Overview para Pen Test no Active Directory – Reconnaissance & Attack

Overview para Pen Test no Active Directory – Reconnaissance & Attack. Este artigo aborda o teste de penetração do Active Directory e pode ajudar os testadores e especialistas em segurança que desejam proteger sua rede.

Pen Testing

Em janeiro publicamos aqui no Blog Minuto da Segurança uma lista completa de ferramentas de teste de penetração e hacking para hackers e profissionais de segurança. Os Teste de penetração e  ferramentas de hacking são mais frequentemente usados ​​pelos setores de segurança para testar as vulnerabilidades na rede e nos aplicativos. 

No intuito de contribuir com nosso s leitores, reproduzimos artigo do site GBHackers onde você pôde encontrar a lista de Ferramentas abrangentes de teste e penetração de penetração, que abrange a execução da operação de teste de penetração em todo o ambiente.

Publicamos uma extensa lista de ferramentas de Teste de Penetração e Hacking onde exploramos:

  • Recursos online;
  • Ferramentas de hackers
  • Livros
  • Bancos de dados de vulnerabilidade como Ferramentas de hacking
  • Cursos de segurança
  • Conferências de Segurança da Informação
  • Revistas de segurança da informação

Agora reproduzimos aqui, a partir de um texto do GB Hackers, alguns detalhes a mais para auxiliar nossos leitores que desejarem realizar um Pen Test no AD

Active Directory” também chamado popularmente como “AD” é um serviço de diretório desenvolvido pela Microsoft para a rede de domínio do Windows. Com ele, você pode controlar os computadores e serviços do domínio em execução em todos os nós do seu domínio.

Teste de penetração do Active Directory

O primeiro nível em um Pen Test é o reconhecimento da sua rede. todo usuário pode inserir um domínio tendo uma conta no controlador de domínio (DC).

Toda essa informação é apenas reunida pelo usuário que é um usuário do AD. No nome do usuário, há duas partes : 

  • primeiro é o nome de domínio
  • segunda parte é seu nome de usuário. 

Podemos dar o seguinte comandos de reconhecimento (Reconnaissance):

+             c: \> net user  – Ao executar este comando no CMD (prompt de comando), você pode ver facilmente os usuários locais no seu PC.

+             c: \> whoami – Este comando pode ajudá-lo a ver o usuário atual associado ao Active Directory conectado.

+             c: \> whoami / groups – Este comando ajuda você a mostrar o grupo atual

+             c: \> net user \domain – Este comando mostra todos os usuários de qualquer grupo no diretório ativo.

Além disso, você pode ver o grupo de todos os usuários executando este comando:

+             c: \> net user [username] domain

 

Para ter uma visão melhor, você pode usar o script ” AD Recon “. AD Recon é um escrito por “Sense of Security” que usa cerca de 12 mil linhas de script do PowerShell que oferecem uma boa visão do AD e todas as informações necessárias.

Você pode baixar esse script no GitHub: https://github.com/sense-of-security/ADRecon, abaixo seguem algumas capturas de tela do relatório deste aplicativo:

Figura1 – Estado das Contas de Usuários

Figura2 – Lista de grupos do AD

Figura 3 – Lista de zonas de registro DNS

 

Quando você obtém todos os usuários do AD, agora deve dar uma olhada na política de grupo. A diretiva de grupo é um recurso da família de sistemas operacionais Microsoft Windows NT que controla o ambiente de trabalho de contas de usuário e contas de computador. Na política de grupo, você pode ver uma política de ambiente como ” Política de Bloqueio de Conta ” (Account Lockout Policy).

Este é um método que fornece aos usuário aos conectados à rede proteção contra ataques de adivinhação de senha. Além disso, você pode ver ” Política de senha “. Uma diretiva de senha é um conjunto de regras projetadas para aprimorar a segurança do computador, incentivando os usuários a empregar senhas fortes e usá-las adequadamente.

Quando você recebe todo o dados necessário, agora você pode executar diferentes ataques a usuários como:

 

Ataque de Força Bruta ao AD 

Para ataque de força bruta no diretório ativo, você pode usar os auxiliares do Metasploit Framework. Você pode usar o auxiliar abaixo:

msf > use auxiliary/scanner/smb/smb_login

Nas opções deste auxiliar você pode definir o arquivo de nome de usuário, o arquivo de senha e defina um IP que tenha o serviço SMB aberto. 

Então você pode executar este auxiliar digitando o comando ” run “.

Se você tentar senhas falsas mais do que a Política de bloqueio de conta, poderá ver a mensagem “A conta foi bloqueada “. (Account Has Been Locked out)

Se você tentar em todas as contas, todos os usuários irão estar desabilitados e poderá a um impacto geral na rede, por isto não faça! Como você pode ver na Política de senha, você pode definir sua lista de senhas para usar no ataque de força bruta.

Todos os hashes são armazenados em um arquivo chamado ” NTDS.dit ” neste local:

C:\Windows\NTDS

Você extrairá hashes deste arquivo usando mimikatz.  O mimikatz possui um recurso que utiliza o DRS – Directory Replication Service (Serviço de Replicação de Diretório) para recuperar os hashes de senha do arquivo NTDS.DIT. você pode executá-lo como pode ver abaixo:

mimikatz # lsadump::dcsync /domínio:pentestlab.local /all /csv

Então você pode ver hashes e senha (se o senha poder ser encontrada).

O diretório ativo inclui vários serviços executados nos servidores Windows, inclui grupos de usuários, aplicativos, impressoras e outros recursos.

Isto ajuda os administradores de servidores a gerenciar dispositivos conectados à rede e inclui vários serviços, como Domínio, Serviços de Certificados, Serviços de Diretório Leve, Federação de Diretório e gerenciamento de direitos.

O teste de penetração do Active Directory é necessário para qualquer organização, atualmente os grupos do APT têm como alvo ativo os Diretórios Ativos usando técnicas diferentes.

 

Fonte: GB Hackers O artigo preparado por OmidShojaei

Veja também:

Sobre mindsecblog 2399 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.

2 Trackbacks / Pingbacks

  1. Hackers iranianos invadiram servidores VPN para plantar backdoors
  2. Lista de email de pacientes usuários de Canabidiol é exposto pela Anvisa

Deixe sua opinião!