Erişimi Yükseltmek İçin Kısıtlı Delegasyona Saldırmak

Bu makale Kerberos delegasyonuyla ilgili bir dizi makaleyi tamamlıyor. Okumadan önce, hem Active Directory yetkilendirmesi hem de Kerberos yetkilendirmesi hakkında bilgi sahibi olduğunuzdan ve kaynak tabanlı kısıtlı yetkilendirme ile kısıtlanmamış yetkilendirmenin nasıl yapılandırıldığına ve bunların nasıl yapılabileceğine ilişkin genel bir bakış sunan serideki önceki yayınları okuduğunuzdan emin olmanızı öneririz. istismar edildi.

Bu makalede, kısıtlı yetkilendirme saldırısının, bir saldırganın hayati hizmetlere daha yüksek erişim elde etmesine nasıl olanak sağladığı açıklanmaktadır.

Kısıtlı Delegasyon

Kısıtlı yetkilendirme, yöneticilerin bir Active Directory kullanıcısının veya bilgisayar hesabının hangi hizmetlere yetki verebileceğini ve hangi kimlik doğrulama protokollerinin kullanılabileceğini yapılandırmasına olanak tanır. AD nesnesinin Yetki sekmesinde yapılandırılır:

Bir hesapta kısıtlı yetkilendirme ayarlandığında gizli iki şey gerçekleşir:

  • Nesnenin userAccountControl özelliği “TRUSTED_TO_AUTHENTICATE_FOR_DELEGATION” bayrağıyla güncellenir.
  • msDS-AllowedToDelegateTo özniteliği belirtilen SPN ile doldurulur.

Kısıtlı Delegasyon Saldırısı

Teorik olarak, kısıtlı yetkilendirme, bir AD hesabının ele geçirilmesi durumunda ortaya çıkabilecek hasarı sınırlar. Ancak kısıtlı yetkilendirme kötüye kullanılabilir: Bir hizmete yönelik kısıtlı yetkilendirmeyle yapılandırılmış bir hesabın düz metin parolasını veya parola karmasını ele geçiren bir düşman, daha sonra bu hizmete erişmek için ortamdaki herhangi bir kullanıcının kimliğine bürünebilir. Örneğin, kısıtlı yetkilendirme bir Microsoft SQL SPN'sine yapılandırılmışsa, saldırgan bu veritabanına ayrıcalıklı erişim elde edebilir.

Bir Saldırı Nasıl Ortaya Çıkıyor?

Aşağıdakileri varsayalım:

  • BT ortamında bir yer edindik.
  • Bir iş istasyonunda yerel yönetici ayrıcalıklarına sahip bir hesabın güvenliğini tehlikeye attık.
  • Oturum açma sonrasında bellekte kalan parola karmasını almak için Mimikatz'ı kullandık ve ilgili hesapta ("notadmin" hesabı) kısıtlı yetkilendirme yapılandırılmıştır.

Dolayısıyla şu ana kadar sahip olduğumuz tek şey, ulaştığımız tek makineye ve kısıtlı yetkilendirme için yapılandırılmış bir hesabın parola karmasına erişimdir.

Adım 1. Keşif

Kısıtlı delegasyondan yararlanmak için üç temel şeye ihtiyacımız var:

  • Kısıtlanmış yetkiyle yapılandırılmış, güvenliği ihlal edilmiş bir hesap
  • Hizmete erişim talep edilirken taklit edilecek hedef ayrıcalıklı hesap
  • Erişim sağlayacağımız hizmeti barındıran makineye ilişkin bilgiler

İlki elimizde, diğer ikisini de alalım.

1.1: Öncelikle 'notadmin' hesabının kısıtlı yetkilendirmesinin ne için yapılandırıldığına bakalım:

1.2: Artık, SBPMLAB-DC2 ana bilgisayarında CIFS ve LDAP SPN için kısıtlı yetkilendirmenin yapılandırıldığını biliyoruz. Öyleyse SBPMLAB-DC2 ana bilgisayarının tam olarak ne olduğunu anlayalım (her ne kadar adı onu biraz ele verse de!). Belki bilgisayarın grup üyeliği bize bir şeyler anlatır.

1.3: Şanslıyız: Bu kullanıcının erişim yetkisi verebileceği makine bir etki alanı denetleyicisidir (DC). Şimdi bu hizmete erişirken kimliğine bürünülecek iyi bir kullanıcı bulalım. Aşağıdaki PowerShell ortak özelliği, Domain Admins grubunun üyelerini numaralandıracaktır:

Get-ADGroup ‘Domain Admins’ | Get-ADGroupMember

'KevinJ' hesabının Etki Alanı Yöneticilerinin bir üyesi olduğunu görebiliyoruz, dolayısıyla artık kısıtlı yetkilendirmeden yararlanmak için ihtiyacımız olan tüm parçalara sahibiz.

Adım 2. Erişim Kazanmak

Kekeo gibi bir araç kullanarak kısıtlı yetkilendirme yapılandırılmış hesap için bilet verme bileti (TGT) talep edebilir, kimliğine bürünmek istediğimiz hesap için bilet verme hizmeti isteğini yürütebilir ve ardından hedef hizmete erişebiliriz.

Hedef ana bilgisayardaki C$yönetici paylaşımına henüz erişimimizin olmadığını unutmayın:

2.1. Kekeo'yu kullanarak, şifre karmasını kullanarak 'notadmin' hesabı için TGT'yi talep ediyoruz:

2.2. Artık TGT'ye sahip olduğumuza göre, 'notadmin' hesabının kısıtlandığı hedef hizmet için kimliğine bürünmek istediğimiz hesap için TGS isteğini yürütüyoruz:

2.3. Mimikatz'a geri döndüğümüzde, hedef ana bilgisayardaki CIFS hizmetine erişim sağlamak için Pass the Ticket'ı kullanabiliyoruz:

Gördüğünüz gibi ticket içe aktarıldıktan sonra domain kontrolcüsü üzerinde C$admin paylaşımına geçebiliyoruz. Bu, potansiyel olarak NTDS.dit dosyasının bir kopyasını çalabileceğimiz ve kullanıcı şifrelerini çevrimdışı olarak kırmaya çalışabileceğimiz anlamına gelir.

Yetkilendirme Tabanlı Saldırılara Karşı Koruma

Yetki vermeyle ilgili saldırılara karşı savunma için kritik bir teknik, ya temsilci verilmemesi gereken hassas hesapları Korumalı Kullanıcılar grubuna yerleştirmek ya da Hesap sekmesindeki Active Directory Kullanıcıları ve Bilgisayarları'nda 'Hesap hassastır ve temsilci atanamaz' onay kutusunu işaretlemektir. :

Daha geniş koruma için Netwrix Active Directory Güvenlik Çözümünü düşünün. Kısıtlanmamış ve kısıtlanmış yetkilendirmenin nerede yapılandırıldığına ve ayrıca kısıtlanan belirli hizmet hesaplarına ilişkin net bilgiler sağlayan kapsamlı raporlar sağlar. Bu bilgiyi kullanarak riski azaltabilir ve ortamınızı daha etkili bir şekilde güvence altına alabilirsiniz. Bunun da ötesinde, gelişmiş tehditlere yanıtınızı kolayca tespit edip otomatikleştirebilir ve etkilerini azaltabilirsiniz.

SSS

Kısıtlanmış delegasyon saldırısı nedir?

Kısıtlı delegasyon saldırısı, bir saldırganın, bir hizmet hesabına verilen izinleri kullanarak hedef sisteme veya hizmete yetkisiz erişim sağladığı bir tür siber saldırıdır. Saldırgan, hizmet hesabının güvenliğini ihlal ederek veya hizmetler arasındaki Kerberos trafiğini ele geçirip manipüle ederek bir kullanıcının kimliğine bürünebilir ve hizmet hesabının erişmesine izin verilen diğer hizmetlere yetkisiz erişim sağlayabilir. Bu tür bir saldırının gerçekleştirilmesi, sınırlandırılmamış delegasyon saldırısından daha zor olabilir ancak yine de ağ güvenliği için ciddi bir tehdittir.

Kısıtlı ve kısıtsız delegasyon nedir?

Kısıtlı temsilci ve kısıtsız temsilci, Kerberos kimlik doğrulama protokolünün, bir hizmetin diğer hizmetlere erişmek üzere bir kullanıcının kimliğine bürünmesini sağlayacak şekilde yapılandırılabilmesinin iki yoludur. Kısıtlanmamış delegasyon, bir hizmetin, bir Active Directory etki alanı içindeki diğer herhangi bir hizmete erişmek için bir kullanıcının kimliğine bürünmesine olanak tanır. Kısıtlı yetkilendirme ise bir hizmetin kullanıcı adına hangi hizmetlere erişebileceğini belirterek yetkilendirmenin kapsamını sınırlandırır.

Kısıtsız delegasyon ne anlama geliyor?

Kısıtlanmamış delegasyon, bir hizmetin, Active Directory etki alanındaki diğer herhangi bir hizmete erişmek için bir kullanıcının kimliğine bürünmesine olanak tanıyan bir Kerberos delegasyonu yapılandırmasıdır. Bu tür bir yetkilendirme, saldırganlar tarafından bir ağ içinde yanal olarak hareket etmek ve hassas verilere veya sistemlere erişim sağlamak için kullanılabilir.

Kısıtlanmamış delegasyon neden kötüdür?

Kısıtlanmamış delegasyon, saldırganların ağ içinde yatay olarak hareket etmesine ve hassas verilere veya sistemlere erişim sağlamasına olanak tanıdığı için kötü olarak kabul edilir. Bunun yerine, yetki verme kapsamını sınırlayan ve başarılı saldırı riskini azaltan kısıtlı yetkilendirme kullanılması önerilir.

İlgili makaleler