windows-coerced-authentication-methods

---

Dieses Repository enthält eine Liste vieler Methoden, um eine Windows-Maschine dazu zu zwingen, sich bei einer vom Angreifer kontrollierten Maschine zu authentifizieren.

Alle diese Methoden können von einem Standardbenutzer in der Domäne aufgerufen werden, um das Maschinenkonto der Ziel-Windows-Maschine (normalerweise ein Domänencontroller) zu zwingen, sich gegenüber einem beliebigen Ziel zu authentifizieren. Die Grundursache dieser „Schwachstelle/Funktion“ bei jeder dieser Methoden ist, dass sich Windows-Maschinen automatisch gegenüber anderen Maschinen authentifizieren, wenn sie versuchen, auf UNC-Pfade (wie \\192.168.2.1\SYSVOL\file.txt) zuzugreifen.

Derzeit gibt es 15 funktionierende Funktionen in 5 Protokollen.

---

[!NOTE] 🎉 Viele neue Methoden müssen noch getestet werden. Wenn du sie ausprobieren möchtest: possible-working-calls Diese Liste wird im Laufe der Zeit priorisiert. Obwohl ich den Großteil der Arbeit automatisiert und für jeden Aufruf automatisch Python-Proof-of-Concept generiert habe, dauert es Zeit, diese 240+ RPC-Aufrufe zu testen.

---

Protokolle & Methoden

• [MS-DFSNM]: Distributed File System (DFS): Namespace Management Protocol

  • Remote-Aufruf an NetrDfsAddStdRoot (opnum 12)
  • Remote-Aufruf an NetrDfsRemoveStdRoot (opnum 13)

• [MS-EFSR]: Encrypting File System Remote (EFSRPC) Protocol

  • Remote-Aufruf an EfsRpcOpenFileRaw (opnum 0)
  • Remote-Aufruf an EfsRpcEncryptFileSrv (opnum 4)
  • Remote-Aufruf an EfsRpcDecryptFileSrv (opnum 5)
  • Remote-Aufruf an EfsRpcQueryUsersOnFile (opnum 6)
  • Remote-Aufruf an EfsRpcQueryRecoveryAgents (opnum 7)
  • Remote-Aufruf an EfsRpcFileKeyInfo (opnum 12)
  • Remote-Aufruf an EfsRpcDuplicateEncryptionInfoFile (opnum 13)

Schutz vor erzwungenen Authentifizierungen

Microsoft betrachtet erzwungene Authentifizierungen nicht als Sicherheitslücke. Aus ihrer Sicht stellt nur das Relaying von Authentifizierungen, die aus erzwungenen Authentifizierungen hervorgehen, eine Sicherheitslücke dar. Um NTLM-Relay-Angriffe in Netzwerken mit aktiviertem NTLM zu verhindern, müssen Domänenadministratoren sicherstellen, dass Dienste, die NTLM-Authentifizierung zulassen, Schutzmaßnahmen wie Extended Protection for Authentication (EPA) oder Signaturfunktionen wie SMB-Signierung verwenden. Die Schutzmaßnahmen gegen NTLM-Relays sind in diesen Bulletins aufgeführt:

• 24. Juli 2021 KB5005413: Mitigating NTLM Relay Attacks on Active Directory Certificate Services (AD CS)
• 08. Dezember 2009 MSA974926: Credential Relaying Attacks on Integrated Windows Authentication
• 12. August 2009 Extended Protection for Authentication
• 11. August 2009 MSA973811: Extended Protection for Authentication

Mitwirken

Öffne gerne einen Pull-Request, um neue Methoden hinzuzufügen.