PowEnum

पेनिट्रेशन परीक्षक सामान्यतः AD डेटा को एन्यूमरेट करते हैं – जिससे डोमेन की स्थितिजन्य जागरूकता मिलती है और कमजोर लक्ष्यों की पहचान करने में मदद मिलती है। PowEnum आपके लक्ष्य डोमेन के कार्टोलॉजिकल दृश्य को स्वचालित करने में मदद करता है।

PowEnum सामान्य PowerSploit Powerview फ़ंक्शनों को निष्पादित करता है और आउटपुट को आसान विश्लेषण के लिए एक स्प्रेडशीट में संयोजित करता है। सभी नेटवर्क ट्रैफ़िक केवल DC(s) को भेजा जाता है। PowEnum PowerSploit Get-GPPPassword और Harmj0y के ASREPRoast का भी लाभ उठाता है।

सिंटैक्स उदाहरण:

• Invoke-PowEnum
• Invoke-PowEnum -FQDN test.domain.com
• Invoke-PowEnum -Mode SYSVOL
• Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com -Mode Special

गैर-डोमेन से जुड़े सिस्टम से PowEnum चलाना

दो विकल्प हैं। पहला runas कमांड का उपयोग करता है (इसे PowEnum का उपयोग करने से पहले निष्पादित किया जाना चाहिए)। दूसरा Powerview में Invoke-UserImpersonation फ़ंक्शन का लाभ उठाता है।

1. runas /netonly /user:test.domain.com\username powershell.exe
2. Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com

मोड्स

*DC स्थानीय एडमिन्स बिल्ट-इन एडमिनिस्ट्रेटर से भिन्न हो सकते हैं जब RODC उपयोग में हो या प्रतिकृति समस्याएं हों।

पहचान

• यह एन्यूमरेशन PowEnum सिस्टम और लक्ष्य DC(s) के बीच संदिग्ध ट्रैफ़िक उत्पन्न करेगा। यदि सुरक्षा उत्पाद DC(s) पर ट्रैफ़िक पर नज़र रख रहे हैं (जैसे Microsoft ATA) तो PowEnum के फ़्लैग होने की संभावना है। ATA क्या पहचान रहा है और क्या नहीं, इसके बारे में अधिक पढ़ने के लिए:
  https://media.defcon.org/DEF%20CON%2025/DEF%20CON%2025%20presentations/DEFCON-25-Chris-Thompson-MS-Just-Gave-The-Blue-Teams-Tactical-Nukes-UPDATED.pdf
• केरबेरोस्टिंग पहचान तकनीकें इन लेखों में हाईलाइट की गई हैं:
  केरबेरोस्टिंग गतिविधि का पता लगाना - https://adsecurity.org/?p=3458
  केरबेरोस्टिंग गतिविधि का पता लगाना भाग 2 – केरबेरोस्ट सेवा खाता हनीपॉट बनाना - https://adsecurity.org/?p=3513

शमन उपाय