他のシステムへの移動

概要

ARPキャッシュ・ログ調査,ネットワークブラウジング,ターゲットスキャン等を行う
他のシステムへ侵入するための認証情報を取得
暗号化されたパスワードをツールで復号化

使うポート
22(SSH)
135(RPC/DCOM)
445(MB: Server Message Block)
3389(RDP: Remote Desktop Protocol)
5985/5986(WinRM: Windows Remote Management, PowerShell Remoting)

SSO(シングルサインオン)でメモリ上に保存されたハッシュ値を利用

ツールで現在侵入しているユーザーの認証情報一覧を取得

同じネットワーク内の他のシステムに侵入する際に認証情報が求められることはほとんどない
ネットワークはセグメント化して、分けられておらず、簡単に移動できるケースが多い

最小権限の原則になっていないケースがほとんど
管理者の認証情報をハードニング設定が施された管理業務専用の端末でのみ入力しているケースが多い
管理者の認証情報が通常の用途で使われたのかそうでないのか区別しやすくしていないケースが多い

対話型接続はシステム上にいる攻撃者に認証情報を晒す

ツール

特権ユーザーの認証情報を奪取
BloodHound:
  BloodHound is a single page Javascript web application,
  built on top of Linkurious,
  compiled with Electron,
  with a Neo4j database fed by a C# data collector.

  BloodHound uses graph theory to reveal the hidden and often unintended relationships within an Active Directory or Azure environment.
  Attackers can use BloodHound to easily identify highly complex attack paths that would otherwise be impossible to quickly identify.
  Defenders can use BloodHound to identify and eliminate those same attack paths.
  Both blue and red teams can use BloodHound to easily gain a deeper understanding of privilege relationships in an Active Directory or Azure environment.

DeathStar:
  DeathStar is a Python script that uses Empire's RESTful API to automate gaining Domain and/or Enterprise Admin rights in Active Directory environments using some of the most common offensive TTPs.