fatrodzianko/get-rbcd-threadedأداة لاكتشاف مسارات هجوم التفويض المقيد القائم على الموارد في بيئات Active Directory
أداة لاكتشاف مسارات هجوم التفويض المقيد القائم على الموارد (Resource-Based Constrained Delegation) في بيئات Active Directory
مبنية بالكامل تقريبًا على منشورات المدونة الرائعة "Wagging the Dog: Abusing Resource-Based Constrained Delegation to Attack Active Directory" بقلم إيلاد شامير و"A Case Study in Wagging the Dog: Computer Takeover" بقلم harmj0y. اقرأ هذين المنشورين إذا كنت تريد فهم ما يحدث هنا. بصراحة، أنا شخصيًا أفهم نصفه فقط (وهذا تقدير مبالغ فيه).
لا أجيد C# جيدًا لذا اكتشفت كيفية التواصل مع مجال في C# من خلال قراءة الكود المصدري لـ SharpSploit وSharpView.
سيقوم Get-RBCD-Thread بالاستعلام عن جميع مستخدمي Active Directory والمجموعات (باستثناء المجموعات المميزة مثل "Domain Admins" و"BUILTIN\Administrators") وكائنات الكمبيوتر في المجال الحالي وتجميع قائمة بـ SIDs الخاصة بهم. ثم سيقوم Get-RBCD-Threaded بالاستعلام عن جميع DACLs الموجودة على كائنات الكمبيوتر في المجال. سيتم التحقق من كل ACE في DACLs لمعرفة ما إذا كان أحد SIDs للمستخدم/المجموعة/الكمبيوتر لديه صلاحيات "GenericAll" أو "GenericWrite" أو "WriteOwner" أو "WriteDacl" على كائن الكمبيوتر، أو إذا كانت SIDs لديها صلاحيات "WriteProp" على سمة "ms-DS-Allowed-To-Act-On-Behalf-Of-Other-Identity" (GUID:3f78c3e5-f79a-46bd-a0b8-9d18116ddc79). إذا كان الأمر كذلك، فأنت يا صديقي في طريقك إلى هجوم التفويض المقيد القائم على الموارد!
قم بالتجميع في Visual Studio. هذا يستخدم Parallel.ForEach لتسريع البحث عبر كائن DACL، لذا .NET v4 هو الحد الأدنى المطلوب.
-u|-username=, اسم المستخدم للمصادقة
-p|-password=, كلمة المرور للمستخدم
-d|-domain=, اسم المجال المؤهل بالكامل للمصادقة عليه
-s|-searchforest, اكتشاف المجالات والغابات عبر علاقات الثقة. تعداد جميع المجالات والغابات
-pwdlastset=, تصفية أجهزة الكمبيوتر بناءً على pwdLastSet لإزالة كائنات الكمبيوتر القديمة. إذا قمت بتعيين هذا إلى 90، فسيتم تصفية كائنات الكمبيوتر التي يكون تاريخ pwdLastSet فيها أكبر من 90 يومًا
-i|-insecure, فرض اتصال LDAP غير آمن إذا كان LDAPS يتسبب في مشاكل الاتصال
-o|-outputfile=, الإخراج إلى ملف CSV. قدم المسار الكامل للملف واسم الملف
-h|-?|-help, عرض خيارات المساعدة
يمكنك الآن تحديد اسم المستخدم وكلمة المرور والمجال للمصادقة. إذا كانت خيارات u/p/d فارغة، فسيحاول Get-RBCD-Threaded المصادقة على المجال في سياق المستخدم الحالي.
-o سيقوم بالإخراج إلى ملف CSV. قدم مسار الملف الكامل واسم الملف لحفظ الإخراج.
البحث الافتراضي يحدد استخدام المنفذ 636 لفرض LDAPS. قد يسبب هذا مشاكل. إذا حدث خطأ يقول شيئًا حول عدم توفر الخادم أو ما شابه، جرب العلامة "-i" لإزالة المنفذ 636 من سلسلة الاتصال.
تمت إضافة "pwdLastSet" كخيار تصفية. في البيئات الأكبر يمكنك الحصول على العديد من كائنات الكمبيوتر القديمة التي لم تعد موجودة ككائن "الوجهة" في ACL، ولا يمكن استخدامها فعليًا لهجوم RBCD (على الأقل ليس على حد علمي). قم بتعيين pwdLastSet إلى عدد من الأيام. مثال: "-pwdlastset=90" سيقوم بتصفية أي كائنات كمبيوتر من نتائجك حيث يكون تاريخ pwdLastSet أكبر أو يساوي 90 يومًا من التاريخ والوقت الحاليين.
تم اختباره في بيئة تحتوي على 20 ألف مستخدم ومجموعة وجهاز كمبيوتر (أكثر من 60 ألف كائن إجمالاً). استغرق Get-RBCD-Thread حوالي 60 ثانية للإكمال. بالمقارنة، استغرقت أوامر PowerView المُجمَّعة في هذا الgist لإجراء بحث مماثل عدة ساعات ولم تكتمل أبدًا.
هذه الأداة لن تقوم بهجوم التفويض نيابة عنك. ستحتاج إلى قراءة مدونات إيلاد شامير و harmj0y لمعرفة كيفية القيام بذلك. هذه الأداة ستساعدك فقط في العثور على أهداف محتملة لهجوم RBCD.
مثال على الاستخدام من مختبر AD الخاص بي:
هذه الأداة لا تفعل شيئًا أكثر من الاستعلام عن Active Directory باستخدام استعلامات LDAP، والتي قد لا تكون سهلة الاكتشاف. يمكن استخدام Netflow لاكتشاف عدد كبير من استعلامات LDAP / حركة المرور إلى نظام واحد.
طريقة أخرى محتملة لاكتشاف ذلك هي من خلال حسابات الاصطياد (honeypot). الفكرة هي إنشاء كائن كمبيوتر يمتلك بعض المستخدمين / المجموعات صلاحيات الكتابة عليه. يعتمد هجوم RBCD على تعديل كائن كمبيوتر ثم تفويض تذاكر Kerberos إليه. نقاط الاكتشاف المحتملة لكائن كمبيوتر الاصطياد يمكن أن تكون:
صنعت هذه الأداة لمساعدتي في اختبارات الاختراق. ومع ذلك، يمكن للمدافعين / فرق الدفاع الأزرق / مسؤولي الأنظمة استخدامها بسهولة للمساعدة في العثور على نقاط الضعف في بيئاتهم و (نأمل) التحرك لمعالجتها.
