ביצוע התקפת
Kerberoasting

תמלול ההרצאה: ביצוע התקפת Kerberoasting

הטקסט המלא של הדקות הראשונות בהרצאה «ביצוע התקפת Kerberoasting» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה הזו אנחנו ממשיכים עם התקפת קרברוסטינג ואנחנו הולכים לבקש TGS את הכרטיס, את הטיקט עבור שירות מסוים אם נעשה K-List Purge, נראה שכרגע אין לנו שום טיקט כי מחקתי אותם עם פקודת Purge, אתם רואים הכל ריק ואני אפילו לא חייב להתקין SQL, אני לא חייב שיהיו לי הרשאות ב-SQL

2. 00:25

   הרי דומן קונטרולר לא יודע מה קורה בתוך SQL אני יכול להגיד לו תביא לי כרטיס הזדהות מול שרת sql שמוצפן עם ההאש שלו ואם sql יכניס אותי יכניס לא יכניס לא יכניס אבל תביא לי את הכרטיס ואז אני יכול דרך פאור של לבקש עבור sql svc sqlservice עבור שרת מסוים בפורט מסוים כרטיס הזדהות והוא מביא לי אותו מוצפן עם ההאש שליד ומי זה

3. 00:30

   ההאש שליד זה היוזר שמריץ את הסרוויס במקרה הזה אדמיניסטרטור כמנהל רשת נכנס פה לתוך הסרוויס ללוגון שלו ואמר שsql האקזה של sql יעבוד אוטומטי עם ההפעלה של הווינדוס תחת שם וסיסמה כאלו וכאלו כי לדוגמה הוא רוצה שהיוזר הזה ישלח מיילים הוא יתחבר לאנשהו הוא יעשה כל מיני דברים במחשבים אחרים אז הוא צריך אותו עם יוזר כזה וכזה שsql עצמו

4. 01:22

   כתוכנה כאקזה יעבוד עם היוזר כזה וכזה ואפשר גם לראות שבדיטיילס האקזה של SQL מופעל עם היוזר אדמיניסטרטור. תמיד יש security context, תמיד יש מישהו שהפעיל את האקזה שלו והרשאות של התוכנה הזאת לפי היוזר שהפעיל אותם.

5. 01:40

   לא משנה אם זה קרה אוטומט או מישהו עשה דאבל קליק, בסוף בסוף יש אקזה שרץ, קוד שרץ במערכת ההפעלה, בזיכרון, והוא מופיע עם הרשאות של יוזר כלשהו.

6. 01:52

   והיוזר הזה במקרה שלנו אדמיניסטרטור. דרך אגב איך ידעתי איזה אקזה להסתכל פה בדאבל קליק אתם יכולים לראות בתוך כל סרוויס יש את האקזה שלו למעשה סרוויס זו תוכנה רגילה שרק במקום שתעשו דאבל קליק ווינדוס עשה במקומכם דאבל קליק אוטומטית עם ההפעלה מחדש והריץ את האקזה הזה אין לו ממשק גרפי הוא עובד מאחורי הקלעים והוא מופעל תחת יוזר מסוים

7. 02:16

   ואמרנו שכל מי שחבר באקטיב דירקטורי כל יוזר פשוט יכול לבקש טיקט כרטיס הזדהות ליעד מסוים לפי ה-spn שלו, לפי השם הזה, איזה סרוויס אני רוצה, באיזה שרת, ואני מקבל את הטיקט הזה.

8. 02:32

   ועכשיו את הטיקט הזה, בלי שיש לי בכלל אישור אפילו להתחבר לאיזשהו sql, אני יכול להוציא מהזיכרון נניח עם מימיקאץ, אבל אני לא רוצה להפעיל מימיקאץ, אני לא רוצה לקחת סיכון שהאנטיווירוס פה יתפוס אותי. שימו לב, אני עושה הכל עם אנטיווירוס דולק.

9. 02:50

   אתם רואים? הכל דולק כברירת מחדל, לא שיניתי כלום. עד עכשיו אני גם לא עושה שום דבר מסוכן, ביקשתי טיקט להזדהות מול איזשהו שירות ברשת, שזה לגיטימי ביותר.

10. 02:59

    הקטע שהטיקט הזה מוצפן עם האש של היוזר שמפעיל את השירות הזה, עם האש של היעד, ואני רוצה לשבור את האש הזה, כי זה יוזר עם הרשאות על כל הרשת.

11. 03:10

    אז במקום לעשות את כל זה מכאן, בואו נעשה את זה מקאלי, כי בקאלי אין שום אנטיווירוס. אני יכול לבקש את הטיקט הזה מתוך קאלי, בהנחה שיש לי שם וסיסמה לדיוויד שפרצתי אליו.

12. 03:22

    שלחתי לו איזה מייל עם מאקרו והוא הפעיל אותו. אז אני הולך לבקש את אותו TGS אבל מתוך קאלי. קודם כל אני עושה את זה בעזרת אימפקט שהוא כבר מותקן אבל אני רוצה להראות לכם פקודה שמתקינה אותו.

13. 03:34

    apt install impact scripts ועכשיו בתוך האימפקט הזה יש סקריפטים מוכנים בפייתון שיודעים לעשות המון דברים מעניינים ואחד מהם זה לבקש טיקטים.

14. 03:45

    לפני שאני אבקש טיקט אני רק רוצה להראות לכם מה הסקריפט הזה יודע לעשות כברירת מרדל. הסקריפט הזה אומר שאני אתחבר לדומיין הזה, ליוזרניים הזה, עם הפסוורד הזה, זאת אומרת שהוא מתחבר ל-DC, לדומיין קונטרולר, כאילו הוא תחנת עבודה.

15. 03:59

    בגלל שה-DNS שלו לא מוגדר נכון, אז הוא לא ימצא את ה-dom.local, אז אני אומר לו, תקשיב, דבר עם ה-DC בכתובת כזאת וכזאת, אחרת איך הוא ידע מה ה-IP?

16. 04:09

    ואז הסקריפט הזה שולף לי את כל ה-SPNים שמוגדרים עבור יוזרים רגילים ולא עבור מחשבים. זאת אומרת, הוא שלף לי את ה-spn הזה, את השירות הזה, ואמר, השירות הזה מחובר ומוצפן עם יוזר רגיל, וגם השירות הזה מוצפן עם יוזר רגיל, ולא יוזר של המחשב, ולא עם ה-hash של המחשב.

17. 04:34

    הרי מה אמרנו? ש-spn יכול לחבר שירות מסוים או ליוזר מסוים עם הסיסמה שלו, או לחשבון מחשב שיש לו גם סיסמה מאוד מורכבת עם 28 תווים.

18. 04:46

    אז אני מחפש SPNים, שירותים, כאלו, כאלו, כאלו, כל מיני שירותים שמחוברים לא ל-DC ולא ל-File Server, לא למחשבים, כי את הסיסמה שלהם אני לא יכול לפרוץ כי היא מאוד ארוכה ומסובכת, אלא למישהו שהוא יוזר פשוט.

19. 05:03

    אז אני מחפש את ה-SPNים האלו שמחוברים ליוזרים הפשוטים והסקריפט הזה, אם Packet Get User SPNs יודה לשלוף לי אותם והוא שולף לי אותם. לא רק שהוא יודה לשלוף לי אותם, אני יכול להגיד לו גם Request, לבקש את הטיקט עצמו כאילו אתה רוצה לקבל שירות של sql כאילו אתה תחנה רגילה שפונה לדיסי ואני

20. 05:24

    מקבל שימו לב קרברוס tgs את הטיקט granting service את הטיקט שאני אמור להציג ליעד שלי ולהוכיח שאני דיוויד והדיסי שלח אותי הטיקט הזה מוצפן עם ההאש של היעד ואני רוצה לשבור אותו אז בואו נשמור אותו בקובץ למזלנו עם פאקט הזה יודע לעשות הכל בשבילנו אנחנו כותבים impact get users SPNs עבור איזה יוזר אני רוצה את זה עם איזה סיסמה זה איך

21. 05:52

    אני מתחבר ל-DC מה ה-IP של ה-DC תבקש את כל הטיקטים שאתה יכול שהם משויכים ליוזר ותרשום לי הכל בקובץ TGS hashes בוא נראה מה קורה שם בתוך ה-TGS hashes הזה נעשה cut TGS hashes ואנחנו רואים שבתוך הקובץ הוא שמר בעצם את הטיקט וזהו עכשיו אני לוקח את הקובץ הזה ואני מנסה פשוט לפרוץ אותו עם מילון אני אני יכול להשתמש ב-hash cut לתת לו את הסוג

22. 06:17

    של ה-hash 13100 שזה בדיוק הסוג הזה סוג 23 עבור TGS מינוס מינוס פורס E0 זה כי אין לי כרטיסי