Ders 3.10: DCSync ve ayrıcalıklı grup değişiklikleri

Etki alanı denetleyicileri, parola özetleri dahil, dizini iki özel izin kullanarak çoğaltır. Bu izinlere sahip başka biri bir DC'den 'çoğaltma' isteyebilir ve krbtgt'ninki dahil her özeti alabilir: bu DCSync'tir; fiilen etki alanının sonudur. Bir DC olmayan bir hesaptan gelen çoğaltma istekleri (çoğaltma GUID'li 4662 olayı) olarak tespit edilir ve genellikle ardından yeni yönetici hesapları gelir. Laboratuvarda bir hizmet hesabının yaptığı bir DCSync'i buluyor, onun bir DC olmadığını kanıtlıyor, ona hakkı kimin verdiğini buluyor, dakikalar sonra oluşturulan arka kapı yöneticisini fark ediyor ve onu sınırlıyorsun.

18 dk

Bu derste öğreneceklerin

DCSync'i ve çoğaltma haklarını açıklamak
4662 olaylarında çoğaltma isteklerini tespit etmek
Etki alanı denetleyicilerini diğer hesaplardan ayırt etmek
Çoğaltma haklarına kimin sahip olduğunu bulmak
Bir etki alanı ele geçirmesini sınırlamak ve krbtgt sıfırlamalarını planlamak

Temel terimler

Çoğaltma hakları: 'Replicating Directory Changes' ve '… All' (GUID'ler 1131f6aa… ve 1131f6ad…), bir hesabın sırlar dahil dizin verisini bir DC'den çekmesine izin verir.
DCSync: Parola özetlerini elde etmek için çoğaltma haklarını DC olmayan bir yerden kullanmak.
4662 olayı: Bir dizin nesnesi üzerinde bir işlem yapıldı; Properties'te çoğaltma GUID'leriyle çoğaltma isteklerini kaydeder.
krbtgt: Anahtarı her Kerberos biletini imzalayan hesap; onun özetiyle bir saldırgan herhangi bir bileti sahteleyebilir (altın bilet).
4728 / 4732 / 4756 olayları: Bir genel / yerel / evrensel güvenlik grubuna üye eklendi.

← Oturumları ve çerezleri korumak · Tüm dersler · Eşikler ve temel çizgiler →