Güvenlik Destek Sağlayıcısı (SSP) Saldırıları

Mimikatz, saldırganlara kimlik bilgilerini bellekten çalmak veya bunları Active Directory'den çıkarmak için birkaç farklı yol sunar. En ilginç seçeneklerden biri MemSSP komutudur. Bir saldırgan bu komutu, kötü amaçlı bir Güvenlik Destek Sağlayıcısını (SSP) bir Windows üye sunucusuna veya etki alanı denetleyicisine (DC) kaydetmek için kullanabilir ve bu SSP, o sistemde yerel olarak oturum açan tüm kullanıcılar için tüm parolaları düz metin olarak günlüğe kaydeder.

Bu yazıda bu saldırıyı ve saldırganların ayrıcalıklarını yükseltmek için bunu nasıl kullanabileceğini inceleyeceğiz.

SSP Saldırı Senaryoları

Güvenlik Desteği Sağlayıcısı, kimlik doğrulama da dahil olmak üzere güvenlikle ilgili işlemlerde yer alan bir dinamik bağlantı kitaplığıdır (DLL). Microsoft, Kerberos ve NTLM paketleri de dahil olmak üzere bir dizi SSP sağlar. Bir saldırganın bilgisayara kötü amaçlı bir SSP kaydettirmek isteyebileceği nedenlerden bazılarına bakalım:

Saldırgan, yerel Yönetici olarak üye sunucunun güvenliğini ihlal etmiştir ancak etki alanında yanal olarak hareket etme hakları sınırlıdır.
Saldırgan, Etki Alanı Yöneticisi veya Yöneticisi olarak bir DC'nin güvenliğini ihlal etmiştir ancak etki alanları arasında yatay geçiş yapmak için ayrıcalıklarını Kurumsal Yönetici'ye yükseltmek istemektedir.
Saldırgan, Karma Geçiş saldırısı kullanarak Etki Alanı Yöneticisi olarak DC'nin güvenliğini tehlikeye attı ancak Outlook Web Erişimi veya uzak masaüstü bağlantısı gibi diğer uygulamalarda oturum açmak için yöneticinin açık metin parolasından yararlanmak istiyor.

Bu senaryoların herhangi birinde bir SSP saldırısı çok etkili olabilir.

SSP Saldırısı Gerçekleştirmek

SSP saldırısı gerçekleştirmek çok basittir. Bu yazı için etki alanı denetleyicisini hedef alan saldırılara odaklanalım. Bir Etki Alanı Yöneticisi hesabının güvenliğini ihlal ettiğimizi ve belleğe kötü amaçlı bir SSP enjekte etmek istediğimizi varsayalım. Tek yapmamız gereken Mimikatz'da misc::memssp komutunu vermek:

Artık SSP belleğe enjekte edilmiştir. Ancak DC yeniden başlatılırsa SSP kaybolur ve yeniden enjekte edilmesi gerekir. Bu durum, Mimikatz ile sağlanan bir DLL dosyasının SSP olarak kaydedilmesiyle çözülebilir.

SSP kaydedildikten sonra DC'de oturum açan tüm kullanıcılar ve tüm yerel hizmetler, parolalarını c:WindowsSystem32mimilsa.log dosyasına kaydedecektir. Bu dosya, sistemde oturum açan tüm kullanıcılar ve sistemde çalışan hizmet hesapları için şifresiz metin şifrelerini içerecektir:

SSP Saldırılarına Karşı Koruma

Tespit etme

SSP saldırılarının tespit edilmesi zor olabilir. DC'lerinizden herhangi birinin güvenliğinin ihlal edilip edilmediğini görmek için aşağıdaki PowerShell komutunu çalıştırarak etki alanındaki her DC'yi mimilsa.log dosyasının varlığı açısından kontrol edebilirsiniz. Umarım sonuçlar boş çıkar.

Önleme