搜索

[13639] 2019-01-11_zBang：可检测潜在特权帐户威胁的风险评估工具

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2019-01-11_zBang：可检测潜在特权帐户威胁的风险评估工具 z B a n g ： 可 检 测 潜 在 特 权 帐 户 威 胁 的 风 险 评 估 工 具 s e c i s t   F r e e B u f   2 0 1 9 - 0 1 - 1 1 z B a n g 是 一 个 用 于 检 测 扫 描 网 络 中 潜 在 特 权 帐 户 威 胁 的 风 险 评 估 工 具 ， 组 织 或 红 队 可 利 用 是 一 个 用 于 检 测 扫 描 网 络 中 潜 在 特 权 帐 户 威 胁 的 风 险 评 估 工 具 ， 组 织 或 红 队 可 利 用 z B a n g 来 识 别 潜 在 的 攻 来 识 别 潜 在 的 攻 击 向 量 改 善 网 络 的 安 全 状 况 ， 并 可 通 过 图 形 界 面 或 查 看 原 始 输 出 文 件 来 分 析 结 果 。 击 向 量 改 善 网 络 的 安 全 状 况 ， 并 可 通 过 图 形 界 面 或 查 看 原 始 输 出 文 件 来 分 析 结 果 。 关 于 z B a n g 的 更 详 细 介 绍 ， 请 参 阅 @ H e c h t o v 的 博 文 ： h t t p s : / / w w w . c y b e r a r k . c o m / t h r e a t - r e s e a r c h - b l o g / t h e - b i g - z b a n g - t h e o r y - a - n e w - o p e n - s o u r c e - t o o l / 该 工 具 由 五 个 不 同 的 扫 描 模 块 构 建 ： 该 工 具 由 五 个 不 同 的 扫 描 模 块 构 建 ： A C L i g h t   s c a n   -   发 现 必 须 受 保 护 的 最 高 权 限 帐 户 ， 包 括 可 疑 的 S h a d o w   A d m i n s 。 S k e l e t o n   K e y   s c a n   -   发 现 可 能 被 S k e l e t o n   K e y 恶 意 软 件 感 染 的 域 控 制 器 。 S I D   H i s t o r y   s c a n   -   使 用 s e c o n d a r y   S I D （ S I D 历 史 记 录 属 性 ） 发 现 域 帐 户 中 的 隐 藏 权 限 。 R i s k y S P N s   s c a n   -   发 现 可 能 导 致 域 管 理 员 凭 据 窃 取 的 S P N 风 险 配 置 。 M y s t i q u e   s c a n   -   发 现 网 络 中 有 风 险 的 K e r b e r o s 委 派 配 置 。 执 行 要 求 执 行 要 求 与 域 用 户 一 起 运 行 它 。 扫 描 不 需 要 任 何 额 外 的 权 限 ； 该 工 具 对 D C 执 行 只 读 L D A P 查 询 。 从 已 加 入 域 的 计 算 机 （ W i n d o w s 计 算 机 ） 运 行 该 工 具 。 P o w e r S h e l l   v e r s i o n   3 或 更 高 版 本 ， 以 及 . N E T   4 . 5 （ 默 认 情 况 下 在 W i n d o w s   8 / 2 0 1 2 及 更 高 版 本 中 提 供 ） 。 快 速 入 门 指 南 快 速 入 门 指 南 1 .   从 G i t H u b 下 载 并 运 行 最 新 版 或 使 用 你 喜 欢 的 编 译 器 进 行 编 译 。 2 .   在 打 开 的 界 面 中 ， 选 择 你 要 执 行 的 扫 描 。 在 以 下 示 例 中 ， 选 中 了 所 有 五 个 扫 描 模 块 ：
3 .   要 查 看 演 示 结 果 ， 请 单 击 “ R e l o a d ” 。 z B a n g 工 具 带 有 内 置 的 启 动 演 示 数 据 ； 你 可 以 查 看 不 同 扫 描 的 结 果 并 使 用 图 形 界 面 进 行 播 放 。 4 .   要 在 网 络 中 启 动 新 扫 描 ， 请 单 击 “ L a u n c h ” 。 这 将 弹 出 一 个 新 窗 口 ， 并 显 示 不 同 扫 描 的 状 态 。 5 .   扫 描 完 成 后 ， 将 显 示 一 条 消 息 说 明 结 果 已 导 出 到 外 部 z i p 文 件 。 6 .   z i p 文 件 位 于 z B a n g 的 同 一 文 件 夹 中 ， 并 且 具 有 唯 一 的 名 称 ， 其 中 包 含 扫 描 的 时 间 和 日 期 。 你 还 可 以 将 先 前 的 结 果 导 入 z B a n g   G U I ， 而 无 需 重 新 运 行 扫 描 。 要 导 入 先 前 的 结 果 ， 请 在 z B a n g 的 打 开 界 面 中 单 击 “ I m p o r t ” 。 z B a n g 结 果 浏 览 结 果 浏 览 A .   A C L i g h t   s c a n
1 .   选 择 你 扫 描 的 域 。 2 .   你 将 看 到 一 个 已 发 现 的 最 高 权 限 帐 户 的 列 表 。 3 .   在 左 侧   -   查 看 “ s t a n d a r d ” 标 准 权 限 帐 户 由 于 其 组 成 员 身 份 而 获 得 的 权 限 。 4 .   在 右 侧   -   查 看 “ S h a d o w   A d m i n s ” 这 些 帐 户 通 过 直 接 A C L 权 限 分 配 获 得 其 权 限 。 这 些 帐 户 可 能 比 标 准 的 “ 域 管 理 员 ” 用 户 更 隐 蔽 ， 因 此 它 们 并 不 安 全 并 常 常 成 为 攻 击 者 的 首 要 目 标 。 5 .   在 每 个 帐 户 上 ， 你 可 以 双 击 查 看 其 权 限 拓 扑 图 。 6 .   在 一 个 帮 助 页 面 中 描 述 了 不 同 的 可 滥 用 A C L 权 限 。 点 击 右 上 角 的 “ 问 号 ” 查 看 ：
7 .   更 多 有 关 S h a d o w   A d m i n s 的 内 容 ， 请 参 阅 博 文 ： h t t p s : / / w w w . c y b e r a r k . c o m / t h r e a t - r e s e a r c h - b l o g / s h a d o w - a d m i n s - s t e a l t h y - a c c o u n t s - f e a r / 8 .   如 要 手 动 检 查 扫 描 结 果 ， 请 解 压 缩 已 保 存 的 z i p 文 件 并 检 查 r e s u l t s 文 件 夹 ： “ [ z i p 文 件 保 存 路 径 ] A C L i g h t - m a s t e r R e s u l t s ” ， 包 含 摘 要 报 告   - “ 特 权 帐 户   -   L a y e r s   A n a l y s i s . t x t ” 。 1 .   在 每 个 发 现 的 特 权 帐 户 上 ： 识 别 特 权 帐 户 。
减 少 帐 户 的 不 必 要 权 限 。 确 保 帐 户 安 全 。 验 证 这 三 个 步 骤 后 ， 你 可 以 在 小 选 择 框 中 用 “ V ” 标 记 该 帐 户 ， 并 在 界 面 上 将 其 设 置 为 绿 色 。 1 0 .   我 们 的 目 标 是 让 所 有 的 帐 户 都 被 标 记 为 安 全 的 绿 色 。 B .   S k e l e t o n   K e y   s c a n 1 .   在 扫 描 页 面 中 （ 单 击 上 一 部 分 中 的 相 关 书 签 ） ， 将 显 示 所 有 已 扫 描 的 D C 列 表 。 2 .   确 保 所 有 这 些 都 被 标 为 绿 色 。 3 .   如 果 扫 描 发 现 潜 在 的 受 感 染 D C ， 启 动 调 查 进 程 至 关 重 要 。 4 . 有 关 S k e l e t o n   K e y 恶 意 软 件 的 详 细 信 息 ， 请 参 阅 @ P y r o T e k 3 的 博 文 ： h t t p s : / / a d s e c u r i t y . o r g / ? p = 1 2 5 5 C .   S I D   H i s t o r y   s c a n 1 .   在 该 扫 描 页 面 中 ， 将 有 一 个 具 有 s e c o n d a r y   S I D （ S I D 历 史 记 录 属 性 ） 的 域 帐 户 列 表 。 2 .   每 个 帐 户 都 有 两 个 连 接 箭 头 ， 左 边 一 个 用 于 其 主 S I D ； 另 一 个 则 用 于 其 s e c o n d a r y   S I D （ 带 有 面 具 图 标 ） 。 3 .   如 果 主 S I D 具 有 特 权 ， 则 它 将 为 红 色 ， 如 果 S I D 历 史 记 录 具 有 特 权 ， 则 将 显 示 为 红 色 面 具 。 4 .   你 应 该 搜 索 可 能 存 在 风 险 的 情 况 ， 例 如 帐 户 具 有 非 特 权 主 S I D ， 但 同 时 具 有 特 权 s e c o n d a r y   S I D 。 这 就 需 要 注 意 了 ， 你 应 该 检 查 该 帐 户 并 调 查 它 具 有 特 权 s e c o n d a r y   S I D 的 原 因 ， 以 确 保 网 络 中 的 潜 在 入 侵 者 没 有 添 加 它 。
* 为 了 方 便 可 视 化 ， 如 果 存 在 大 量 具 有 非 特 权 S I D 历 史 记 录 的 帐 户 （ 超 过 十 个 ） ， 它 们 将 会 被 从 显 示 中 过 滤 掉 ， 因 为 这 些 帐 户 并 不 那 么 敏 感 。 5 .   如 要 手 动 检 查 扫 描 结 果 ， 请 解 压 缩 已 保 存 的 z i p 文 件 并 检 查 c s v 文 件 ： ” [ z i p 文 件 保 存 路 径 ] S I D H i s t o r y R e s u l t s R e p o r t . c s v ” 。 6 .   有 关 滥 用 S I D   H i s t o r y 的 更 多 信 息 ， 请 参 阅 I a n   F a r r 的 博 文 ： h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / p o s h c h a p / 2 0 1 5 / 1 2 / 0 4 / s e c u r i t y - f o c u s - s i d h i s t o r y - s i d - f i l t e r i n g - s a n i t y - c h e c k - p a r t - 1 - a k a - p o s t - 1 0 0 / D .   R i s k y S P N s   s c a n 1 .   在 扫 描 结 果 页 面 中 ， 将 显 示 所 有 使 用 用 户 帐 户 注 册 的 S P N 列 表 。 2 .   如 果 用 户 帐 户 是 特 权 帐 户 ， 则 该 帐 户 将 显 示 为 红 色 。 3 .   拥 有 在 特 权 帐 户 下 注 册 的 S P N 是 非 常 危 险 的 。 尝 试 更 改 / 禁 用 这 些 S P N 。 为 S P N 使 用 计 算 机 帐 户 或 减 少 已 向 其 注 册 了 S P N 的 用 户 的 不 必 要 权 限 。 另 外 ， 建 议 为 这 些 用 户 分 配 强 密 码 ， 并 实 现 每 个 密 码 的 自 动 轮 换 。 4 .   如 要 手 动 检 查 扫 描 结 果 ， 请 解 压 缩 已 保 存 的 z i p 文 件 并 检 查 c s v 文 件 ： ” [ z i p 文 件 保 存 路 径 ] R i s k y S P N -
m a s t e r R e s u l t s R i s k y S P N s - t e s t . c s v ” 。 5 .   有 关 S P N 安 全 的 更 多 信 息 ， 请 参 阅 博 文 ： h t t p s : / / w w w . c y b e r a r k . c o m / b l o g / s e r v i c e - a c c o u n t s - w e a k e s t - l i n k - c h a i n / E .   M y s t i q u e   s c a n 1 .   扫 描 结 果 页 面 包 含 受 委 派 权 限 信 任 的 所 有 已 发 现 帐 户 的 列 表 。 2 .   有 三 种 委 派 类 型 ： 无 约 束 ， 约 束 和 约 束 协 议 转 换 。 帐 户 颜 色 对 应 于 其 委 派 权 限 类 型 。 3 .   禁 用 受 委 派 权 限 信 任 的 旧 帐 户 和 未 使 用 帐 户 。 特 别 是 检 查 “ 无 约 束 ” 和 “ 约 束 协 议 转 换 ” 的 风 险 委 派 类 型 。 将 “ 无 约 束 ” 委 派 转 换 为 “ 约 束 ” 委 派 ， 仅 允 许 用 于 特 定 的 所 需 服 务 。 如 果 可 能 ， 必 须 重 新 验 证 和 禁 用 “ 协 议 转 换 ” 类 型 的 委 派 。 4 .   如 要 手 动 检 查 扫 描 结 果 ， 请 解 压 缩 已 保 存 的 z i p 文 件 并 检 查 c s v 文 件 ： ” [ z i p 文 件 保 存 路 径 ] M y s t i q u e - m a s t e r R e s u l t s d e l e g a t i o n _ i n f o . c s v ” 。 5 .   有 关 风 险 委 派 配 置 的 更 多 信 息 ， 请 参 阅 博 文 ： h t t p s : / / w w w . c y b e r a r k . c o m / t h r e a t - r e s e a r c h - b l o g / w e a k n e s s - w i t h i n - k e r b e r o s - d e l e g a t i o n / * 参 考 来 源 ： G i t H u b ， F B 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理