Злоупотребление ACL: GenericAll

GenericAll – это полный контроль над объектом (можно обратиться к посту и посмотреть какие ActiveDirectoryRights входят в GenericAll), поэтому можно использовать все ранее описанные методы злоупотребления ACL. PowerView и BloodHound отображают такие права одинаково GenericAll.

Остановлюсь на одном моменте. При проведении работ в окружении ActiveDirectory может встретиться ситуация, в которой скомпрометированному пользователю или группе предоставлены права GenericAll для какой-то OU (Organization Unit), но при этом права GenericAll отсутствуют над объектами, входящих в эту OU. Это означает, что на OU отсутствует наследие на дочерние объекты. Если посмотреть на результат получения ACL с помощью PowerView для этой OU, можно заметить, что параметр InheritanceFlag установлен в None.

Имея права GenericAll можно изменить наследие для объектов, в данном случае на OU. Это можно выполнить с помощью PowerView:

$Guids = Get-DomainGUIDMap;
$AllObjectPropertyGuid = $Guids.GetEnumerator() | Where-Object {$_.value -eq 'All'} | Select -ExpandProperty name;
$ACE = New-ADObjectAccessControlEntry -Verbose -PrincipalIdentity <user> -Right GenericAll -AccessControlType Allow -InheritanceType All -InheritedObjectType $AllObjectPropertyGuid;

# Указать явный идентификатор OU
$OU = Get-DomainOU -Raw '<SID или ObjectID>';
$DsEntry = $OU.GetDirectoryEntry();
$dsEntry.PsBase.Options.SecurityMasks = 'Dacl'; $dsEntry.PsBase.ObjectSecurity.AddAccessRule($ACE);
$dsEntry.PsBase.CommitChanges()

Повторная проверка ACL OU покажет, что параметр InheritanceFlags изменился на ContainerInherit и если запросить дочерний объект, то для него должны быть назначены права GenericAll.

#Внутрянка #RedTeam #PurpleTeam

Лаборатория Active Directory

Для проверки работоспособности цепочек атак и тестирования новых TTP требуется тестовая площадка Active Directory.

Можно самостоятельно развернуть лабораторию или использовать автоматизированное средство Detection Lab. Оно поможет сократить трудозатраты. Лаборатория разворачивается автоматически и, практически, без проблем. Плюс лаборатории в том, что она также настраивает средства обнаружения атак (Sysmon, MS ATA, Splunk и др). Таким образом можно проверить какие TTP обнаруживаются, а какие проходят незаметно.

Но Detection Lab не создает никакого окружения и наполнения. В этом случае есть две утилиты, которые «наполнят» Active Directory различными объектами и недостатками:
• Vulnerable-AD
• BadBlood

#Организация #Практика

Темы для изучения по направлению Red Team

Я перебирал свои старые конспекты и записи и нашел интересный конспект, который частично касается тем для изучения по направлению Red Team. Этот перечень не мой, но хочу предоставить его для ознакомления. Перечень достаточно интересный перечень, который может стать планом развития на следующий год.

Основные темы

• Active Directory лежит в основе большинства инфраструктур большинства современных организаций и пониманием возможностей горизонтального движения и повышение привилегий в AD является необходимым навыком.
• Tradecraft OpSec. Возможность закрепления в сети организации — это безусловно хорошо, но при слабой операционной безопасности, этот доступ будет быстро утерян в большинстве зрелых сред. Обучение работы с индикаторами компрометации (IOC), которые «выдают» инструменты, эти индикаторы должны гармонировать с шумом окружающей среды организации.
• Framework C2. Необходимо понимать его особенности и ограничения. Знание нескольких С2 дает большую гибкость в выборе правильного, в зависимости от конкретной ситуации, а также не будет требовать поиска и подбора необходимой команду в самый разгар операции.
• Infostruture Design. Эффективно построение и внедрение инфраструктуры для проведения операции Red Team является важным аспектом. Инфраструктура должна быть не только способной противостоять активному реагированию, но также должна защищать данные клиента.
• Pivot. Ключевым навыком, позволяющий уклоняться от новейших EDR, является способность работать через C2. Изучение позволит эффективно обходить EDR и «приносить собственные инструменты» в среду.

Разработка

• Process Injection. Удаленное внедрение процесса — это мощный способ «слиться» с окружающей средой, будь то внедрение имплантата в скрытый процесс или просто маскировка действий после эксплуатации. Тем не менее, методы инъекции также хорошо знакомы защитникам, так как знание IoC, связанных с каждой стратегией инъекции, и способность разрабатывать свои собственные загрузчики — это ценный набор навыков, которым нужно обладать.
• Implant Development для С2. Так же рекомендуется создать свою простую C2
• Payload Creation. Получение начального доступа является одним из самых сложных аспектов операции Red Team. Многие из общедоступных фреймворков генерации полезных нагрузок (payload) подписаны (имеют известный отпечаток) и не будут иметь большой успех в зрелых современных организациях. Если разрабатывать свои собственные полезные нагрузки, то шансы увеличиваются, чтобы получить драгоценный имплант для команды.

Мои небольшие комментарии

Разработка вообще является важной темой для Red Team, можно использовать общедоступные утилиты и средства для проведения работ. Но через некоторое время они будут обнаруживаться всеми и подойдут только для проведения внутрянки.

Инфраструктура и использование C2 не является обязательным в проведении операции Red Team. Если во время этапа «Первоначального доступа» будут обнаружены способы получения доступа во внутреннюю сеть организации не через Социальную инженерию.

Pivot тоже не обязательно будет связан с C2, это могут быть различные способы бокового движения или создания правил на файрволле.

#RedTeam #Обучение #Организация

https://github.com/godaddy/tartufo

tartufo — это утилита, которая сканирует репозитории в поисках случайно оставленных токенов и учетных данных.

Она проверяет всю историю коммитов каждой существующей ветки и ищет секреты, используя регулярки и проверяя энтропию.

Установка:
pip install tartufo

Сканировать удаленный репозиторий:
tartufo scan-remote-repo git@github.com:my_user/my_repo.git

Локальный:
tartufo scan-local-repo /path/to/your/git/repo

😈 [ Grzegorz Tworek @0gtweet ]

By-design AV bypass with "dev drive" 😅
I really like this feature!
Update your detection rules if you want to spot this...

🐥 [ tweet ]

По многочисленным просьбам добавил в ldap_shell интерактивную консоль (подсказки, дополнения,история и пр), чтение паролей GMSA, а так же поправил некоторые обнаруженные ранее баги. Обновил todo лист - наметил дальнейший путь развития инструмента.

Attacking an EDR - Part 1

This post is the first of what - we hope - will be a long series of articles detailing some common flaws that can be found on modern EDR products. By no means this will be a complete reference, but will hopefully provide some practical tools to analyze these gargantuesque products and attempt to understand their functionalities from a black box perspective.

Attacking an EDR - Part 2

This time around, our focus will be on the communication channel between the EDR agent and its tenant.
For those who are not familiar with the generic EDR architecture, in most cases the agents that will be deployed on the systems will eventually need to communicate to a centralized tenant. This is usually done because EDR agents needs to:
• Fetch policies from the centralized tenant and apply new policies
• Send telemetry back to the central instance

As you can imagine, this component is particularly crucial and any interference or tampering could potentially have devastating outcomes. As we did last time, we will begin with formulating an hypothesis that will be validated throughout the rest of this blog post.

Attacking an EDR - Part 3

In this third and last part of this series, we will dig deeper in the EDR’s update process and uncover some logic flaws that, ultimately, led us to the complete disarmament of the solution. Additionally, as an unexpected treat for our effort, a new ‘LOLBin’ was also discovered along the way. This part will be a bit more code-heavy, we will try to minimize the unnecessary bloat but the reader might need to pivot through some additional references to get the most out of this.

https://ru-sfera.pw/forums/vvedenie-v-razrabotku-vredonosnyx-programm.176/

Интересные статьи и все собрано в одном месте. Спуфинг commandline прям понравилось