NTLM- रिले का पुनर्जन्म या 1 मिनट में डोमेन व्यवस्थापक कैसे बनें

यह पोस्ट tyts और tyts में शुरू किए गए शोध का एक तार्किक निरंतरता है।



पहली पोस्ट में, मैंने आधुनिक ऑपरेटिंग परिस्थितियों के संदर्भ में अच्छे पुराने एसएमबी रिले के बारे में लिखा था।

दूसरी पोस्ट SMB हाइजैकिंग नामक एक नई तकनीक पर छपी है जिसके साथ आप आउटगोइंग SMB सत्र कर्बरोस का उपयोग करने पर भी कोड निष्पादित कर सकते हैं।



इस बार हम एक और तकनीक के बारे में बात करेंगे, जो क्लासिक एनटीएलएम रिले पर आधारित है।



इसमें मौलिक रूप से नया कुछ भी नहीं है, यह एसएमबी रिले से केवल उस सेवा में भिन्न है जिसमें डेटा को पुनर्निर्देशित किया जाता है, लेकिन यह तकनीक अपने पूर्वज के प्रभाव के लिए अकल्पनीय रूप से बेहतर है।



जैसा कि आप याद करते हैं, एक डोमेन नेटवर्क में, नियंत्रक एसएमबी रिले से काफी सुरक्षित और प्रभावी तंत्र द्वारा सुरक्षित होता है जिसे एसएमबी साइनिंग कहा जाता है, इसलिए डीसी को तीसरे पक्ष के मेजबान के रूप में पुनर्निर्देशन संभव नहीं है। समस्या यह है कि सक्रिय निर्देशिका डोमेन की केंद्रीय प्रणालियों में से एक, जो बाहर की तरफ एलडीएपी सर्वर की तरह दिखता है, डिफ़ॉल्ट रूप से दूरस्थ नेटवर्क संचार के लिए अनिवार्य पैकेट साइनिंग की आवश्यकता नहीं है! इसे हल्के ढंग से रखने के लिए, यह सिस्टम में एक बिल्कुल स्पष्ट बैकडोर है, जो अज्ञात कारण से छोड़ दिया गया है। या तो यह जानबूझकर पिछड़ी संगतता के लिए किया गया था, या Microsoft कर्मचारियों ने फैसला किया कि चूंकि कोई काम नहीं कर रहे हैं, तो चिंता का कोई कारण नहीं है।



LDAP (सक्रिय निर्देशिका) पर NTLM रिले के संचालन के लिए उपकरणों की कमी भी पूरी तरह से स्पष्ट नहीं है। वेक्टर काफी स्पष्ट है, लेकिन यह बहुत खराब रूप से जलाया जाता है, शायद शोधकर्ता यह नहीं सोच सकते हैं कि डिफ़ॉल्ट कॉन्फ़िगरेशन में डोमेन नियंत्रक इतना खराब हो सकता है।



2012 में, एक ब्लैकहट सम्मेलन में, एक निश्चित जैक फासेल ने अपने टूल को ZackAttack नाम से प्रस्तुत किया। घोषित कार्यक्षमता के बीच सूचीबद्ध था और LDAP पर निर्भर करता है। एक क्रूड के बावजूद, लेकिन कभी-कभी काम करने वाला कार्यान्वयन, मेरे लिए व्यक्तिगत रूप से जैक की मुख्य योग्यता, टूल का निर्माण नहीं था, लेकिन सक्रिय निर्देशिका के साथ काम करते समय अनिवार्य पैकेज साइनिंग की कमी का उल्लेख था। इस विषय पर हाथ मिलाने से पहले काफी समय बीत चुका था, लेकिन ऐसा हुआ और हमले का एक कार्यान्‍वयन इंटरसेक्‍टर-एनजी में दिखाई दिया।



एक हमले के लिए एक एकल शर्त की आवश्यकता होती है: आपको यह जानना होगा कि वर्तमान डोमेन व्यवस्थापक किस कंप्यूटर पर काम कर रहा है। एक हमलावर को एक डोमेन का सदस्य होना भी जरूरी नहीं है, बस नेटवर्क से कनेक्ट करें। अन्य हमलों के मामले में, कार्यों को गति देने के लिए, इंटरसेप्टर की छद्म वेब सेवा के लिंक को हमलावर के ट्रैफ़िक में इंजेक्ट किया जाता है, जिसके लिए NTLM प्राधिकरण की आवश्यकता होगी। वेब-सर्फ के दौरान, हमलावर स्वचालित रूप से और स्पष्ट रूप से प्रमाणीकरण डेटा भेजेगा, जिसे फिर सक्रिय निर्देशिका में पुनः निर्देशित किया जाएगा। हमले के परिणामस्वरूप, डोमेन Admins अधिकारों के साथ एक नया उपयोगकर्ता बनाया जाएगा।



सर्वर ऑपरेटिंग सिस्टम विंडोज 2003 और 2008R2 पर हमले का सफलतापूर्वक परीक्षण किया गया था, लेकिन जैसा कि विंडोज 2012 पर भी काम करना चाहिए "डोमेन नियंत्रक: LDAP सर्वर हस्ताक्षर आवश्यकताओं" नीति समान रूप से डिफ़ॉल्ट रूप से कोई भी करने के लिए सेट है।







शरद ऋतु के लिए निर्धारित इंटरसेप्टर-एनजी के एक नए संस्करण की रिहाई के साथ हमले का स्वतंत्र रूप से परीक्षण करना संभव होगा।