PowEnum

Penetrationstester enumerieren häufig AD-Daten – das schafft Situationsbewusstsein in der Domäne und hilft, weiche Ziele zu identifizieren. PowEnum automatisiert die kartologische Ansicht Ihrer Zieldomäne.

PowEnum führt gängige PowerSploit-Powerview-Funktionen aus und kombiniert die Ausgabe in einer Tabelle zur einfachen Analyse. Der gesamte Netzwerkverkehr wird nur an den/die DC(s) gesendet. PowEnum nutzt zudem PowerSploit Get-GPPPassword und Harmj0y's ASREPRoast.

Syntax-Beispiele:

• Invoke-PowEnum
• Invoke-PowEnum -FQDN test.domain.com
• Invoke-PowEnum -Mode SYSVOL
• Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com -Mode Special

Ausführen von PowEnum von einem nicht der Domäne beigetretenen System

Es gibt zwei Möglichkeiten. Die erste verwendet den Befehl runas (dieser muss vor der Verwendung von PowEnum ausgeführt werden). Die zweite nutzt die Funktion Invoke-UserImpersonation in Powerview.

1. runas /netonly /user:test.domain.com\username powershell.exe
2. Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com

Modi

*DC Local Admins können sich von den integrierten Administratoren unterscheiden, wenn ein RODC verwendet wird oder Replikationsprobleme vorliegen.

Erkennung

• Diese Enumeration erzeugt verdächtigen Datenverkehr zwischen dem PowEnum-System und dem/den Ziel-DC(s). Wenn Sicherheitsprodukte den Datenverkehr zu den DC(s) überwachen (z. B. Microsoft ATA), wird PowEnum wahrscheinlich erkannt. Weitere Informationen darüber, was ATA erkennt und nicht erkennt:
  https://media.defcon.org/DEF%20CON%2025/DEF%20CON%2025%20presentations/DEFCON-25-Chris-Thompson-MS-Just-Gave-The-Blue-Teams-Tactical-Nukes-UPDATED.pdf
• Techniken zur Erkennung von Kerberoasting werden in diesen Artikeln hervorgehoben:
  Erkennung von Kerberoasting-Aktivitäten – https://adsecurity.org/?p=3458
  Erkennung von Kerberoasting-Aktivitäten Teil 2 – Erstellen eines Kerberoast Service Account Honeypot – https://adsecurity.org/?p=3513

Absicherungsmaßnahmen