搜索

[21168] 2020-07-31_内网渗透之域关系探测神器：Bloodhound

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-31_内网渗透之域关系探测神器：Bloodhound 内 网 渗 透 之 域 关 系 探 测 神 器 ： B l o o d h o u n d L e m o n S e c   2 0 2 0 - 0 7 - 3 1 摘 要 ： 如 何 获 取 隐 藏 到 域 控 制 器 管 理 员 账 户 ？ 注 ： 本 篇 文 章 建 立 在 有 一 定 的 内 网 渗 透 基 础 前 提 下 ， 所 以 翻 译 时 候 有 些 词 汇 显 得 比 较 术 语 化 ， 建 议 大 家 没 事 可 以 多 了 解 下 内 网 渗 透 的 知 识 保 护 一 个 公 司 或 者 组 织 免 受 当 今 复 杂 的 攻 击 并 非 易 事 。 除 了 管 理 保 护 组 织 安 全 的 日 常 职 责 之 外 ， 通 常 还 需 要 安 全 团 队 随 时 保 护 一 个 公 司 或 者 组 织 免 受 当 今 复 杂 的 攻 击 并 非 易 事 。 除 了 管 理 保 护 组 织 安 全 的 日 常 职 责 之 外 ， 通 常 还 需 要 安 全 团 队 随 时 准 备 响 应 事 件 。 为 了 有 效 管 理 ， 安 全 团 队 必 须 具 有 良 好 定 义 的 策 略 和 可 靠 的 检 测 功 能 。 这 种 功 能 和 策 略 的 实 施 常 常 会 在 蓝 准 备 响 应 事 件 。 为 了 有 效 管 理 ， 安 全 团 队 必 须 具 有 良 好 定 义 的 策 略 和 可 靠 的 检 测 功 能 。 这 种 功 能 和 策 略 的 实 施 常 常 会 在 蓝 队 和 红 队 之 间 引 发 一 场 持 续 的 军 备 竞 赛 ， 双 方 都 在 寻 求 越 来 越 复 杂 的 工 具 和 检 测 能 力 。 然 而 ， 安 全 专 业 人 员 通 常 可 以 通 过 队 和 红 队 之 间 引 发 一 场 持 续 的 军 备 竞 赛 ， 双 方 都 在 寻 求 越 来 越 复 杂 的 工 具 和 检 测 能 力 。 然 而 ， 安 全 专 业 人 员 通 常 可 以 通 过 预 测 可 能 的 攻 击 路 径 并 采 取 步 骤 阻 止 攻 击 者 使 用 这 些 路 径 从 而 优 化 他 们 的 工 作 并 获 得 优 势 。 预 测 可 能 的 攻 击 路 径 并 采 取 步 骤 阻 止 攻 击 者 使 用 这 些 路 径 从 而 优 化 他 们 的 工 作 并 获 得 优 势 。 如 何 获 取 隐 藏 到 域 控 制 器 管 理 员 账 户 ？ 首 先 我 们 得 要 先 知 道 什 么 是 隐 藏 的 管 理 员 帐 户 ? 为 什 么 要 关 心 这 个 问 题 ? 隐 藏 的 管 理 员 帐 户 是 域 帐 户 ， 提 供 对 敏 感 系 统 ( 如 域 控 制 器 、 e x c h a n g e 服 务 器 或 数 据 库 服 务 器 ) 的 管 理 员 访 问 。 这 些 帐 户 可 能 不 属 于 特 权 A c t i v e   D i r e c t o r y   ( A D ) 组 ( 即 域 管 理 员 ) ， 但 是 它 们 仍 然 可 以 访 问 相 同 的 系 统 。 这 些 帐 户 的 权 限 是 使 用 A D 对 象 上 的 访 问 控 制 列 表 ( A C L ) 直 接 分 配 的 。 这 些 隐 藏 的 管 理 员 帐 户 通 常 是 服 务 或 维 护 帐 户 ， 它 们 在 环 境 中 执 行 自 动 化 的 例 行 任 务 。 此 外 ， 隐 藏 的 管 理 员 帐 户 通 常 可 以 访 问 环 境 中 的 多 个 系 统 。 值 得 关 注 的 是 ， 在 配 置 检 查 或 密 码 管 理 和 监 视 方 面 ， 这 些 帐 户 通 常 不 会 得 到 与 普 通 管 理 员 账 户 相 同 的 关 注 。 因 此 ， 他 们 经 常 作 为 一 种 弱 点 项 来 进 行 探 测 ， 红 队 利 用 这 些 服 务 帐 户 进 行 横 向 渗 透 并 且 访 问 多 个 系 统 。 此 外 ， 隐 藏 的 管 理 员 帐 户 也 经 常 成 为 自 我 传 播 的 恶 意 软 件 的 目 标 ， 包 括 那 些 用 于 勒 索 软 件 和 加 密 攻 击 的 恶 意 软 件 。 利 用 这 些 管 理 员 特 权 ， 恶 意 软 件 可 以 很 容 易 地 在 整 个 公 司 中 传 播 。 如 何 处 理 隐 藏 的 管 理 帐 户 ?
我 们 这 选 择 是 使 用 侦 探 犬 。 不 ， 我 说 的 不 是 耷 拉 着 眼 睛 的 气 味 狗 — — 我 说 的 是 现 在 很 多 红 色 团 队 使 用 的 非 常 流 行 的 内 部 A D 侦 察 工 具 。 侦 探 犬 是 一 个 单 页 J a v a S c r i p t   w e b 应 用 程 序 ， 带 有 一 个 由 P o w e r S h e l l 脚 本 提 供 的 N e o 4 j 数 据 库 。 侦 探 犬 使 用 图 论 方 式 来 揭 示 A D 环 境 中 隐 藏 的 、 常 常 是 意 想 不 到 的 关 系 图 。 它 由 W i l l   S c h r o e d e r   ( @ h a r m j o y ) 、 A n d r e w   R o b b i n s   ( @ _ w a l d 0 ) 和 R o h a n   V a z a r k a r   ( @ C p t J e s u s ) 开 发 。 侦 探 犬 可 以 在 几 分 钟 内 完 成 以 前 需 要 渗 透 测 试 人 员 和 分 析 人 员 几 周 才 能 完 成 的 工 作 。 尽 管 该 工 具 在 渗 透 测 试 社 区 中 非 常 流 行 ， 但 是 我 们 仍 然 发 现 一 些 安 全 性 和 I T 团 队 没 有 意 识 到 它 对 于 保 护 他 们 的 基 础 设 施 有 多 么 强 大 和 有 益 。 具 体 来 说 ， 侦 探 犬 可 以 发 现 隐 藏 的 关 系 和 管 理 帐 户 ， 如 过 不 进 行 使 用 探 测 这 些 账 户 可 能 会 被 我 们 忽 略 掉 。 要 使 用 侦 探 犬 ， 您 必 须 设 置 N e o 4 j   c o m m u n i t y   e d i t i o n 数 据 库 。 然 后 需 要 将 侦 探 犬 w e b 应 用 程 序 连 接 到 N e o 4 j 数 据 库 。 有 关 完 整 的 安 装 说 明 ， 请 访 问 侦 探 犬 W i k i ( h t t p s : / / g i t h u b . c o m / B l o o d H o u n d A D / B l o o d H o u n d / w i k i / G e t t i n g - s t a r t e d ) 设 置 好 数 据 库 并 登 录 到 侦 探 犬 w e b 应 用 程 序 之 后 ， 需 要 使 用 B l o o d h o u n d   P o w e r S h e l l   i n g e s t o r 选 项 从 A D 中 提 取 A D 数 据 。 图 1 显 示 了 一 个 示 例 命 令 ， 它 搜 索 林 ( - S e a r c h F o r e s t ) 中 的 所 有 域 ， 以 及 用 于 保 存 生 成 的 C S V 文 件 的 文 件 夹 位 置 。 图 1 : 运 行 侦 探 犬 的 B l o o d h o u n d   P o w e r S h e l l   I n g e s t o r 一 旦 i n g e s t o r 完 成 ， 您 将 看 到 三 个 C S V 文 件 ， 它 们 可 以 上 传 到 侦 探 犬 中 ， 如 图 2 所 示 : A . g r o u p _ m e m b e r s h i p . c s v   B . l o c a l _ a d m i n s . c s v   C . S e s s i o n s . c s v
图 2 : 侦 探 犬 w e b 应 用 的 上 传 界 面 上 传 这 些 文 件 后 ， 利 用 侦 探 犬 内 部 的 预 构 建 查 询 。 这 些 查 询 是 开 始 获 取 有 关 环 境 的 重 要 信 息 的 好 方 法 。 查 询 包 括 : 查 看 所 有 域 管 理 员 ;   查 看 具 有 最 多 本 地 管 理 员 权 限 的 用 户 ;   或 查 看 具 有 最 多 管 理 用 户 访 问 权 限 的 计 算 机 。 其 中 一 个 查 询 使 我 们 能 够 得 到 域 信 任 关 系 ， 如 图 3 所 示 。 图   3 : 侦 探 犬 预 构 建 分 析 查 询 在 查 找 隐 藏 的 管 理 员 帐 户 和 信 任 错 误 配 置 时 ， 我 们 通 常 使 用 预 先 构 建 的 查 询 “ 查 找 拥 有 最 多 本 地 管 理 权 限 的 前 1 0 个 用 户 ” 和 “ 映 射 域 信 任 ” 。 这 些 查 询 将 提 供 一 些 快 速 的 结 果 ， 并 向 我 们 展 示 哪 些 帐 户 可 以 访 问 最 多 的 系 统 ， 以 及 域 之 间 是 否 存 在 双 向 信 任 ， 从 而 允 许 对 环 境 进 行 更 大 程 度 的 访 问 。 找 到 隐 藏 的 管 理 员 帐 户 的 另 一 个 好 方 法 是 直 接 查 看 系 统 、 组 或 用 户 节 点 信 息 。 我 们 只 需 输 入 环 境 中 的 任 何 用 户 、 组 或 系 统 名 称 的 前 几 个 字 符 ， 就 可 以 调 查 该 环 境 中 的 任 何 用 户 、 组 或 系 统 名 称 。 一 旦 您 选 择 了 一 个 节 点 ， 左 侧 面 板 中 的 “ n o d e   I n f o ” 字 段 就 会 填 充 。 您 还 可 以 右 键 单 击 一 个 节 点 并 选 择 子 选 项 “ E x p a n d ” ， 以 查 看 该 节 点 的 成 员 ， 如 图 4 所 示 。
图 4 : 侦 探 犬 用 户 交 互 界 面 我 们 能 够 轻 松 发 现 隐 藏 管 理 员 帐 户 的 另 一 种 方 法 是 搜 索 敏 感 的 系 统 ， 比 如 域 控 制 器 。 这 可 以 通 过 简 单 地 搜 索 “ 域 控 制 器 ” 组 并 左 键 单 击 组 节 点 来 实 现 。 左 边 的 “ N o d e   I n f o ” 字 段 将 被 填 充 。 接 下 来 ， 在 “ 群 组 成 员 ” 部 分 中 ， 左 键 单 击 “ 直 接 成 员 ” 旁 边 的 数 字 。 将 看 到 该 组 下 的 所 有 域 控 制 器 系 统 节 点 ， 如 图 5 所 示 。 图 5 ： 侦 探 犬 显 示 的 域 控 制 器 组 的 成 员 接 下 来 ， 左 键 单 击 其 中 一 个 系 统 节 点 ( 例 如 : “ G O A T - D C ” ) ， 并 在 “ L o c a l   A d m i n s ” 部 分 中 ， 左 键 单 击 “ D e r i v a t i v e   L o c a l   A d m i n s ” 旁 边 的 数 字 ， 如 图 6 所 示 。 图 6 : 侦 探 犬 显 示 的 G O A T - D C   派 生 的 本 地 管 理 员 现 在 ， 我 们 可 以 看 到 有 两 个 帐 户 具 有 对 域 控 制 器 的 本 地 管 理 员 访 问 权 ， 它 们 不 在 “ 域 管 理 员 ” 组 中 ， 甚 至 没 有 显 示 在 图 4 中 。 。
结 论 环 境 中 隐 藏 的 管 理 员 帐 户 常 常 被 遗 忘 ， 或 者 完 全 不 为 人 知 。 它 们 可 以 为 攻 击 者 提 供 一 种 独 特 的 方 式 来 获 得 域 管 理 员 权 限 并 不 破 坏 环 境 。 侦 探 犬 在 识 别 隐 藏 的 管 理 员 帐 户 方 面 非 常 有 效 ， 而 且 功 能 强 大 且 易 于 使 用 。 它 可 以 在 几 分 钟 内 提 供 对 你 的 域 环 境 的 关 系 图 谱 ， 在 你 寻 找 隐 藏 的 域 关 系 时 ， 它 是 一 个 很 好 的 工 具 。 我 们 建 议 安 全 公 司 经 常 使 用 像 侦 探 犬 这 样 的 免 费 工 具 进 行 威 胁 探 测 ， 并 将 它 们 作 为 定 期 的 、 主 动 的 安 全 评 估 的 一 部 分 。 我 们 在 安 全 方 面 越 主 动 ， 就 越 能 更 好 地 预 测 威 胁 ， 为 我 们 的 团 队 做 好 准 备 ， 并 提 高 我 们 阻 止 入 侵 的 能 力 。 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 地 址 ： h t t p s : / / w w w . f r e e b u f . c o m / s e c t o o l / 2 2 8 3 2 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理