Active Directory Numaralama

✨ Yazıyı özetle ve sesli okuDil TürkçeEnglishDeutschالعربية

Özet ve ses yapay zekâ tarafından oluşturulur; ses gerçek bir kişiye ait kayıt değildir. Ayrıntılar için yazının tamamını okuyun.

Genel Bakış

FreeNews.TR/ BloodHound-python, Active Directory ortamında gizlenmiş saldırı yollarını haritalamak için hızlı ve platformlar arası bir yöntem sunar. LDAP’ı manuel olarak sorgulamak, grup üyeliklerini dökmek ve oturumları elle ilişkilendirmek yerine, sızma testi uzmanı, ham ilişki verilerini toplayan ve grafik analizi için BloodHound’a ileten tek bir veri toplayıcı çalıştırır. Bu makale, byram.local alan adı üzerinde oluşturulmuş izole bir laboratuvarda aracın uçtan uca kullanımını ele almaktadır. Her gösterim farklı bir toplama yöntemi veya kimlik doğrulama mekanizması kullanır, bu nedenle sonunda yalnızca veri toplayıcıyı nasıl çalıştıracağınızı değil, aynı zamanda gerçek bir değerlendirme sırasında hangi düğmeye basmanız gerektiğini de anlayacaksınız. Her komut, 192.168.1.9 adresindeki alan denetleyicisini hedefler ve her çalıştırma, BloodHound’un doğrudan tükettiği zaman damgalı JSON dosyaları oluşturur.

İçindekiler:

• BloodHound-Python’a Giriş
• Varsayılan Toplama Yöntemi
• Varsayılan Koleksiyonun Çıktısı
• Oturum Açıldı Toplama Yöntemi
• LoggedOn Koleksiyonunun Çıktısı
• DCOnly Toplama Yöntemi
• DCOnly Koleksiyonunun Çıktısı
• Pass-the-Hash ile Kimlik Doğrulama
• Kerberos AES Anahtarı ile Kimlik Doğrulama
• Kerberos Bileti ile Kimlik Doğrulama (ccache)
• Zip Seçeneğiyle Paketleme Çıktısı
• Çözüm

BloodHound-Python’a Giriş

BloodHound-python (bloodhound-python veya Python veri toplayıcı olarak da adlandırılır), ağ üzerinden Active Directory bilgilerini toplayan ve BloodHound’un beklediği JSON formatına dönüştüren açık kaynaklı bir veri toplayıcıdır. Orijinal SharpHound toplayıcı Windows’ta yerel olarak çalışır, ancak Python veri toplayıcı bu kısıtlamayı tamamen ortadan kaldırır: Linux’ta çalışır, doğrudan bir Kali saldırı kutusundan yürütülür ve etki alanına bağlı bir makinede yer edinmeyi asla gerektirmez. Standart etki alanı kimlik bilgilerini kullanarak LDAP ve SMB’ye karşı kimlik doğrulaması yapar ve kullanıcıları, grupları, bilgisayarları, grup ilkesi nesnelerini, organizasyon birimlerini, kapsayıcıları, güven ilişkilerini, oturumları ve yerel yönetici ilişkilerini çeker.

Bloodhound’u Kali depolarından veya pip ile `pip install bloodhound` komutuyla kurun, ardından `bloodhound-python` komutuyla çalıştırın. Bu makalede kullanılan temel anahtarlar, kullanıcı adı ve parola için `-u` ve `-p`, hedef etki alanı için `-d` ve çözümleyiciyi DNS sunucusu olarak görev yapan etki alanı denetleyicisine yönlendirmek için `-ns`’dir. `-c` bayrağı, aracın tam olarak ne kadar ve ne tür veri alacağını kontrol eden toplama yöntemini seçer.

Veri toplama yöntemleri önemlidir çünkü her biri gizlilik, hız ve eksiksizliği farklı şekilde dengeler. Varsayılan yöntem, etki alanı nesnelerine ve aktif sunuculara dokunan geniş bir tarama gerçekleştirir. LoggedOn yöntemi, yalnızca uzak makinelerde hangi kullanıcıların oturum açtığını belirlemeye odaklanır. DCOnly yöntemi, etki alanı denetleyicisinden yalnızca LDAP aracılığıyla elde edilebilen her şeyi çeker ve asla tek tek iş istasyonlarına dokunmaz; bu da onu sessiz ve hızlı hale getirir. All yöntemi, en eksiksiz veri kümesi için DC tabanlı ve sunucu tabanlı toplamayı birleştirir. Araç ayrıca, açık metin parolanın ötesinde, NT hash ile pass-the-hash, Kerberos AES anahtarları ve önbelleğe alınmış Kerberos biletleri de dahil olmak üzere çeşitli kimlik doğrulama modlarını destekler; bu makalede bunların her biri sırasıyla gösterilmektedir. 

Varsayılan Toplama Yöntemi 

İlk çalıştırmada, en yaygın başlangıç ​​noktası olan Varsayılan toplama yöntemi kullanılır. Burada testçi, Password@1 şifresiyle raaz alan adı kullanıcısı olarak kimlik doğrulaması yapar, hedef alan adı olarak byram.local’ı ayarlar ve ad çözümlemesini 192.168.1.9 adresindeki alan adı denetleyicisine yönlendirir. Araç çalışırken, AD alanını bulur, bir Kerberos bilet verme bileti ister ve DC1.byram.local adresindeki LDAP sunucusuna bağlanır. Çıktı, her bilgisayarı sırayla numaralandırmadan önce bir alan adı, üç bilgisayar, otuz bir kullanıcı ve elli üç grup keşfettiğini ve tek bir saniyede işlemi tamamladığını doğrular.

Bloodhound-python -u raaz -p Şifre@ 1 -ns 192.168 . 1 . 9 -d tutuşur. yerel -c Varsayılan

Varsayılan Koleksiyonun Çıktısı

Varsayılan çalıştırmadan sonra çalışma dizinini listelemek, veri alıcının ürettiği dosyaları ortaya çıkarır. Araç, bilgisayarları, etki alanlarını, grupları ve kullanıcıları kapsayan dört adet zaman damgalı JSON dosyası yazar. Paylaşılan zaman damgası öneki, tek bir koleksiyondaki her dosyayı bir arada gruplandırarak, aynı klasörde birden fazla çalıştırma biriktiğinde karışıklığı önler. Bu dosyalar, saldırı grafiğini oluşturmak için doğrudan BloodHound GUI’sine aktarılır.

Oturum Açıldı Toplama Yöntemi

-c bayrağını LoggedOn olarak değiştirmek, odağı aktif kullanıcı oturumlarına daraltır. Bu yöntem, geniş nesne numaralandırmasını atlar ve bunun yerine şu anda kimin oturum açtığını bulmak için her bilgisayarı sorgular; bu da ayrıcalıklı bir hesaba doğru yatay hareket planlaması için çok değerlidir. Bu çalıştırmada, araç, SID’si 500 ile biten bir kullanıcının, yani yerleşik Yöneticinin, DC1.byram.local’da oturum açtığını bildirir. Bu tür oturum verileri, yüksek değerli kimlik bilgilerinin bellekte tam olarak nerede bulunduğunu ve çıkarılmaya hazır olduğunu ortaya koyar.

Bloodhound-python -u raaz -p Şifre@ 1 -ns 192.168 . 1 . 9 -d tutuşur. yerel -c Oturum Açıldı

LoggedOn Koleksiyonunun Çıktısı

LoggedOn yalnızca bilgisayarlarla bağlantılı oturum bilgilerine odaklandığı için, tam bir veri seti yerine tek bir JSON dosyası üretir. Dizin listesi, tek bir computers.json dosyasını göstererek, bu hafif yöntemin, test uzmanının ihtiyaç duyduğu oturum zekasını sağlarken, tam bir veri setine kıyasla çok daha az yer kapladığını doğrular.

DCOnly Toplama Yöntemi

DCOnly yöntemi, bireysel iş istasyonlarına hiç bağlanmadan, etki alanı denetleyicisi üzerinden LDAP aracılığıyla erişilebilen her şeyi toplar; bu da onu hem hızlı hem de nispeten gizli kılar. Bu çalıştırma otuz bir kullanıcı, elli üç grup, üç GPO, iki OU, on dokuz konteyner ve üç bilgisayarı alır ve neredeyse anında tamamlanır. Uç noktalara asla ulaşmadığı için, DCOnly, ana bilgisayar tabanlı oturum toplamanın oluşturduğu ağ gürültüsünden kaçınır; bu da gizliliğin öncelikli olduğu durumlarda güçlü bir seçenek haline getirir.

bloodhound-python -u raaz -p Password@ 1 -ns 192.168 . 1 . 9 -d byram. local -c DCOnly

DCOnly Koleksiyonunun Çıktısı

DCOnly çalıştırması, önceki yöntemlere göre çok daha zengin bir dosya kümesi üretir. Liste artık bilgisayarları, kapsayıcıları, etki alanlarını, GPO’ları, grupları, OU’ları ve kullanıcıları kapsayan yedi JSON dosyası gösteriyor. Yalnızca etki alanı denetleyicisinden alınan bu geniş nesne verisi yelpazesi, BloodHound’a herhangi bir ana bilgisayar etkileşimi olmadan organizasyon birimlerini, politika bağlantılarını ve grup iç içe geçmelerini haritalamak için yeterli yapıyı sağlar.

Pass-the-Hash ile Kimlik Doğrulama

BloodHound-python, açık metin parola gerektirmez. Bir test kullanıcısı NT hash’ini kurtarmış ancak açık metni kurtaramamışsa, –hashes anahtarı hash’i geçme tabanlı kimlik doğrulamayı etkinleştirir. Burada çalıştırma, raaz hesabı için NT hash’ini sağlar, LM kısmını boş bırakır ve tüm veri setini almak için All koleksiyon yöntemiyle eşleştirir. Araç başarılı bir şekilde kimlik doğrulaması yapar, nesnelerin tüm aralığını listeler ve yedi JSON dosyası yazar; bu da çalınan bir hash’in veri toplayıcıyı çalıştırmak için bir parola kadar etkili olduğunu kanıtlar.

Bloodhound-python -u raaz –hashes :64FBAE31CC352FC26AF97CBDEF151E03 -ns 192.168 . 1 . 9 -d tutuşur. yerel -c Hepsi

Kerberos AES Anahtarı ile Kimlik Doğrulama

Kerberos AES şifrelemesine dayanan ortamlar için, araç -aesKey anahtarı aracılığıyla ham bir AES anahtarı kabul eder. Bu çalıştırma, raj hesabını AES256 anahtarı kullanarak doğrular ve tekrar “Tüm” toplama yöntemini ister. AES anahtarıyla kimlik doğrulama, NTLM tabanlı bir yaklaşıma göre meşru Kerberos trafiğiyle daha doğal bir şekilde uyum sağlayabilir ve çıktı, diske yazılan yedi JSON dosyasından oluşan tanıdık küme ile tam bir numaralandırmayı doğrular.

bloodhound-python -u raj -aesKey af5c68f9c15325a03f0cc4b0833f7a1bf4a5607377f7a2412d0dcf8b6ad4a75e -ns 192.168 . 1 . 9 -d byram. local -c All

Kerberos Bileti ile Kimlik Doğrulama (ccache)

Araç ayrıca önbelleğe alınmış bir Kerberos biletini doğrudan kullanır. Bilet yolunu KRB5CCNAME ortam değişkenine aktardıktan sonra, testçi, komut satırındaki herhangi bir kimlik bilgisi yerine bilet kullanarak kimlik doğrulaması yapmak için -k -no-pass parametresiyle veri alıcıyı çalıştırır. Çıktı, aracın TGT’yi önbellekten okuduğunu, doğru sorumluyu doğruladığını ve tam bir “Tüm” toplama işlemini tamamladığını gösterir. Hatta Yöneticinin 192.168.1.17 adresinden DC1.byram.local’a giriş yaptığını bile bildirir. Ortaya çıkan dizin, çalıştırma için kullanılan Administrator.ccache biletiyle birlikte yedi JSON dosyasını içerir.

KRB5CCNAME=Administrator.ccache’i dışa aktar

bloodhound-python -u administrator -k -no-pass -ns 192.168 . 1 . 9 -d byram. local -c All

Zip Seçeneğiyle Paketleme Çıktısı

Her koleksiyon için yedi ayrı JSON dosyasını yönetmek hızla sıkıcı hale geliyor, bu nedenle araç, her çıktı dosyasını tek bir arşive sıkıştıran bir -zip anahtarı sunuyor. Bu son çalıştırma, tüm koleksiyonları işliyor ve ardından sonuçları bir araya getirerek, çıktıyı zaman damgalı bir zip dosyasına sıkıştırdığına dair bir mesaj yazdırıyor. Dizin listesi, tek bir sürükle-bırak işlemiyle BloodHound’a aktarılan ve etkileşim kanıtlarını düzenli bir şekilde saklayan, derli toplu bir bloodhound.zip arşivini doğruluyor.

bloodhound-python -u raaz -p Password@ 1 -ns 192.168 . 1 . 9 -d byram. local -c All –zip

Çözüm

BloodHound-python, herhangi bir Active Directory değerlendirmesi için vazgeçilmez bir yardımcı olduğunu kanıtlıyor. Bu gösterimler boyunca, tek bir Linux saldırı kutusundan ve Windows’a ihtiyaç duymadan, çeşitli farklı modlarda etki alanı verilerini topladı ve dört ayrı mekanizma aracılığıyla kimlik doğrulaması yaptı. Varsayılan yöntem dengeli bir ilk geçiş sağladı, Oturum Açıldı modu yanal hareket için aktif oturumları belirledi, Yalnızca DC’li mod sessiz bir LDAP taraması gerçekleştirdi ve Tümü modu mevcut en eksiksiz resmi üretti. Daha da önemlisi, araç parolaları, NT hash’lerini, Kerberos AES anahtarlarını ve önbelleğe alınmış biletleri birbirinin yerine kabul etti; bu da bir test uzmanının, etkileşimden hangi kimlik bilgisi türü elde edilirse edilsin veri toplamaya devam edebileceği anlamına gelir.

Pratik çıkarım, toplama yöntemini ve kimlik doğrulama modunu eldeki duruma uygun hale getirmektir. Gizlilik önemli olduğunda DCOnly’yi, eksiksizlik gereksiz bilgiden daha önemli olduğunda All’u ve düz metin kimlik bilgilerine erişilemediğinde pass-the-hash veya bilet tabanlı kimlik doğrulamayı tercih edin. Sonuçları zip seçeneğiyle sarmak, çıktıyı taşınabilir ve anında içe aktarılmaya hazır hale getirir. Bu JSON dosyalarını BloodHound’a beslemek, ham dizin verilerini saldırı yollarının görsel bir grafiğine dönüştürerek, izinler ve oturumlar karmaşasını alan hakimiyetine giden net bir yola dönüştürür. Savunmacılar da aynı çıktıyı incelemelidir, çünkü BloodHound’un bir saldırgana gösterdiği yollar, tam olarak güçlendirilmesi gereken yollardır. Bu teknikleri her zaman yalnızca test etme yetkinizin olduğu ortamlarda çalıştırın.