行PTH等横向移动g击的痕迹；

# 域内权限提升与防御 #

1）防御域管凭据泄漏：

检查域管正在登陆的主机，利用 NetSessionEnum 来找寻登陆sessions。 利用NetWkstaUserEnum 来枚举登陆的用户，列出当前登录到该工作站的所有用户的信息。 利用枚举注册表来查看。

2）防御离线爆破获取特权账号的凭据：

威胁1（AS-REPRoasting）：域内设置了“Do not require Kerberos preauthentication”的域用户——获取加密后的密文——利用hashcat 爆破；

防御1：建议域内所有用户都禁止设置为“不需要kerberos预认证”。

威胁2（Kerberoasting）：扫描域内拥有SPN的用户账户——获取加密后的密文——利用hashcat爆破。

技巧：系统默认使用SPN来作为SNAME，我们可以使用用户名作为SNAME来代替SPN绕过一些防护软件。

3）防御通过NTLM中继进行权限提升：

威胁1（普通中继）：

威胁2（跨协议中继）：

防护2（防御中继g击）：

EPA增强型身份保护 SMB签名

4）ACL权限风险：常被用来寻找g击路径和充当后门的权限，需要重点关注。

WriteProperty的某些属性：

member(bf9679c0-0de6-11d0-a285-00aa003049e2) servicePrincipalName(28630EBB-41D5-11D1-A9C1-0000F80367C1) GPC-File-Sys-Path(f30e3bc1-9ff0-11d1-b603-0000f80367c1)

扩展权限：

User-Force-Change-Password(0299570-246d-11d0-a768-00aa006e0529)

可以在不知道当前目标用户的密码的情况下更改目标用户的密码

DS-Replication-Get-Changes(1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)和DS-Replication-Get-Changes-All(1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)

具有这两个扩展权限的用户具备dcsync 权限

通用权限：

WriteDacl AllExtendedRights WriteOwner GenericWrite GenericAll Full Control

5）防御SIDHistory+Golden票据跨域

威胁：可以将SID History 添加到林的 Enterprise Admins组的Golden Ticket中，来做跨域的金票，实现跨域的权限提升。

原理：因为SID History对于启用SID筛选的域无效，所以可以启用域林的SID筛选。

6）防御PetitPotam + NetNTLMV1 进行权限提升

威胁：控制Challenge为1122334455667788，g击者将Net-Ntlm降级为V1后，获取到的Net-NTLMv1 Hash都能破解为NTLM hash。

防护：<建议禁用此选项>

7）防御PetitPotam +ADCS 进行权限提升

威胁：由于ADCS配置不当允许NTLM认证，结合petitpotom 可以获取域控TGT，然后进行DCSync获得域内所有用户hash。

防护：禁止NTLM认证，采取Kerberos认证。

8）防御PetitPotam + 非约束委派进行跨域

威胁：对于非约束委派的机器，如果能让这台机器主动访问g击者的机器，就可以在内存中抓取TGT，实现权限提升。

防护：由于所有的域控默认是非约束委派，建议不要设置域控的非约束委派。

9）权限提升防御总结

登陆域控或其他服务器强制只用堡垒机系统。 域管账号只允许登陆域控，尽量避免以域管身份在其他终端机器上执行操作。 严格限制ACL的配置。 域内禁止配置非约束的委派。 个人终端每24小时重启一次，防御特权账户凭据泄漏。 将MAQ设为0。 域内禁止用户配置不要求预认证。 不允许多个AD管理员共用同一域管账号。 关闭域控打印机服务。 配置SMB签名，防御SMB-relay。 域内开启SID筛选，防御SIDhistory利用g击。 域内通过网络ACL禁止445、135端口的通讯。

# 域内权限维持及对抗 #

1）防御万能密码后门：

威胁：在g击者拿到域控后，为了做权限维持，可能会使用万能密码。

防护：可以通过用mimikatz这个密码来进行登陆检测是否有万能密码后门。若有万能密码需要重启域控。

2）DCSync：

威胁：g击者拥有ReplicatingDirectory Changes All 和Replicating DirectoryChanges这两条风险权限就可DCSync（实现原理：g击者通常会创建一个有这两条权限的普通用户，而此用户可以Dump下域内所有Hash）

防护：检查具有上述ACL的用户。

3）AdminSDHolder：

威胁：修改AdminSDHolder容器的g击者可以建立隐蔽的高权限账户并且重新获得对Active Directory 的管理访问权限。

原理：每小时(默认情况下),SDProp进程将Active Directory中受保护对象(例如域管理员组)的权限与在称为AdminSDHolder的特殊容器上定义的权限进行比较。如果它们不同，它会将受保护对象的权限替换为AdminSDHolder 上定义的权限。

4）DCShadow：

威胁：DCShadow是g击者来伪造一台DC，然后让正常DC来伪造DC复制同步数据，达到把恶意数据同步到所有DC的目的。

5）非约束委派权限授予：

威胁：域内非约束委派的权限授予可被用来做权限维持。

原理：找到配置了非约束委派的机器账户，通过printerbug或者其他手段使域控访问非约束委派账户，就可以拿到域控TGT，然后被g击者用来DCSync。

6）防御组策略权限维持：

威胁：

g击者可以通过组策略给某个用户赋予特权，比如SeEnableDelegationPrivilege 降级凭据保护。 赋予某个用户拥有对某条GPO修改的权限。

防护：实时监控组策略操作。

版权声明：本文内容由网络用户投稿，版权归原作者所有，本站不拥有其著作权，亦不承担相应法律责任。如果您发现本站中有涉嫌抄袭或描述失实的内容，请联系我们jiasou666@gmail.com 处理，核实后本网站将在24小时内删除侵权内容。