Microsoft Active Directory'deki En Aktif Saldirilar
•
5 likes•1,013 views
Adeo tarafından Microsoft İstanbul ve Ankara ofislerinde gerçekleştirilen SOME Etkinliğinde Anıl Mamak'a ait sunum
Microsoft Active Directory'deki En Aktif Saldirilar
- 1. Active Directory’deki En Aktif Saldırılar Anıl Mamak ADEO Security
- 2. Anıl Mamak §Bilgisayar Mühendisi §Pentester §Cyber Security Researcher
- 3. Ajanda Neden? Nasıl? Neler yapılabilir?
- 4. Neden? Data Erişim Şan, Şöhret Zarar Verme
- 5. Nasıl? Hedef Belirleme Bilgi Toplama Analiz Saldırı Motivasyon
- 6. Bilgi Toplama - Shodan
- 7. Bilgi Toplama - Shodan
- 8. Bilgi Toplama - Nmap
- 9. Bilgi Toplama - Nmap
- 10. Analiz Servisler Varsayılan Kullanıcılar Zayıf Parola
- 11. Servisler Remote Desktop Protocol Server Message Block(SMB) MSSQL Apache Tomcat Kerberos
- 12. Varsayılan Kullanıcılar – Zayıf Parolalar Apache Tomcat • admin:admin, tomcat:tomcat Zayıf Parola • admin:123456 • Administrator:Password1 • sa:1234
- 13. Saldırı - Apache Tomcat
- 14. Saldırı - Apache Tomcat
- 15. Saldırı - Apache Tomcat
- 16. Saldırı - Apache Tomcat
- 17. Saldırı - Apache Tomcat
- 18. Saldırı - MSSQL
- 19. Saldırı - MSSQL
- 20. Saldırı - MSSQL
- 21. Engelleme - MSSQL Tahmin edilmesi zor parolalar kullanılmalı MSSQL sunucusuna erişim yetkileri kısıtlanmalı
- 25. Engelleme - RDP/SMB Administrator için tahmin edilmesi zor parolalar kullanılmalı RDP – SMB erişimleri kısıtlanmalı Her makineye KB2871997 patch’i kurulmalı
- 26. Mimikatz Dump credentials • Lsass Dump Kerberos Tickets Credential Injection • Pass the Hash, Over- Pass The Hash Teşekkürler Benjamin Delpy !
- 27. Dump Credential - Mimikatz
- 28. Dump Credential - Mimikatz
- 29. Dump LSASS - Mimikatz
- 30. Wdigest Basic Authentication • Username + Password Digest Access Authentication • (username, generate_md5_key(username, URI, password)) Wdigest • Digest Access Authentication’da kullanılmak üzere tasarlanmış sistem kütüphanesidir.
- 32. Kerberos Windows 2000 server ve sonrası için default kimlik doğrulama yöntemidir. 1. Client 2. Server 3. Key-Distribution-Center/KDC
- 34. Pass the Hash
- 35. Pass the Hash - Kerberos
- 36. Over Pass the Hash
- 37. Over Pass the Hash
- 38. Over Pass the Hash
- 39. Over Pass the Hash
- 40. Over Pass the Hash
- 41. Windows 8.1, 2012-R2 LSA Protection Bypass • Microsoft Windows 8.1’i yayınladığında bazı güvenlik değişiklikleri ekledi. • Mimikatz ve WCE gibi araçlar artık LSA belleğinden kimlik bilgilerini clear text olarak alamıyor. • Wdigest hala kullanıldığı için yapı değişikliği yapılamadı. • Varsayılan olarak Wdigest sağlayıcısı registryden kaldırıldı.
- 42. Windows 8.1, 2012-R2 LSA Protection Bypass HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersWDigest
- 43. Windows 8.1, 2012-R2 LSA Protection Bypass
- 44. Windows 8.1, 2012-R2 LSA Protection Bypass
- 45. Windows 8.1, 2012-R2 LSA Protection Bypass
- 46. Windows 8.1, 2012-R2 LSA Protection Bypass
- 47. Windows 8.1, 2012-R2 LSA Protection Bypass
- 48. Windows 8.1, 2012-R2 LSA Protection Bypass
- 49. Teşekkürler Twitter : @anlmmk Mail : anilmamak@gmail.com
- 50. References Skip Duckwall & Benjamin Delpy’s Blackhat USA 2014 presentation “Abusing Microsoft Kerberos – Sorry Guys You Still Don’t Get It” http://www.slideshare.net/gentilkiwi/abusing-microsoft-kerberos-sorry-you-guys-dont-get-it Mimikatz and Active Directory Kerberos Attacks http://adsecurity.org/?p=556 Microsoft Enhanced security patch KB2871997 http://adsecurity.org/?p=559 Dumping WDigest Creds with Meterpreter Mimikatz/Kiwi in Windows 8.1 https://www.trustedsec.com/april- 2015/dumping-wdigest-creds-with-meterpreter-mimikatzkiwi-in-windows-8-1 Sean Metcalf Blackhat USA 2015 presentation “Red vs Blue: Modern Active Directory Attacks, Detection, & Protection” http://www.slideshare.net/Shakacon/red-vs-blue-modern-atice-directory-attacks-detection-protection-by-sean-metcalf Digest Access Authentication https://en.wikipedia.org/wiki/Digest_access_authentication Kerberos https://en.wikipedia.org/wiki/Kerberos_(protocol)