Demo
Last updated
Last updated
Quyền DCSync ngụ ý có nhứng quyền này trên chính miền đó: DS-Replication-Get-Changes, Replicating Directory Changes All và Replicating Directory Changes In Filtered Set.
Important Notes about DCSync:
Cuộc tấn công DCSync mô phỏng hành vi của Domain Controller và yêu cầu các Domain Controllers sao chép thông tin bằng Directory Replication Service Remote Protocol (MS-DRSR). Vì MS-DRSR là chức năng hợp lệ và cần thiết của Active Directory nên không thể tắt hoặc vô hiệu hóa chức năng này.
Mặc định chỉ có Domain Admins, Enterprise Admins, Administrators, và Domain Controllers groups có những đặc quyền này.
Nếu bất kỳ mật khẩu tài khoản nào được lưu trữ bằng mã hóa dễ dịch ngược, Mimikatz có tùy chọn trả về mật khẩu dưới dạng văn bản rõ
Có thể sử dụng tài khoản người dùng miền thông thường để chạy DCSync nhưng cần được ủy quyền các quyền sau đây ở cấp miền để truy xuất thành công dữ liệu mật khẩu với DCSync:
Replicating Directory Changes () Quyền mở rộng cần thiết để chỉ sao chép những thay đổi từ một NC nhất định cái mà cũng được sao chép sang Global Catalog (loại trừ dữ liệu miền bí mật). Ràng buộc này chỉ có ý nghĩa đối với .
Replicating Directory Changes All () Quyền truy cập kiểm soát cho phép sao cheps tất cả dữ liệu NC bản sao nhất định, bao gồm cả dữ liệu miền bí mất
Sap chép các thay đổi thư mục trong tập hợp đã lọc (hiếm, chỉ cần thiết trong một số môi trường nhất định).
Nên sử dụng các giá trị băm aes256_hmac để tạo ticket để giảm bới sự bất thường của hoạt động
Lệnh ánh xạ ổ đĩa mạng pushd
Bước 2: Tạo Golden ticket
Sử dụng mimikatz kerberos::golden:
Các tham số kèm theo
/domain— FQDN của tên miền
/sid— SID của miền
/aes256— Băm mật khẩu AES-256 của KRBTGT người dùng ( /ntlmhoặc /rc4có thể được sử dụng cho băm NTLM và /aes128cho AES-128)
/user— Tên người dùng sẽ bị mạo danh
/groups— Danh sách các nhóm (theo RID) cần đưa vào phiếu, nhóm đầu tiên là nhóm chính của người dùng
/ptt— Chỉ ra rằng vé giả mạo nên được đưa vào phiên hiện tại thay vì được ghi vào tệp
Bước 3: Sử dụng vé giả mạo để có thể truy cập các tài nguyên tích hợp Kerberos
Xác định các địa chỉ của DC - các địa chỉ được phép Replicaton Directory Changes
Sử dụng các công cụ giám sát lưu lương để phát hiện các gói tin yêu cầu DsGetNCChanges bất thường từ các địa chỉ không nằm trong các địa chỉ đã liệt kê trên
Security Event ID 4662 (Audit Policy for object must be enabled) – An operation was performed on an object
Security Event ID 5136 (Audit Policy for object must be enabled) – A directory service object was modified
Security Event ID 4670 (Audit Policy for object must be enabled) – Permissions on an object were changed
Event ID
Description
What soc analyst to think
4672
Special Privilege Assigned
Analyst nên áp dụng logic bộ lọc trên SIEM và đi sâu vào tìm tài khoản đáng sử dụng special Privilege
4674
An operation was attempted on a privileged object
Kiểm tra các lệnh hoặc bộ xử lý cụ thể đang được thực thi bằng tài khoản người dùng, đồng thời kiểm tra tên máy trên EDR. Có khả năng cao kẻ tấn công gửi các tập lệnh hợp pháp như (ipconfig,... ) để hiển thị chúng là hoạt động kinh doanh hợp pháp. Không ngừng nghi nhờ và đánh dâu các sự kiện là false-posittive
4688
A new process is created
Các chương trình, lệnh hợp pháp đáng ngờ đang được chạy vào lúc này.
4768
A Kerberos authentication Ticket Requested ( TGT )
Thiếu event này có thể cho thấy Golden Ticket đang được sử dụng.
4769
A Kerberos service Ticket
Check ticket encryption type và description về type đó
5140
A network share Object was accessed
File sharing service is accessed
Bước 1: Sử dụng để lấy được các giá trị băm cảu người dùng krbtgt
AD ACL Scanner - Create and compare create reports of ACLs.
