Các bước để Kiểm thử xâm nhập cho hệ thống Active Directory

Trong bài viết này, chúng ta sẽ cùng nhau tìm hiểu các bước để kiểm thử một hệ thống Active Directory

“Active Directory” thường được gọi là “AD” là một dịch vụ directory mà Microsoft đã phát triển cho người dùng Windows domain network. Khi sử dụng nó, quản trị viên có thể kiểm soát các máy tính trong cùng domain và các dịch vụ đang chạy trên domain của người dùng.

Kiểm thử xâm nhập Active Directory

Trong phần này, chúng ta có một số cấp độ, cấp độ đầu tiên là reconnaissance hệ thống mạng của bạn. mọi người dùng đều có thể vào domain bằng tài khoản domain controller (DC).

Tất cả thông tin này có thể được thu thập bởi tất cả người dùng trong AD. Trong đó, username bao gồm hai phần là tên miền và tên người dùng. như ví dụ dưới đây:

Reconnaissance Commands:

 c:\ > net user

Bằng cách chạy lệnh này trong CMD (Command Prompt), bạn có thể dễ dàng nhìn thấy người dùng cục bộ trên PC của mình.

c: \> whoami

Lệnh này có thể giúp bạn xem thông tin user hiện tại đang đăng sử dụng để đăng nhập vào Active Directory

c:\ >whoami /groups

Lệnh này giúp bạn hiển thị cho bạn nhóm hiện tại mà user đang trực thuộc

c:\ > net user \domain

Lệnh này hiển thị cho bạn tất cả người dùng từ bất kỳ nhóm nào trong active directory đang hoạt động. Ngoài ra, bạn có thể xem mọi nhóm của người dùng bằng cách chạy lệnh sau:

c:\ > net user [username] domain.

Để có cái nhìn rõ hơn, bạn có thể sử dụng script “AD Recon”. AD Recon là một kịch bản được viết bởi “Sense of Security”. Nó sử dụng khoảng 12 nghìn dòng lệnh PowerShell giúp bạn có cái nhìn tốt về AD và tất cả thông tin mà bạn cần.

Bạn có thể tải xuống tập lệnh này từ GitHub: https://github.com/sense-of-security/ADRecon

Khi bạn có tất cả người dùng AD, bây giờ bạn nên kiểm tra group policy. Group policy là một tính năng của hệ điều hành Microsoft Window. Tính năng này hỗ trợ quản trị viên kiểm soát môi trường làm việc của tài khoản người dùng và tài khoản máy tính. Trong group policy, bạn có thể thấy nhiều chính sách hữu ích như: ”Account Lockout Policy“

Đây là một chính sách cung cấp cho các quản trị viên thêm nhiều lựa chọn an toàn trước các cuộc tấn công đoán mật khẩu. Ngoài ra, bạn có thể xem “Password Policy”. Password Policy là một tập hợp các quy tắc được thiết kế để tăng cường bảo mật máy tính bằng cách khuyến khích người dùng sử dụng mật khẩu mạnh và sử dụng chúng đúng cách.

Khi bạn đã thu thập được tất cả dữ liệu cần thiết, bây giờ bạn có thể thực hiện các cuộc tấn công khác nhau vào người dùng như:

Brute Force Active Directory

Để tấn công brute force vào thư mục đang hoạt động, bạn có thể sử dụng Metasploit Framework:

msf > use auxiliary/scanner/smb/smb_login

Để lệnh được khởi chạy, bạn cần chuẩn bị 1 tệp lưu trữ thông tin username và 1 tệp thư viện các password thường dùng để làm thư viện cho công cụ hoạt động, sau đó bạn khai báo một địa chỉ IP đã được mở port SMB. Sau khi đã khai báo hoàn tất, sử dụng lệnh “run” để khởi chạy auxiliary

Nếu bạn thử mật khẩu sai nhiều hơn Account Lockout Policy, bạn có thể thấy thông báo này “Account Has Been Locked out”.
Nếu bạn thử tấn công vào tất cả các tài khoản trong domain, tất cả người dùng sẽ bị vô hiệu hóa và bạn có thể thấy sự rối loạn trong mạng.

Tất cả các hàm băm được lưu trữ trong một tệp có tên “NTDS.dit” ở vị trí này:

C:\Windows\NTDS

Bạn có thể trích xuất hàm băm từ tệp này bằng cách sử dụng công cụ mimikatz. Mimikatz có tính năng Directory Replication Service (DRS) để lấy các băm mật khẩu từ tệp NTDS.DIT. Để thao tác, bạn chỉ cần chạy lệnh:

mimikatz # lsadump::dcsync /domain:pentestlab.local /all /csv

Sau khi lệnh chạy xong, bạn có thể nhận được mã hashes và password của người dùng (nếu mimikatz tìm được mật khẩu đối xứng)

Active Directory bao gồm một số dịch vụ chạy trên máy chủ Windows như : user groups, applications, printers, và các tài nguyên khác.

Nó giúp quản trị viên máy chủ quản lý các thiết bị được kết nối với mạng và nó bao gồm một số dịch vụ như Domain, Certificate Services, Lightweight Directory Services, Directory Federation và quản lý.

Kểm tra xâm nhập Active directory được xem là bắt buộc đối với bất kỳ tổ chức nào vì hiện tại các nhóm APT đang chủ động nhắm mục tiêu các hệ thống Active directory bằng cách sử dụng các kỹ thuật khác nhau.