PowerShell MachineAccountQuota और DNS शोषण उपकरण

विकी

• https://github.com/Kevin-Robertson/Powermad/wiki

ब्लॉग पोस्ट

• LLMNR/NBNS स्पूफिंग से परे - सक्रिय निर्देशिका-एकीकृत DNS का शोषण

फ़ंक्शन

• MachineAccountQuota फ़ंक्शन
• DNS फ़ंक्शन
• डायनामिक अपडेट फ़ंक्शन
• ADIDNS फ़ंक्शन
• विविध फ़ंक्शन

MachineAccountQuota फ़ंक्शन

डिफ़ॉल्ट सक्रिय निर्देशिका ms-DS-MachineAccountQuota विशेषता सेटिंग सभी डोमेन उपयोगकर्ताओं को एक डोमेन में 10 मशीन खाते जोड़ने की अनुमति देती है। Powermad में ms-DS-MachineAccountQuota का शोषण करने के लिए फ़ंक्शनों का एक सेट शामिल है, बिना किसी वास्तविक सिस्टम को AD से जोड़े।

Get-MachineAccountAttribute

यह फ़ंक्शन किसी मशीन खाते की विशेषता में भरे गए मान वापस कर सकता है।

उदाहरण:

• 'test' नामक मशीन खाते से 'description' का मान प्राप्त करें।
  Get-MachineAccountAttribute -MachineAccount test -Attribute discription

Get-MachineAccountCreator

यह फ़ंक्शन मशीन खातों पर ms-DS-CreatorSID प्रॉपर्टी का उपयोग करके उपयोगकर्ता नामों या SID और संबंधित मशीन खाते की सूची वापस करता है। ms-DS-CreatorSID प्रॉपर्टी केवल तब भरी जाती है जब किसी अप्रतिष्ठित उपयोगकर्ता द्वारा मशीन खाता बनाया जाता है।

उदाहरण:

• सभी भरे हुए ms-DS-CreatorSID विशेषताओं की सूची प्राप्त करें।
  Get-MachineAccountCreator

Disable-MachineAccount

यह फ़ंक्शन New-MachineAccount के माध्यम से जोड़े गए मशीन खाते को अक्षम कर सकता है। इस फ़ंक्शन का उपयोग उसी उपयोगकर्ता के साथ किया जाना चाहिए जिसने मशीन खाता बनाया था।

उदाहरण:

• test नामक मशीन खाते को अक्षम करें।
  Disable-MachineAccount -MachineAccount test

Enable-MachineAccount

यह फ़ंक्शन Disable-MachineAccount के माध्यम से अक्षम किए गए मशीन खाते को सक्षम कर सकता है। इस फ़ंक्शन का उपयोग उसी उपयोगकर्ता के साथ किया जाना चाहिए जिसने मशीन खाता बनाया था।

उदाहरण:

• test नामक मशीन खाते को सक्षम करें।
  Enable-MachineAccount -MachineAccount test

New-MachineAccount

यह फ़ंक्शन सीधे LDAP जोड़ अनुरोध के माध्यम से डोमेन नियंत्रक में एक नया मशीन खाता जोड़ सकता है, न कि होस्ट सिस्टम की सक्रिय निर्देशिका से जुड़ने की स्थिति को प्रभावित करके।

LDAP जोड़ अनुरोध उस जोड़ अनुरोध पर आधारित है जो सिस्टम को डोमेन में शामिल करते समय उपयोग किया जाता है। निम्नलिखित विशेषताएँ सेट की जाती हैं (अधिकतर DC द्वारा मान्य):

• objectClass = Computer
• SamAccountName = मशीन खाता नाम जिसमें अंत में $ है
• userAccountControl = 4096
• DnsHostName = FQDN
• ServicePrincipalName = 2 HOST और 2 RestrictedKrbHost SPNs, FQDN और खाता नाम दोनों का उपयोग करके
• unicodePwd = निर्दिष्ट पासवर्ड

एक नए मशीन खाते का उपयोग कार्यों के लिए किया जा सकता है जैसे 'Domain Computers' समूह को दिए गए विशेषाधिकार का लाभ उठाना, या डोमेन गणना, DNS शोषण आदि के लिए एक अतिरिक्त खाते के रूप में। डिफ़ॉल्ट रूप से, मशीन खातों के पास स्थानीय रूप से लॉग ऑन करने की अनुमति नहीं है। आप या तो उन टूल्स/क्लाइंट का उपयोग कर सकते हैं जो सीधे नेटवर्क क्रेडेंशियल स्वीकार करते हैं, या 'runsas /netonly' या @harmj0y के Invoke-UserImpersonation/Invoke-RevertToSelf का उपयोग कर सकते हैं जो PowerView में शामिल हैं।

• https://github.com/PowerShellMafia/PowerSploit/tree/dev/Recon

मानक उपयोगकर्ताओं के साथ बनाए गए मशीन खातों में mS-DS-CreatorSID मानक उपयोगकर्ता के SID से भरा होगा।

ध्यान दें कि ms-DS-MachineAccountQuota प्रमाणित उपयोगकर्ताओं को AD से जोड़े गए मशीन खातों को हटाने की क्षमता प्रदान नहीं करता है। यदि आप इस कार्य को अपने क्लाइंट को सौंपने से बचना चाहते हैं तो खाते को हटाने के लिए उन्नत विशेषाधिकार प्राप्त करने की आवश्यकता होगी।

उदाहरण:

• नया मशीन खाता जोड़ें
  New-MachineAccount -MachineAccount test

• जोड़े गए खाते का उपयोग runas /netonly के साथ करें
  runas /netonly /user:domain\test$ powershell

Remove-MachineAccount

यह फ़ंक्शन किसी विशेषाधिकार प्राप्त खाते के साथ मशीन खाते को हटाता है।

उदाहरण:

• डोमेन एडमिन क्रेडेंशियल के साथ test नामक मशीन खाते को हटाएं
  Remove-MachineAccount -MachineAccount test -Credential $domainadmin

Set-MachineAccountAttribute

यह फ़ंक्शन New-MachineAccount के माध्यम से जोड़े गए खाते की कुछ विशेषताओं को भर सकता है, यदि किसी उपयोगकर्ता के पास लेखन पहुँच हो। इस फ़ंक्शन का उपयोग उसी उपयोगकर्ता के साथ किया जाना चाहिए जिसने मशीन खाता बनाया था।

यहाँ कुछ सामान्य लेखन पहुँच सक्षम विशेषताओं की सूची है:

• AccountDisabled
• description
• displayName
• DnsHostName
• ServicePrincipalName
• userParameters
• userAccountControl
• msDS-AdditionalDnsHostName
• msDS-AllowedToActOnBehalfOfOtherIdentity
• SamAccountName

उदाहरण:

• SamAccountName विशेषता से अंतिम '$' हटाएं
  Set-MachineAccountAttribute -MachineName test -Attribute SamAccountName -Value test

• संशोधित खाते का उपयोग runas /netonly के साथ करें
  runas /netonly /user:domain\test powershell

Invoke-AgentSmith

यह फ़ंक्शन New-MachineAccount का उपयोग करके एक ही अप्रतिष्ठित खाते से MachineAccountQuota के माध्यम से अधिक से अधिक मशीन खाते बनाने के लिए पुनरावर्ती रूप से उपयोग करता है। विवरण के लिए निम्नलिखित ब्लॉग पोस्ट देखें:

• https://blog.netspi.com/machineaccountquota-transitive-quota

DNS फ़ंक्शन

डिफ़ॉल्ट रूप से, प्रमाणित उपयोगकर्ताओं के पास सक्रिय निर्देशिका-एकीकृत DNS (ADIDNS) ज़ोन पर 'Create all child objects' अनुमति होती है। अधिकांश रिकॉर्ड जो वर्तमान में AD ज़ोन में मौजूद नहीं हैं, उन्हें जोड़ा/हटाया जा सकता है।

डायनामिक अपडेट फ़ंक्शन

Invoke-DNSUpdate

यह फ़ंक्शन डायनामिक DNS रिकॉर्ड जोड़ने/हटाने के लिए उपयोग किया जा सकता है यदि डोमेन नियंत्रक पर सुरक्षित डायनामिक अपडेट की डिफ़ॉल्ट सेटिंग सक्षम हो। A, AAAA, CNAME, MX, PTR, SRV और TXT रिकॉर्ड वर्तमान में समर्थित हैं। Invoke-DNSUpdate, BIND के nsupdate टूल पर आधारित है जब '-g' या 'gsstsig' विकल्पों का उपयोग किया जाता है।

उदाहरण:

• एक A रिकॉर्ड जोड़ें
  Invoke-DNSUpdate -DNSType A -DNSName www -DNSData 192.168.100.125

• एक A रिकॉर्ड हटाएं
  Invoke-DNSUpdate -DNSType A -DNSName www.test.local

• एक SRV रिकॉर्ड जोड़ें
  Invoke-DNSUpdate -DNSType SRV -DNSName _autodiscover._tcp.test.local -DNSData system.test.local -DNSPriority 100 -DNSWeight 80 -DNSPort 443

ADIDNS फ़ंक्शन

Disable-ADIDNSNode

यह फ़ंक्शन किसी ADIDNS नोड को टॉम्बस्टोन कर सकता है।

उदाहरण:

• एक वाइल्डकार्ड रिकॉर्ड को टॉम्बस्टोन करें।
  `Disable-ADIDNSNode -Node *

Enable-ADIDNSNode

यह फ़ंक्शन टॉम्बस्टोन किए गए नोड को वैध रिकॉर्ड में बदल सकता है।

उदाहरण:

• एक वाइल्डकार्ड रिकॉर्ड सक्षम करें।
  Enable-ADIDNSNode -Node *

Get-ADIDNSNodeAttribute

यह फ़ंक्शन DNS नोड की विशेषता में भरे गए मान वापस कर सकता है।

उदाहरण:

• test नामक नोड के dnsRecord विशेषता का मान प्राप्त करें।
  Get-ADIDNSNodeAttribute -Node test -Attribute dnsRecord

Get-ADIDNSNodeOwner

यह फ़ंक्शन किसी ADIDNS नोड के स्वामी को वापस कर सकता है।

उदाहरण:

• test नामक नोड का स्वामी प्राप्त करें। Get-ADIDNSNodeOwner -Node test

Get-ADIDNSPermission

यह फ़ंक्शन किसी ADIDNS नोड या ज़ोन का DACL प्राप्त करता है।

उदाहरण:

• डोमेन से जुड़े सिस्टम से डिफ़ॉल्ट सक्रिय निर्देशिका-एकीकृत ज़ोन का DACL प्राप्त करें।
  Get-ADIDNSPermission

• डोमेन से जुड़े सिस्टम से test नामक DNS नोड का DACL प्राप्त करें।
  Get-ADIDNSPermission -Node test

Get-ADIDNSZone

यह फ़ंक्शन ADIDNS ज़ोन वापस कर सकता है।

उदाहरण:

• सभी ADIDNS ज़ोन प्राप्त करें।
  Get-ADIDNSZone

Grant-ADIDNSPermission

यह फ़ंक्शन DNS नोड या ज़ोन DACL में एक ACE जोड़ता है।

उदाहरण:

• "प्रमाणित उपयोगकर्ताओं" के लिए वाइल्डकार्ड रिकॉर्ड पर पूर्ण पहुँच जोड़ें।
• "प्रमाणित उपयोगकर्ताओं" के लिए वाइल्डकार्ड रिकॉर्ड पर पूर्ण पहुँच जोड़ें।
  Grant-ADIDNSPermission -Node * -Principal "authenticated users"

New-ADIDNSNode

यह फ़ंक्शन एन्क्रिप्टेड LDAP जोड़ अनुरोध के माध्यम से सक्रिय निर्देशिका-एकीकृत DNS (ADIDNS) ज़ोन में एक DNS नोड जोड़ता है।

उदाहरण: