حمله ADCS در اکتیو دایرکتوری
بسطی بر این نوع حملات پس از ۴ سال از ابداع
در حملات ADCS، مهاجم به واسطه ضعف‌های پیکربندی در سرویس صدور گواهینامه (مثل اعطای بیش از حد دسترسی به Enroll یا گزینه ENROLLEE_SUPPLIES_SUBJECT) می‌تواند گواهینامه معتبری اخذ کند که اعتبار Kerberos TGT یا حساب با امتیاز بالا (مثلاً Domain Admin) را شبیه‌سازی می‌کند؛ این یعنی مهاجم با استفاده از ابزارهایی همچون Certify، بدون نیاز به استخراج یا هش‌کردن پسورد، هویت معتبر در کل دامنه به دست می‌آورد. این گواهینامه‌ها عمدتاً کاملاً قانونی به نظر می‌رسند، چون در بستر رسمی AD صادر می‌شوند و اِکسپلویت آن معمولاً هیچ ردپایی از حملات کلاسیک چون mimikatz (dump LSASS) یا Golden Ticket در مموری باقی نمی‌گذارد.
در نتیجه تشخیص چنین حملاتی بسیار دشوارتر است، چون لاگ‌های صدور گواهینامه و عملکردهای PKI به سادگی و توسط بسیاری از SIEMها جمع‌آوری و تحلیل نمی‌شود. این حمله کاملاً زیر رادار بسیاری از مکانیزم‌های مانیتورینگ قرار می‌گیرد، بر خلاف حملات Pass-the-Hash، Pass-the-Ticket یا حتی DCSync که عمدتاً ردپای قابل شناسایی در لاگ‌های AD و Event Log دارند.
https://dfir.ch/posts/tear_down_castle_part_one/#1-adcs-active-directory-certificate-services
#آکادمی_روزبه
مرکز تخصصی CISSP
بسطی بر این نوع حملات پس از ۴ سال از ابداع
در حملات ADCS، مهاجم به واسطه ضعف‌های پیکربندی در سرویس صدور گواهینامه (مثل اعطای بیش از حد دسترسی به Enroll یا گزینه ENROLLEE_SUPPLIES_SUBJECT) می‌تواند گواهینامه معتبری اخذ کند که اعتبار Kerberos TGT یا حساب با امتیاز بالا (مثلاً Domain Admin) را شبیه‌سازی می‌کند؛ این یعنی مهاجم با استفاده از ابزارهایی همچون Certify، بدون نیاز به استخراج یا هش‌کردن پسورد، هویت معتبر در کل دامنه به دست می‌آورد. این گواهینامه‌ها عمدتاً کاملاً قانونی به نظر می‌رسند، چون در بستر رسمی AD صادر می‌شوند و اِکسپلویت آن معمولاً هیچ ردپایی از حملات کلاسیک چون mimikatz (dump LSASS) یا Golden Ticket در مموری باقی نمی‌گذارد.
در نتیجه تشخیص چنین حملاتی بسیار دشوارتر است، چون لاگ‌های صدور گواهینامه و عملکردهای PKI به سادگی و توسط بسیاری از SIEMها جمع‌آوری و تحلیل نمی‌شود. این حمله کاملاً زیر رادار بسیاری از مکانیزم‌های مانیتورینگ قرار می‌گیرد، بر خلاف حملات Pass-the-Hash، Pass-the-Ticket یا حتی DCSync که عمدتاً ردپای قابل شناسایی در لاگ‌های AD و Event Log دارند.
https://dfir.ch/posts/tear_down_castle_part_one/#1-adcs-active-directory-certificate-services
#آکادمی_روزبه
مرکز تخصصی CISSP
Comments
Be the first to add a comment
Log in to comment