Active Directory

Active Directory est un des éléments centraux d’un environnement Windows. Le site https://adsecurity.org/ est une référence à consulter. Cette page est un index

• Authentification
  • Kerberos
  • MsCacheV2
  • NTLM & NetNTLM
• Attaques
  • Kerberoasting
  • Pass the hash
  • Dump des hashs du domaine
  • SMB Relay
  • MS RPRN
• Divers
  • Group Policy Object
  • Just Enough Administration
  • WMI
  • LLMNR
  • Trust Relationships
  • Local Admin Password Solution
  • Read Only Domain Controllers
    • AdminSDHolder: objet AD qui contient les permissions à appliquer aux groupes administratifs. Si on supprime des permissions sur le groupe Domain Admins, une routine viendra les rétablir en se basant sur les permissions de l’objet AdminSDHolder. Ceci peut être utile pour faire une backdoor (voir ADSecurity)
    • Restricted RDP
  • Le groupe Backup Operators peut devenir administrateur du domaine (voir How could users in Backup Operators group escalate its privileges? et BadBackupOperator)

Ressources

Outils

• PingCastle: petit tool pour des audits AD.
• windapsearch: tool en python pour interagir avec l’Active Directory

Articles

• Attack Methods for Gaining Domain Admin Rights in Active Directory
• Red vs Blue Modern Active Directory Attacks Defense - Sean Metcalf
• Active Directory Kill Chain Attack & Defense: liste d’articles sur des problématiques liées à Active Directory.
• TR19: Fun with LDAP and Kerberos: Attacking AD from non-Windows machines: présentation de techniques d’exploitation AD à partir d’une machine Linux. (Voir slides)