Ders 4.24: SYSVOL'ü sırlar için incelemek

SYSVOL, her etki alanı denetleyicisinde Grup İlkesi dosyalarını ve oturum açma betiklerini tutan paylaşımdır ve her etki alanı kullanıcısı onu okuyabilir. Yıllar içinde orada olmaması gereken şeyler birikir: 'cpassword' öznitelikli eski Grup İlkesi Tercihleri (şifreleme anahtarı Microsoft tarafından yayımlandı, yani fiilen düz metindir) ve içine parola yazılmış betikler. Laboratuvarda SYSVOL'de ikisini de arıyor, eski GPO'yu ve nereye bağlı olduğunu belirliyor, dosya paylaşımı denetiminde saldırganın tam bu dosyaları okuduğunu görüyor ve onları kaldırıyorsun. Parolaların kendisi değiştirilir, asla çözülmez.

16 dk

Bu derste öğreneceklerin

SYSVOL'ün ne tuttuğunu ve kimin okuyabildiğini açıklamak
Grup İlkesi Tercihi parolalarını bulmak
Bir GPO GUID'ini adına ve bağlantılarına eşlemek
Oturum açma betiklerinde parolaları bulmak
Sırları kaldırmak ve parolaları döndürmek

Temel terimler

SYSVOL: Grup İlkesi şablonlarını (Policies) ve oturum açma betiklerini (scripts) içeren, her DC'ye çoğaltılan paylaşım.
Grup İlkesi Tercihleri (GPP): Yerel kullanıcılar, sürücüler ve görevler gibi şeyleri ayarlayan, SYSVOL'de XML olarak saklanan GPO uzantıları.
cpassword: GPP dosyalarında, Microsoft'un yayımladığı bir anahtarla şifrelenmiş bir parolayı tutan öznitelik; düz metin say.
5145 olayı: Bir ağ paylaşımı nesnesinin erişimi denetlendi: hangi paylaşımda hangi dosya, kim tarafından, nereden.
GPT.INI: Bir GPO'nun SYSVOL'deki sürüm dosyası; istemciler sürümü değiştiğinde GPO'yu yeniden uygular.

← Siteler arası betik çalıştırma (XSS) · Tüm dersler · Zeek bağlantı günlükleri →