Yanal Hareket: RDP’yi Uzaktan Etkinleştirme

Bu makale, Windows Server 2019 Etki Alanı Denetleyicisinde (DC.byram.local, 192.168.1.11) uzaktan RDP’yi etkinleştirmek ve ardından Kali Linux’ta bulunan çeşitli RDP istemcilerini kullanarak ona bağlanmak için kullanılan birden fazla gerçek dünya tekniğini uygulamalı olarak gösteren bir kılavuz sunmaktadır. Her teknik, farklı araçlar ve erişim vektörleri kullanarak saldırganın cephaneliğinin derinliğini göstermektedir.

İçindekiler

• giriiş
• Aşama 1: Keşif — RDP’nin Devre Dışı Bırakıldığının Doğrulanması
  • Nmap Port Taraması
• 2. Aşama: RDP Kilidini Açma — 6 İstismar Tekniği
  • Teknik 1 — WMI aracılığıyla NetExec (nxc) RDP Modülü
  • Teknik 2 — wmiexec aracılığıyla Pass-the-Hash ile NetExec
  • Teknik 3 — Impacket-reg
  • Teknik 4 — Kayıt Defteri Komutu ile Impacket-psexec
  • Teknik 5 — PowerShell ile Evil-WinRM
  • Teknik 6 — Samba net rpc Kayıt Defteri
  • Teknik 7 — Metasploit post/windows/manage/enable_rdp
• 3. Aşama: RDP Üzerinden Bağlantı Kurma — Üç İstemci Seçeneği
  • RDP İstemcisi 1 — rdesktop (Temel Bağlantı)
  • RDP İstemcisi 2 — Pass-the-Hash özellikli xfreerdp3
  • RDP İstemcisi 3 — Remmina (GUI İstemcisi)
• Teknik Karşılaştırması
• Azaltma Stratejileri
• Çözüm

giriiş

Uzak Masaüstü Protokolü (RDP), bir makineye ağ üzerinden grafiksel uzaktan erişim sağlayan güçlü bir Windows hizmetidir. Kırmızı ekip çalışmaları ve sızma testleri sırasında, kimlik bilgilerine veya hash’lere ilk erişimi sağlayan saldırganlar, hedefte hizmet başlangıçta devre dışı bırakılmış olsa bile, RDP’yi etkinleştirerek ve bağlantı kurarak operasyonel ayak izlerini genişletmeye sıklıkla ihtiyaç duyarlar.

Aşama 1: Keşif — RDP’nin Devre Dışı Bırakıldığının Doğrulanması

Nmap Port Taraması

Bu çalışma, etki alanı denetleyicisindeki 3389 numaralı portun (varsayılan RDP portu) mevcut durumunu belirlemek için hedefli bir Nmap taramasıyla başlar.

nmap -p3389 192.168.1.11

Bu, hedef Etki Alanı Denetleyicisinde Uzaktan Masaüstü Hizmetlerinin devre dışı bırakıldığını doğrular. Şimdi çeşitli uzaktan erişim tekniklerini kullanarak RDP’yi etkinleştirmeye geçeceğiz.

2. Aşama: RDP Kilidini Açma — 6 İstismar Tekniği

Teknik 1 — WMI aracılığıyla NetExec (nxc) RDP Modülü

Saldırgan, modern bir ağ kimlik bilgisi doğrulama ve istismar çerçevesi olan NetExec’i kullanarak, geçerli kimlik bilgileriyle SMB üzerinden özel bir modül aracılığıyla hedefte RDP’yi etkinleştiriyor.

nxc smb 192.168.1.11 -u administrator -p Ignite@987 -M rdp -o ACTION=enable

NetExec, DC’deki SMB (445 numaralı port) üzerinden etki alanı yöneticisi olarak kimlik doğrulaması yapar ve ardından ACTION=enable parametresiyle yerleşik RDP modülünü kullanır. NetExec daha sonra WMI (ncacn_ip_tcp) aracılığıyla RDP’yi etkinleştirir ve RDP portunun artık 3389 olarak ayarlandığını doğrular.

Doğrulama — 3389 Nolu Port Artık Açık

Nmap ile yapılan takip taraması, DC.byram.local üzerinde 3389/tcp portunun artık açık olduğunu doğruluyor. ms-wbt-server servisi aktif olarak dinleme yapıyor ve bu da 1. Tekniğin hedefte Uzaktan Masaüstü Hizmetlerini başarıyla etkinleştirdiğini doğruluyor.

Teknik 2 — wmiexec aracılığıyla Pass-the-Hash ile NetExec

Düz metin parolanın mevcut olmadığı ancak NTLM özetinin bilindiği senaryolarda, saldırgan NetExec’in -x bayrağını kullanarak Pass-the-Hash (PtH) kimlik doğrulamasından yararlanır ve aşağıdaki komut yardımıyla wmiexec üzerinden uzaktan bir kayıt defteri komutu çalıştırır:

nxc smb 192.168.1.11 -u Administrator -H 32196B56FFE6F45E294117B91A83BF38 -x 'reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f'

NetExec başarılı bir şekilde kimlik doğrulamasını gerçekleştirir (Null Auth: True, SMBv1: None) ve wmiexec aracılığıyla kayıt defteri komutunu yürütür. Terminal Sunucusu yolundaki fDenyTSConnections kayıt defteri anahtarı 0 olarak ayarlanır, bu da Uzaktan Masaüstü’nü doğrudan etkinleştirir. İşlem başarıyla tamamlanır.

Teknik 3 — Impacket-reg

Impacket’in reg yardımcı programı, bir saldırganın SMB üzerinden uzaktaki bir hedefin Windows kayıt defteriyle doğrudan etkileşim kurmasına olanak tanıyarak, kayıt defteri anahtarlarını değiştirmek için temiz ve güvenilir bir yöntem sunar. Dolayısıyla, söz konusu anahtarları değiştirmek için aşağıdaki komutu kullanacağız:

impacket-reg byram.local/administrator:Ignite@987@192.168.1.11 add -keyName "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" -v fDenyTSConnections -vt REG_DWORD -vd 0

Impacket-reg, yönetici olarak kimlik doğrulaması yapar ve kayıt defterindeki fDenyTSConnections anahtarına doğrudan 0 DWORD değerini yazar. Araç, anahtar yolunu, değer türünü (REG_DWORD) ve yeni veriyi (0) görüntüleyerek işlemi onaylar. Bu teknik, etkileşimli bir kabuk gerektirmez ve tamamen SMB protokolü üzerinden çalışır.

Teknik 4 — Kayıt Defteri Komutu ile Impacket-psexec

Impacket’in psexec modülü, hedef sisteme bir servis ikili dosyası yükler, bir Windows servisi oluşturur ve başlatır ve saldırganın doğrudan aşağıdaki kayıt defteri komutunu çalıştırabileceği tamamen etkileşimli bir SYSTEM düzeyinde kabuk sunar:

impacket-psexec byram.local/administrator:Ignite@987@192.168.1.11

reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

Bu teknik son derece güçlüdür çünkü NT AUTHORITY\SYSTEM olarak çalışır ve tüm kullanıcı düzeyindeki kısıtlamaları atlar.

Teknik 5 — PowerShell ile Evil-WinRM

Evil-WinRM, sızma testleri için tasarlanmış Ruby tabanlı bir saldırı amaçlı WinRM kabuğudur. Windows Uzaktan Yönetimi (WinRM) üzerinden 5985 numaralı porta bağlanır ve aşağıdaki komut yardımıyla hedefte tam bir PowerShell oturumu sağlar:

evil-winrm -i 192.168.1.11 -u administrator -p byram@987

Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name "fDenyTSConnections" -Value 0

PowerShell cmdlet’i değişikliği sessizce uygular. Evil-WinRM, dosya aktarımı, komut dosyası yükleme ve atlatma yeteneklerini destekleyen kalıcı, etkileşimli bir kabuk sağlar; bu da onu Active Directory ortamlarında tercih edilen bir sömürü sonrası araç haline getirir.

Teknik 6 — Samba net rpc Kayıt Defteri

Kali Linux’ta bulunan yerel Samba ağ yardımcı programı, standart Samba paketinin ötesinde herhangi bir üçüncü taraf araca ihtiyaç duymadan RPC tabanlı kayıt defteri manipülasyonu sağlar. Bu yardımcı programı aşağıdaki komut yardımıyla istediğimiz gibi kullanacağız:

net rpc registry setvalue 'HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server' 'fDenyTSConnections' dword '0' -U byram.local/administrator%'Ignite@987' -S 192.168.1.11

Control\Terminal Server’ ‘ fDenyTSConnections ‘ dword ‘0’ -U ignite.local / administrator% ‘Ignite@987’ -S 192.168.1.11

Bu tek komut, etki alanı kimlik bilgilerini kullanarak RPC üzerinden kimlik doğrulaması yapar ve fDenyTSConnections DWORD değerini doğrudan 0’a ayarlar. Samba araç zincirinin RPC kayıt defteri arayüzünü kullanır; bu, ikili dosyaları yüklemeyen veya hizmetler oluşturmayan, hedef sistemde minimum iz bırakan gizli ve hafif bir yaklaşımdır.

Teknik 7 — Metasploit post/windows/manage/enable_rdp

Metasploit Framework’ün sömürü sonrası modülü, aktif bir Meterpreter oturumu içinden RDP’yi etkinleştirmek için otomatik, menü tabanlı bir yaklaşım sunar. Söz konusu modül ise şöyledir:

use post/windows/manage/enable_rdp set session 1 exploit

Bu modül, RDP’nin devre dışı olduğunu algılar ve otomatik olarak etkinleştirir. Terminal Hizmetlerini otomatik olarak başlatacak şekilde yapılandırır, yerel güvenlik duvarında 3389 numaralı bağlantı noktasını açar ve işlem sonrası geri yükleme için bir temizleme kaynak dosyası kaydeder. Bu teknik, hedefte zaten bir Meterpreter oturumu bulunan ve Metasploit iş akışı içinde çalışan operatörler için idealdir.

3. Aşama: RDP Üzerinden Bağlantı Kurma — Üç İstemci Seçeneği

Yukarıdaki tekniklerden herhangi biriyle RDP başarıyla etkinleştirildiğinde, saldırgan artık Etki Alanı Denetleyicisinin masaüstüne bağlanır. Kali Linux, her biri farklı yeteneklere sahip çeşitli RDP istemcilerini destekler.

RDP İstemcisi 1 — rdesktop (Temel Bağlantı)

Uzak masaüstüne bağlanmak için aşağıdaki komutu kullanacağız:

rdesktop 192.168.1.11

rdesktop, çoğu Linux sisteminde kullanılabilen hafif, açık kaynaklı bir RDP istemcisidir. Bağlantı, NLA (Ağ Düzeyinde Kimlik Doğrulama) ile ilgili bir sertifika uyarısı ile başarılı olur; rdesktop bunu atlar ve tam Windows Server 2019 Standard Değerlendirme masaüstünü sunar.

RDP İstemcisi 2 — Pass-the-Hash özellikli xfreerdp3

xfreerdp3, Kali Linux’ta Pass-the-Hash (/pth), pano paylaşımı, sürücü yönlendirme ve sıkıştırma gibi gelişmiş seçenekleri destekleyen en zengin özellikli RDP istemcisidir. Bu nedenle, aşağıdaki komut yardımıyla uzak masaüstüne bağlanacağız:

xfreerdp3 /compression +auto-reconnect /u:administrator /pth:32196B56FFE6F45E294117B91A83BF38 /v:192.168.1.11 +clipboard

NTLM karma değerini doğrudan kullanmak, düz metin parolaya olan ihtiyacı ortadan kaldırır. Bağlantı başarılı olur ve Windows Server Yöneticisi kontrol paneli açılır, AD CS ve AD DS rolleri görünür haldeyken Etki Alanı Denetleyicisi erişimi doğrulanır. Bu teknik özellikle güçlüdür çünkü düz metin parola bilinmediğinde bile çalışır.

RDP İstemcisi 3 — Remmina (GUI İstemcisi)

Remmina, RDP, VNC, SSH ve diğer protokolleri şık bir grafik arayüzü (GUI) aracılığıyla destekleyen, tam özellikli bir grafiksel uzaktan masaüstü istemcisidir. Remmina’yı başlattıktan ve hedef IP adresini (192.168.1.11) etki alanı kimlik bilgileriyle yapılandırdıktan sonra, istemci DC’ye temiz bir RDP oturumu kurar ve Windows Server Yöneticisi kontrol panelini görüntüler. Remmina, uzun süreli erişim için veya hedef üzerinde ayrıntılı yönetimsel görevler gerçekleştirirken istikrarlı, kullanıcı dostu bir GUI’ye ihtiyaç duyan operatörler için idealdir.

Azaltma Stratejileri

Yedi RDP etkinleştirme tekniği, kimlik bilgilerinin çalınmasını, zayıf protokolleri (SMB/WMI/WinRM/RPC) ve yetersiz ağ kontrollerini istismar eder. Derinlemesine savunma için bu hedefli karşı önlemleri uygulayın:

• Kimlik Bilgisi Güvenliğini Artırma: Etki alanına bağlı sistemler arasında yerel yönetici parolalarını değiştirmek için LAPS/Windows LAPS’ı dağıtın ve bir sunucudan çalınan hash’leri diğer sunucularda geçersiz kılın (1-6. Teknikleri etkisiz hale getirir). Kimlik bilgisi ifşasını sınırlamak için 15+ karakterli karmaşık parolaları, en az ayrıcalık ilkesini ve PAW’ları/kademeli yönetimi uygulayın.
• NTLM Engelleme: GPO aracılığıyla NTLM’yi kısıtlayın (v1’i engelle, v2’yi denetle), VBS’de karma izolasyonu için Kimlik Bilgisi Korumasını etkinleştirin ve pass-the-hash saldırısını önlemek için yöneticileri Korunan Kullanıcılar grubuna ekleyin (Teknik 2, Aşama 3 PtH RDP’yi engeller).
• SMB Kısıtlamaları: Güvenlik duvarlarında/çevre ağlarında TCP/UDP 445 portunu engelleyin; SMBv1’i devre dışı bırakın; DC’lerde/sunucularda SMB imzalama işlemini zorunlu kılın; GPO aracılığıyla ADMIN$/IPC$ paylaşımlarını gizleyin (1-4. Tekniklerdeki NetExec, impacket-reg/psexec işlemlerini durdurur).
• WMI Kontrolleri: Güvenlik Duvarı DCOM (135 + yüksek portlar); WMI ad alanı ACL’lerini sıkılaştırın (wmimgmt.msc); WMI komut dosyası yürütmesini engellemek için WDAC/AppLocker kullanın; uzaktan cmd/PowerShell komut dosyası çalıştırmalarını izlemek için EID 4688’i izleyin (1-2. Teknikleri engeller).
• WinRM Devre Dışı Bırakma: Disable-PSRemoting -Force komutunu çalıştırın; 5985/5986’yı engelleyin; tam PowerShell günlük kaydını (Komut Dosyası/Modül/Transkripsiyon) ve Kısıtlı Dil Modunu etkinleştirin (5. Teknik Evil-WinRM’yi etkisiz hale getirir).
• RPC Kayıt Defteri Kilitleme: GPO aracılığıyla RemoteRegistry hizmetini devre dışı bırakın; HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\Winreg ACL’lerini kısıtlayın; EID 5039’u izleyin (Teknik 6 Samba net rpc’yi engeller).
• RDP Ağ Sınırlamaları: Yalnızca onaylanmış ağ geçitlerine TCP 3389 portunu GPO güvenlik duvarı ile izin verin; MFA ile RD Ağ Geçidi dağıtın; NLA’yı uygulayın; “RDP üzerinden oturum açmaya izin ver” seçeneğini Uzak Masaüstü Kullanıcıları grubuyla sınırlandırın (3. Aşama RDP’yi etkisiz hale getirir).
• Hizmet/Yük Engelleme: Meterpreter tespiti için EDR’yi devreye alın; ADMIN$/TEMP’ten gelen yeni hizmetlerde EID 7045/4697 uyarısı verin; imzalanmamış psexec ikili dosyalarını engellemek için WDAC kullanın (Teknik 7 ve Teknik 4’ü durdurur).
• Sıfır Güven Bölümlemesi: Veri merkezlerini VLAN’larda izole edin; iş istasyonlarından veri merkezine yönetim portlarını engelleyin; akış başına kimlik doğrulama için ZTNA/mikro bölümleme uygulayın (düz ağ pivotlarını kırar).
• Algılama Kuralları: SIEM-öncelikli Güvenlik/Sistem/PowerShell/WMI günlükleri; EID 4657 (fDenyTSConnections değişikliği), 4624/4648 (SMB/RDP oturum açmaları), 4698/7045 (görevler/hizmetler) için uyarı ver; bu zincirle arama yap.

Çözüm

Bu makale, geçerli kimlik bilgilerine veya parola karmalarına sahip bir saldırganın, en az yedi farklı teknik kullanarak bir Windows Server Etki Alanı Denetleyicisinde RDP’yi etkinleştirebileceğini göstermektedir  . Bunlar  arasında  NetExec  modülleri  , Impacket yardımcı programları, Evil-WinRM PowerShell, yerel Samba RPC  ve  Metasploit sömürü sonrası modülleri yer almaktadır.

RDP etkinleştirildikten sonra, üç farklı Kali Linux istemcisi (rdesktop, xfreerdp3 ve Remmina), düz metin parola kullanmadan Pass-the-Hash yöntemi de dahil olmak üzere etkileşimli grafiksel oturumlar başarıyla sunmaktadır. Kuruluşlar, bu tür erişimleri tespit etmek ve önlemek için ağ segmentasyonu, kimlik bilgisi rotasyonu, LAPS dağıtımı ve RDP ağ geçidi politikaları uygulayarak ortamlarını güçlendirmelidir.

Sonuç olarak, kırmızı ekipler ve sızma test uzmanları için bu iş akışı, birden fazla araç ve tekniğe hakim olmanın önemini açıkça vurgulamaktadır; özellikle, tek bir yaklaşım başarısız olduğunda veya uyarı verdiğinde bile operasyonel sürekliliği sağlar.