سلام دوستان وقتتان بخیر به هفته سوم و راه اندازی لب خوش آمدید:
خوب این آموزش یکم طولانی شد و صفر تا صد به همراه مشکلات که احتمالا میخورین و رفعش من کاور کردم
قبل از هر چیزی ویندوز سرور 2016 دانلود کنید
کالی اخرین ورژن اپدیت هفتگی دانلود کنید
ویندوز 10 به عنوان کلاینت دانلود کنید
من forest اولی راه انداختم با اسم soheil.lab سرور 2016
بعد child domain بهش وصل کردم child.soheil.lab سرور 2016
بعد کلاینت وصل کردم به forest domain ویندوز 10
بعد tree domain راه انداختم با اسم soheilsec.lab
بعد foreign forest راه انداختم با اسم diablo.lab
و ویندوز کلاینت که وصل کردم به diablo.lab
در اخر Trust builtin که ما بین child tree domain با forestداریم
همچنین من با این ip plan لب راه انداختم
vlan soheil.lab
kali
192.168.100.2
soheil.lab
192.168.100.5
Active Directory
office windows 10 joined soheil.lab
192.168.100.6
srv.child.soheil.lab
child.soheil.lab
192.168.100.7
Active directory
soheilsec.lab
192.168.100.8
Active directory
diablo.lab
192.168.100.9
Active directory
office2 windows 10 joined diablo.lab
192.168.100.10
ولی برای trust foreign و soheil.lab توضیح دادم که باید stub zone dns و zone transfer چی کار بکنید
طبق حملاتی که ذکر کردم در گیت زیر
https://github.com/soheilsec/Active-Directory-For-Hackers
نیاز داریم که این vm ها رو داشته باشیم
هر حمله که برسم کانسپت و کانفیگ اشتباه که ممکنه ادمین بزنه هم بهتون میگم فعلا LAB اماده کنید تا هفته بعد
https://youtu.be/YUkJt-j7xEE

سلام وقت بخیر، خوش آمدید به هفته چهارم
این هفته به بررسی سناریوهای دنیای واقعی پرداختم که چطور می رسیم به داخل شبکه و دسترسی می گیریم به اکتیو
همان طور که می دونید در دنیای واقعی یا سرویس ها یا باید آدم ها رو اکسپلویت کنیم تا به شبکه داخلی برسیم
هر کدوم چالش‌های خودش داره و در سناریو ردتیم به توجه به پیچیدگی شبکه تارگت میتونی این فرآیند چند روز تا چند ماه طول بکشه وب که خورده میشه سرور lpe زد نمیشه راهی هست سطح دسترسی بالا ببریم وب سرور workgroup باشه چی کار کنیم و تازه وقتی وارد سرور میرسیم چطور برسیم به شبکه اصلی اگر Trust باشه شاید به همین راحتی دسترسی وجود نداشته باشه و به دیتابیس اصلی
https://youtu.be/OFmNZII9KaQ
نوت ها و کامندها :
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/Real%20World%20Scenarios.md

Enhancing Cyber Resilience: Insights from CISA Red Team Assessment of a US Critical Infrastructure Sector Organization
https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-326a

این خوندید پیشنهاد میکنم این ببینید
https://youtu.be/bDJb8WOJYdA?si=WBmRolniheMK9Iha
رییس سابق TAO همین حرف ها رو 2016 زده ولی هنوزم مشکلات سابق وجود داره طبق گزارش cisa 🤔

APT28 hopping into a target environment over wifi by compromising neighbouring  companies and finding a dual-homed host within range.🤔

https://www.volexity.com/blog/2024/11/22/the-nearest-neighbor-attack-how-a-russian-apt-weaponized-nearby-wi-fi-networks-for-covert-access/

New AMSI Bypss Technique Modifying CLR.DLL in Memory
https://practicalsecurityanalytics.com/new-amsi-bypss-technique-modifying-clr-dll-in-memory/

EDR silencers
https://cloudbrothers.info/en/edr-silencers-exploring-methods-block-edr-communication-part-1/

https://academy.bluraven.io/blog/edr-silencer-and-beyond-exploring-methods-to-block-edr-communication-part-2

NCSC Annual Review 2024

کتاب: تیم قرمز حرفه‌ای 📕

فصل هشتم: تیم بنفش

فهرست مطالب
چالش‌ها 132
مشکلات مربوط به افراد 132
نیازهای مشتری 134
انواع تیم بنفش 135
آگاهی متقابل 135
بی‌اطلاعیِ میزبان 136
بی‌اطلاعیِ مهاجم 137
تست دست قرمز (مُچ‌گیری) 137
گرفتن و رها کردن 140
هکر مفید 141
خلاصه فصل هشتم 144

انجمن علمی مهندسی کامپیوتر دانشگاه مازندران برگزار می‌کند:

وبینار امنیت سایبری 🔒 💻

🔹 موضوع: نقشه راه ورود به دنیای امنیت سایبری
🔹 سخنران: سهیل هاشمی
🔹 زمان: پنج‌شنبه، ۱۵ آذر ۱۴۰۳ - ساعت ۱۰:۰۰

آشنایی با دنیای پیچیده و پرچالش امنیت سایبری

🔹 لینک نشست مجازی: https://umz-meet.iranlms.org/join/e2y7jegc7v

در فرآیند تست نفوذ و ردتیم پس از دسترسی اولیه به شبکه اکتیو باید لیستی از کامپیوترها سرورها گروه ها و... در اورد تا بدانیم در چه شبکه ای هستیم و برای رسیدن به admin domain و dominance باید چه اقداماتی انجام دهیم.
نکته مهم این است که خروجی باید دسته بندی کرد تا در فرآیند بعدی که نیاز به اطلاعات داریم دوباره تکرار نکنیم.
فرآیند تست نفوذ و ردتیم نباید موجب اختلال در سرویس دهی کارفرما شود لذا هر ابزاری نباید استفاده کرد.
تست نفوذ شاید گستره ابزارهایی که استفاده می کنیم بیشتر باشد چون نگران شناسایی شدن نیستیم ولی ردتیم چون شبیه سازی گروه هکرهای دولتی APT باید نهایت مخفیانه بودن را رعایت کنیم.
ویدیو:
https://youtu.be/PoqjSvZfpDI
جهت دسترسی به کامندها و نوت ها:
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/Recon%20AD%20during%20penetration%20testing%20and%20Red%20Teaming.md

Understanding Active Directory for Red Teamers and Penetration Testers
https://www.linkedin.com/pulse/understanding-active-directory-red-teamers-testers-soheil-hashemi-z60qf?utm_source=share&utm_medium=member_android&utm_campaign=share_via

Unwrapping BloodHound v6.3 with Impact Analysis

https://posts.specterops.io/unwrapping-bloodhound-v6-3-with-impact-analysis-acb44b5f0731?gi=442978874868

CVE-2024-49112 is a Windows Lightweight Directory Access Protocol (LDAP) Remote Code Execution Vulnerability. This critical vulnerability has been assigned a CVSS score of 9.8, indicating a high impact on confidentiality, integrity, and availability (C:H/I:H/A:H).

The vulnerability is related to an integer overflow or wraparound (CWE-190) in the LDAP implementation. This issue could allow remote attackers to execute arbitrary code on vulnerable systems by sending specially crafted LDAP requests.

Attackers can exploit this flaw remotely, requiring no authentication or user interaction.

Exploitation results in the attacker gaining full control of the affected system.

To mitigate CVE-2024-49112:

1. Apply Patches: Ensure all systems are updated with the latest security patches from Microsoft. Refer to their official advisory.

2. Restrict LDAP Access:
Limit access to LDAP services by implementing network-level access controls, such as firewalls.

Use secure LDAP (LDAPS) to encrypt LDAP traffic.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-49112

سلام وقت بخیر در این قسمت (6) که جمع بندی قسمت گذشته است روش هایی که میشه session admin و کلا session روی کامپیوترهای AD وجود دارد با ابزارها مختلف که همگی در github قابل دسترس هستند enumerate کنیم .
همچنین به توضیح مختصر از مبحث مهم ACL پرداختیم که پیشنهاد میکنم حتما در کتاب James forshaw windows internals فصل ACL بخونید.
یک دمو رفتیم که وقتی میگیم ACL خطرناک یا permission خطرناک چی هست چه کارهایی ممکنه هکر انجام بده.
در ادامه هدف اصلی از ریکان گفتیم که دنبال این هستیم لیست یوزرها کامپیوترها و ... در بیاریم که برسیم به دسترسی یوزر دامین، ادمین لوکال که این ادمین لوکال خیلی مهمه چرا که میتونه کمک کنه ما ابزارها کاربردی مثل mimikatz روی هاست اجرا کنیم و CA, LM انجام بدهیم.

https://youtu.be/L-t4XxUG_bY
جهت دسترسی به کامندها و نوت ها:
https://github.com/soheilsec/Active-Directory-For-Hackers/blob/main/Recon%20AD%20during%20penetration%20testing%20and%20Red%20Teaming.md

D3FEND 1.0 is here and we are excited to see how you put D3FEND into action!
https://d3fend.mitre.org/blog/d3fend-1.0/

Flare-On 2024
https://youtube.com/playlist?list=PLYP-7_bD0kQEJ51srPqQY7QUc2VNYN8uN&si=Y0aXPlqRyrOfjUMA

7 سال گذشت 🤔
https://in.tgstat.com/channel/@learnpentest/stat