התקפת Pass-The-Ticket
חלק 1

תמלול ההרצאה: התקפת Pass-The-Ticket חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «התקפת Pass-The-Ticket חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה זו אנחנו נגנוב TGT של יוזר בלי לדעת את הסיסמה שלו, בלי שיהיה לנו הרשאות של אדמיניסטרטור מקומי על התחנה. אנחנו נהיה האקרים שפרצנו ליוזר פשוט בלי האדמין בתחנה, ונגנוב לו את ה-TGT שלו, את כרטיס ההזדהות שלו, בלי לדעת את הסיסמה של יוזר ובלי לשבור את הה"א שלה.

2. 00:24

   ואחרי שנגנוב את ה-TGT שלו, נתחזה ליוזר הזה מתוך הווינדוס שלנו. בואו תראו מה קורה לפני שמתחילים, היוזר יכול להיכנס פה לשרת הקבצים, לעבוד פה על הקבצים שלו.

3. 00:36

   אבל האקר שלוקח בדיוק את הנתיב הזה ומנסה להתחבר בדיוק לאותו שיתוף. רק בואו נרשום את השם המלא שלא יהיו לנו בעיות עם ה-DNS.

4. 00:45

   אני גם אעשה פינג לשם הזה לראות שאין לי בעיות של ריזולווינג של DNS. יפה, ה-DNS של האקר מסתכל על אותו DNS כמו של היוזרים.

5. 00:55

   כולם מסתכלים על ה-DC בתור שרת DNS שלהם. אבל שימו לב, קופצת לי פה הודעה שפייל סרבר דורש ממני שם וסיסמה ואני לא יודע אותם בתור האקר. אני לא מצליח לפרוץ את הסיסמה של יוזר.

6. 01:08

   זאת אומרת אני כאקר יושב על התחנה של היוזר הזה אבל אין לי את הסיסמה שלו. דרך אגב מה עוד יוזר יכול לעשות? הוא יכול לפתוח נניח איזושהי אפליקציה במקרה הזה ssms ולהתחבר לדאטאבייס למסד נתונים בsql הוא כותב פה את השם של השרת ושם windows authentication מה זה windows authentication?

7. 01:30

   או טיקטים של קרברוס או ntlm והוא לא מכניס את הסיסמה כי ההזדהות מתבצעת אוטומט על ידי או קרברוס או ntlm ואני רואה שהוא מצליח פה להיכנס לתוך הדאטה בייסים ולטייל במסד נתונים כמובן שכרגע האקר לא יכול לעשות את זה האקר פותח את אותה תוכנה של ssms עושה קונקט שם את אותו השרת windows authentication עושה קונקט וכמובן שהוא לא מתחבר לוגין פייד אז ככה התחלנו את היום שאנחנו בתור האקרים לא

8. 01:58

   יכולים להיכנס לשום מקום אבל שלחנו מייל פישינג ליוזר ויוזר פתח את המייל פישינג שלנו ואנחנו ב-CMD אצלו. שימו לב אנחנו לא run as אדמיניסטרטור כי היוזר הזה בעצמו לא אדמיניסטרטור על התחנה הוא בעצמו יוזר פשוט אז גם אם היינו רוצים להיות אדמיניסטרטורים לא היינו מצליחים אז

9. 02:19

   אני עושה פה no אין לנו הרשאות של אדמיניסטרטור יש לי פה הרשאות של יוזר פשוט CMD פשוט קודם כל איך אני יודע שאני ב-CMD פשוט הוא מראה לי את השם של היוזר, תחשבו שאני שולט על הפקודות מרחוק כל הקבוצות שיוזר חבר בהן והכי חשוב פה מדיום מנדטורי לבל המדיום הזה אומר שאני

10. 02:40

    יוזר פשוט אם הייתי ראן איזה אדמיניסטרטור זה היה היי אוקיי אז אנחנו עכשיו בתוך התחנה של יוזר אין לנו את הסיסמה שלו אין לנו הרשאות של אדמיניסטרטור מה אנחנו יכולים לעשות איך לגנוב את הtgt בואו ננסה להוריד את המימיקאץ אני כותב מימיקאץ גיטהאפ ואת הבחור הזה שפיתח אותו קיווי בסוף ג'נטל קיווי נכנס לגיטהאפ לוחץ פה על מימי קאץ שימו לב ג'נטל קיווי מימי קאץ ומוריד

11. 03:07

    את ה-latest version את הגרסה האחרונה המקומפלת עכשיו תגידו לי אנטיווירוס יתפוס אותך האמת שאני ניטרלתי את האנטיווירוס ובחיים האמיתיים אנחנו יכולים להוריד את קובץ המקור שלו את המימי קאץ המקורי הזה ולשנות בו כל מיני דברים עד שלא יתפסו אותנו אבל אני כרגע לא מתעסק בתכנות אני מתעסק במהות להתחמק מאנטיווירוס

12. 03:29

    זה נושא בפני עצמו וזה אכן אפשרי למעשה כל חברות ה-PT לוקחות את הכלים האלו מגיטהאב ומשחקות איתם משנות כל מיני דברים עד שאנטיווירוס לא תופס אותם אני נכנס ל-X64 פותח פה CMD בתוך התיקייה הזאת וכותב מימיקאץ נקודה אקזה הנה אני בפנים עכשיו אני מנסה לראות את כל הטיקטים שיש לנו ואני רואה פה את כל הטיקטים שיש לי יוזר וזה נשמע

13. 03:54

    טוב אני רואה פה את ה-TGT שלו, אני רואה את השיתופים שהוא ניגש אליהם, אני רואה את ה-SQL שהוא ניגש אליו. זאת אומרת, לכל שירות יש טיקט משלו.

14. 04:04

    דרך אגב, LDAP זה תשאול של Active Directory, אבל כל הטיקטים האלו זה לשירותים מסוימים, כמו SQL, כמו שיתופים. אני רוצה לגנוב את ה-TGT שאיתו מקבלים את כל הטיקטים האחרים.

15. 04:17

    כי אם נניח אני אגנוב את הטיקט הזה, זה יהיה מצוין, אבל רק ל-SQL עצמו. אז זאת המטרה שלנו, ה-TGT הזה. שימו לב שהTGT שלי עם פלאג אינישיאל זה אומר הראשוני שקיבלנו אותו טוב בואו נחלץ את הTGT הזה נכתוב קרברוס TGT בתוך המימיקאץ נלחץ אנטר ונגלה להפתעתנו שפקודת קרברוס TGT לא מצליחה לחלץ לי את הסשן קי זה הקי הסודי שאיתו אני מצפין מידע לדומיין קונטרולר ל-KDC

16. 04:46

    משתמשים בו במקום הסיסמה של יוזר אני אזכיר לכם שזה הפאקט שאני שולח ל-DC כדי לקבל טיקט לסרוויס מסוים ליעד מסוים ובבקשה שלי אני אומר לו SPN זה לאיזה יעד אני רוצה לקבל את הסרוויס טיקט אני מעביר לו את ה-TGT המקורי