PKINIT

https://ethicalchaos.dev/2020/10/04/attacking-smart-card-based-active-directory-networks/

😈 [ Steph @w34kp455 ]

Call it the biggest #NTLM #password database or monstrous #MD5 leak, but on, you can find precomputed datasets for various wordlists and different hashes - all free!
FYI: all_in_one.latin.txt for NTLM contains 26.5 billion pairs of hash:password inside!🔥

🔗 http://weakpass.com

🐥 [ tweet ]

🔧 How SSH Secures Your Connection - занятный материал о том, какие меры безопасности реализованы в SSH для организации защищённого доступа в процессе подключения и работы...

https://noratrieb.dev/blog/posts/ssh-security/

#ssh #security #напочитать

CVE-2024-46538
*
PfSense Stored XSS lead to RCE
*
POC exploit

😈 [ Bnb @HulkOperator ]

I'm thrilled to share my latest project: AuthStager. This is a proof-of-concept tool that generates a shellcode stager with authentication.
Shout out to @MalDevAcademy, which is hands down the best resource to learn maldev.

Blog:
🔗 https://hulkops.gitbook.io/blog/red-team/stage-but-verify

Code:
🔗 https://github.com/HulkOperator/AuthStager

🐥 [ tweet ]

😈 [ MalDev Academy @MalDevAcademy ]

Embed an encrypted payload within a PNG file across multiple sections.

🔗 https://github.com/Maldev-Academy/EmbedPayloadInPng

🐥 [ tweet ]

Может кому пригодиться https://app.wgen.io/ сервис для генерации словарей для брута

Продолжим тему интересных вопросов с собесов, которые когда-то не вошли в подкаст :)) Думаю, все знают про MachineAccountQuota — количество компьютерных УЗ, которые могут добавлять пользователи в домен. Дефолтное значение 10. Однако, как этим злоупотреблять? В основном все вспоминают следующие основные кейсы:
- NTLM Relay / иной функционал абуза , для эксплуатации которого требуется компьютерная учетная запись, например, настройка RBCD
- Небезопасные ACL компьютерных учетных записей домена

Впрочем, есть еще один интересный вектор, который связан с SCCM и NAA (Network Access Accounts). Это специальные аккаунты, которые предоставляются SCCMом для того, чтобы клиент мог получить доступ к Distribution Point для загрузки необходимых файлов. Учетные данные от NAA в большинстве своем пушатся абсолютно на все компьютеры, управляемые SCCMом.

Если вдруг у передаваемой учетки недостаточно порезаны права, то у нас появляется вектор повышения привилегий :)

Итак, кейс первый. MAQ > 0 (или мы хакнули компьютерную УЗ). В таком случае берем инструмент sccmhunter и запускаем его следующим образом:

python sccmhunter.py http -auto -u pentest -p lolkekcheb123! -d abc.ru -dc-ip 192.168.0.1

Ключ -auto автоматически создаст УЗ. Можно указать уже существующую через -cp , -cn.

Однако, что если MAQ = 0? В таком случае мы можем осуществить ретрансляцию существующих кред любой машинной УЗ на SCCM и извлечь NAA-креды. Для этого берем форк , запускаем:

python3 ntlmrelayx.py -t http://sccm.sccmlab.local/ccm_system_windowsauth/request --sccm --sccm-device test12345 --sccm-fqdn sccm.sccmlab.local --sccm-sleep 10 -smb2support

-t <- Site Server, на который релеим
—sccm-device <- произвольное имя, которое появится в админке SCCM. Это имя как бы добавляемого устройства
—sccm-sleep <- таймаут, в течение которого ждать получения политики

Далее триггерим любым удобным способом любой компьютер. ntlmrelayx сдампит для нас любезно файл naapolicy.xml с учетными данными от NAA-аккаунта, которые можно расшифровать так, как показано в блоге.

Последнее время на ИБ конфах самые популярные темы: осинт, социалка и выгорание. Постараюсь быть в тренде и расскажу о разведке внутри инфры.
1. Часто бывает только одна непривилегированная УЗ , но очень хочется использовать её по полной. Как правило, всем учетным записям в домене разрешено ходить по RDP на терминальный сервер, но как найти терминальные серверы?
Для того что бы на Windows Server по RDP могло ходить много пользователей необходимо приобрести лицензию у Microsoft для создания терминального сервера. Данное действие оставляет следы, их и будем искать. Машинные учетные записи терминальных серверов состоят в группе Terminal Server License Servers достаточно найти их всех и попробовать сходить по RDP. Для поиска можно использовать ldapdomaindump или сделать ldap запрос:

go-windapsearch/windapsearch -d domain.local -u user -p 'P@ssw0rd' -m custom --filter="(&(objectClass=computer)(memberOf=CN=Terminal Server License Servers,CN=Users,CN=Builtin,DC=domain,DC=local))" --attrs dNSHostName

Ну или команда qappsrv [/domain:office.local]
2. Тоже самое с серверами MSSQL в сети, очень часто видел как группа domain users имеет право авторизоваться. Да, дальше прав на доступ к данным нет, но зачем они нам, когда есть MSSQL links, Impersonate privs, xp_dirtree, dbowner, etc...
Для того что бы найти много MSSQL, в том числе не на стандартных портах, можно использовать ldap запрос:

go-windapsearch/windapsearch -d domain.local -u user -p 'P@ssw0rd' -m custom --filter="(&(objectClass=computer)(servicePrincipalName=*MSSQLSvc/*))" --attrs dNSHostName,servicePrincipalName

На скриншоте приведен пример, как можно найти mssql на нестандартных портах.
3. Какой ваш любимый C2? Cobalt, Havoc, может всеми любимый sliver? Лично мой самый любимый - Kaspersky Security Center (KSC). Очень часто он любезно предустановлен в инфраструктуре и готов к работе, сразу подключено много агентов и уже собрано много информации. Кстати, если не можете найти в инфре KSC, то просто зайдите на любой хост и ПКМ по значку в трее покажет где KSC. Раньше для поиска нужного пользователя в домене я использовал скрипт Invoke-UserHunter, но очень часто корректная сегментация сети не позволит вам со своей машины дотянуться до нужных сегментов. Поэтому хорошая идея использовать встроенный поиск в KSC, ПКМ по Сервер администрирования -> Найти -> Вкладка "Пользователи" и ищем на каких машинах был залогинен нужный пользователь.