? Атака Domain Dump позволяет злоумышленнику сдампить домен для получения информации о пользователях и группах, а также для последующего построения пути компрометации домена.
Теория
*данная статья будет рассмотрена на примере утилиты bloodhound *
Стадии работы на примере bloodhound:
Аутентификация через указанный протокол
Сбор информации о количестве лесов, доменов и хостов
Сбор информации о пользователях, группах, политиках и т. д.
Попытки обращений к компьютерам домена
Проверка активных пользователей
Процесс удаленного дампа может быть осуществлен с помощью Kerberos или NTLM аутентификации. В случае, если был выбран Kerberos и произошла ошибка получения TGT, метод авторизации будет автоматически изменен на NTLM.
Трафик проведенной атаки выглядит следующим образом:
Таким образом, от сервера нам прилетает вся информация, в данном случае, о пользователе «Администратор», которая представлена в виде обычного текста и HEX формата.
Практика
Дамп через Kerberos аутентификацию
python bloodhound.py -u ldapdump-user -p Bloodhound? -ns 192.168.1.1 -d test.local -c ALL --zip --auth-method kerberos -k
Как видно, 2 строка вывода программы проинформировала нас о получении TGT, что свидетельствует о том, что аутентификация через Kerberos была успешно выполнена.
Трафик атаки
Как обычно, начинаем с Kerberos аутентификации. Поскольку дальше идет работа с LDAP, то и в TGS_REQ SNameString будет содержать ldap
После этого, идет аналогичный запрос TGS_REQ, но уже для обращения к SMB — SNameString: cifs
Дамп через NTLM аутентификацию
python bloodhound.py -u ldapdump-user -p Bloodhound? -ns 192.168.1.1 -d test.local -c ALL --zip --auth-method ntlm
Трафик атаки
Сначала идет NTLM аутентификация, сразу после которой идут LDAP запросы.
Осуществление еще одной NTLM аутентификации для взаимодействия с SMB.
Локальный дамп
Также, если есть необходимость выявить всех пользователей домена и информацию о них, можно выполнить локальный дамп с помощью PoSH Get-ADUser -Filter * -Properties DisplayName, EmailAddress, Enabled, LastLogonDate | Format-Table -AutoSize
Артефакты
Как правило, при проведении данной атаки, основным фактором является наличие множества событий MSGID 1644 (Выполнен LDAP запрос), а также MSGID 2889 (Незащищенные привязки LDAP), которые подкрепляются событиями из разделов ниже
Дамп через Kerberos аутентификацию
Дамп через NTLM аутентификацию
Вывод
Как видно, основной последовательностью событий в журнале безопасности Windows при разных протоколах аутентификации служат:
Вход в систему (как правило, несколько раз подряд)
-
Обращения к службам:
Для Kerberos в TGS_REQ: ldap и cifs в SNameString
Для NTLM: ldap и smb
Обращения к шаре \\*\IPC$ с маской 0x1 (чтение данных или перечисление каталогов)
Выход из системы (количество эквивалентно входам)
Профит
Получаем визуализацию полученных данных и ищем доступные пути компрометации домена
