windows-coerced-authentication-methods

---

Этот репозиторий содержит список множества методов, позволяющих принудить Windows-машину пройти аутентификацию на машине, контролируемой атакующим.

Все эти методы могут вызываться обычным пользователем домена, чтобы принудить учётную запись компьютера целевой Windows-машины (обычно контроллера домена) пройти аутентификацию на произвольной цели. Корень этой «уязвимости/функции» в каждом из этих методов заключается в том, что Windows-машины автоматически проходят аутентификацию на других машинах при попытке доступа к UNC-путям (например, \\192.168.2.1\SYSVOL\file.txt).

В настоящее время имеется 15 рабочих функций в 5 протоколах.

---

[!NOTE] 🎉 Многие новые методы ещё предстоит протестировать. Если хотите опробовать их: possible-working-calls Этот список будет со временем обработан; хотя я автоматизировал большую часть работы и автоматически сгенерировал Python-прототипы для каждого вызова, тестирование этих 240+ RPC-вызовов требует времени.

---

Протоколы и методы

• [MS-DFSNM]: Протокол управления пространствами имён распределённой файловой системы (DFS)

  • Удалённый вызов NetrDfsAddStdRoot (opnum 12)
  • Удалённый вызов NetrDfsRemoveStdRoot (opnum 13)

• [MS-EFSR]: Протокол удалённого доступа к шифрующей файловой системе (EFSRPC)

  • Удалённый вызов EfsRpcOpenFileRaw (opnum 0)
  • Удалённый вызов EfsRpcEncryptFileSrv (opnum 4)
  • Удалённый вызов EfsRpcDecryptFileSrv (opnum 5)
  • Удалённый вызов EfsRpcQueryUsersOnFile (opnum 6)
  • Удалённый вызов EfsRpcQueryRecoveryAgents (opnum 7)
  • Удалённый вызов EfsRpcFileKeyInfo (opnum 12)

Защита от принудительной аутентификации

Microsoft не считает принудительную аутентификацию уязвимостью безопасности. По их мнению, только ретрансляция аутентификаций, полученных в результате принудительной аутентификации, представляет собой уязвимость безопасности. Чтобы предотвратить атаки с ретрансляцией NTLM в сетях с включённым NTLM, администраторы домена должны гарантировать, что службы, допускающие NTLM-аутентификацию, используют такие меры защиты, как Расширенная защита аутентификации (EPA) или функции подписи, такие как подпись SMB. Меры защиты от NTLM-ретрансляции описаны в следующих бюллетенях:

• 24 июля 2021 г. KB5005413: снижение риска атак с ретрансляцией NTLM на службы сертификации Active Directory (AD CS)
• 8 декабря 2009 г. MSA974926: атаки с ретрансляцией учётных данных на встроенную проверку подлинности Windows
• 12 августа 2009 г. Расширенная защита аутентификации
• 11 августа 2009 г. MSA973811: расширенная защита аутентификации

Участие в разработке

Смело открывайте pull request, чтобы добавить новые методы.