内网渗透之域关系探测神器:Bloodhound

内网渗透之域关系探测神器:Bloodhound

淘宝店家涉嫌售卖假冒伪劣口罩被查处 淘宝封店并起诉卖家索赔百万损失

注:本篇文章确立在有一定的内网渗透基础前提下,以是翻译时刻有些词汇显得对照术语化,建议人人没事可以多了解下内网渗透的知识

内网渗透之域关系探测神器:Bloodhound插图

珍爱一个公司或者组织免受当今庞大的攻击并非易事。除了治理珍爱组织平安的一样平常职责之外,通常还需要平安团队随时准备响应事宜。为了有用治理,平安团队必须具有优越界说的计谋和可靠的检测功效。这种功效和计谋的实行经常会在蓝队和红队之间引发一场连续的军备竞赛,双方都在追求越来越庞大的工具和检测能力。然而,平安专业职员通常可以通过展望可能的攻击路径并接纳步骤阻止攻击者使用这些路径从而优化他们的事情并获得优势。

若何获取隐藏到域控制器治理员账户?

首先我们得要先知道什么是隐藏的治理员帐户?为什么要体贴这个问题?

隐藏的治理员帐户是域帐户,提供对敏感系统(如域控制器、exchange服务器或数据库服务器)的治理员接见。这些帐户可能不属于特权Active Directory (AD)组(即域治理员),然则它们仍然可以接见相同的系统。这些帐户的权限是使用AD工具上的接见控制列表(ACL)直接分配的。

这些隐藏的治理员帐户通常是服务或维护帐户,它们在环境中执行自动化的例行义务。此外,隐藏的治理员帐户通常可以接见环境中的多个系统。值得关注的是,在设置检查或密码治理和监视方面,这些帐户通常不会获得与通俗治理员账户相同的关注。

因此,他们经常作为一种弱点项来举行探测,红队行使这些服务帐户举行横向渗透而且接见多个系统。

此外,隐藏的治理员帐户也经常成为自我流传的恶意软件的目的,包罗那些用于勒索软件和加密攻击的恶意软件。行使这些治理员特权,恶意软件可以很容易地在整个公司中流传。

若何处置隐藏的治理帐户?

我们这选择是使用侦探犬。不,我说的不是耷拉着眼睛的气息狗——我说的是现在许多红色团队使用的异常盛行的内部AD侦探工具。

内网渗透之域关系探测神器:Bloodhound插图(1)

侦探犬是一个单页JAVA web应用程序,带有一个由PowerShell剧本提供的Neo4j数据库。侦探犬使用图论方式来展现AD环境中隐藏的、经常是意想不到的关系图。

它由Will Schroeder (@harmjoy)、Andrew Robbins (@_wald0)和Rohan Vazarkar (@CptJesus)开发。侦探犬可以在几分钟内完成以前需要渗透测试职员和剖析职员几周才气完成的事情。只管该工具在渗透测试社区中异常盛行,然则我们仍然发现一些平安性和IT团队没有意识到它对于珍爱他们的基础设施有何等强大和有益。具体来说,侦探犬可以发现隐藏的关系和治理帐户,如过不举行使用探测这些账户可能会被我们忽略掉。要使用侦探犬,您必须设置Neo4j community edition数据库。然后需要将侦探犬web应用程序连接到Neo4j数据库。有关完整的安装说明,请接见侦探犬Wiki

(https://github.com/BloodHoundAD/BloodHound/wiki/Getting-started)

设置好数据库并登录到侦探犬web应用程序之后,需要使用Bloodhound PowerShell ingestor选项从AD中提取AD数据。

图1显示了一个示例下令,它搜索林(-SearchForest)中的所有域,以及用于保留天生的CSV文件的文件夹位置。

内网渗透之域关系探测神器:Bloodhound插图(2)

图1:运行侦探犬的Bloodhound PowerShell Ingestor

一旦ingestor完成,您将看到三个CSV文件,它们可以上传到侦探犬中,如图2所示:

A.group_membership.csv B.local_admins.csv C.Sessions.csv

IPSec VPN基本原理详解

内网渗透之域关系探测神器:Bloodhound插图(3)

图2:侦探犬web应用的上传界面

上传这些文件后,行使侦探犬内部的预构建查询。这些查询是最先获取有关环境的主要信息的好方式。查询包罗:

查看所有域治理员; 查看具有最多内陆治理员权限的用户; 或查看具有最多治理用户接见权限的计算机。

其中一个查询使我们能够获得域信托关系,如图3所示。

内网渗透之域关系探测神器:Bloodhound插图(4)

图 3:侦探犬预构建剖析查询

在查找隐藏的治理员帐户和信托错误设置时,我们通常使用预先构建的查询“查找拥有最多内陆治理权限的前10个用户”和“映射域信托”。

这些查询将提供一些快速的效果,并向我们展示哪些帐户可以接见最多的系统,以及域之间是否存在双向信托,从而允许对环境举行更大水平的接见。找到隐藏的治理员帐户的另一个好方式是直接查看系统、组或用户节点信息。我们只需输入环境中的任何用户、组或系统名称的前几个字符,就可以观察该环境中的任何用户、组或系统名称。

一旦您选择了一个节点,左侧面板中的“node Info”字段就会填充。您还可以右键单击一个节点并选择子选项“Expand”,以查看该节点的成员,如图4所示。

内网渗透之域关系探测神器:Bloodhound插图(5)

图4:侦探犬用户交互界面

我们能够轻松发现隐藏治理员帐户的另一种方式是搜索敏感的系统,好比域控制器。这可以通过简朴地搜索“域控制器”组并左键单击组节点来实现。左边的“Node Info”字段将被填充。接下来,在“群组成员”部门中,左键单击“直接成员”旁边的数字。将看到该组下的所有域控制器系统节点,如图5所示。

内网渗透之域关系探测神器:Bloodhound插图(6)

图5:侦探犬显示的域控制器组的成员

接下来,左键单击其中一个系统节点(例如:“GOAT-DC”),并在“Local Admins”部门中,左键单击“Derivative Local Admins”旁边的数字,如图6所示。

内网渗透之域关系探测神器:Bloodhound插图(7)

图6:侦探犬显示的GOAT-DC 派生的内陆治理员

现在,我们可以看到有两个帐户具有对域控制器的内陆治理员接见权,它们不在“域治理员”组中,甚至没有显示在图4中。。

结论

环境中隐藏的治理员帐户经常被遗忘,或者完全不为人知。它们可以为攻击者提供一种怪异的方式来获得域治理员权限并不损坏环境。 侦探犬在识别隐藏的治理员帐户方面异常有用,而且功效强大且易于使用。它可以在几分钟内提供对你的域环境的关系图谱,在你寻找隐藏的域关系时,它是一个很好的工具。我们建议平安公司经常使用像侦探犬这样的免费工具举行威胁探测,并将它们作为定期的、自动的平安评估的一部门。我们在平安方面越自动,就越能更好地展望威胁,为我们的团队做好准备,并提高我们阻止入侵的能力。

*本文作者:130421106,转载请注明来自FreeBuf.COM

微软为Microsoft Edge based Chromium浏览器带来沉浸式阅读体验

分享到 :
相关推荐

发表评论

登录... 后才能评论