{"id":33708,"date":"2019-10-31T21:54:17","date_gmt":"2019-10-31T18:54:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena\/"},"modified":"2019-10-31T21:54:17","modified_gmt":"2019-10-31T18:54:17","slug":"uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","title":{"rendered":"Exchange-Sicherheitsanf\u00e4lligkeit: So erkennen Sie das Anheben von Berechtigungen auf Administratorrechte im Domainnetzwerk.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In diesem Jahr entdeckte eine Schwachstelle in Exchange<\/a><\/noindex> die es jedem Benutzer der Dom\u00e4ne erm\u00f6glicht, Administratorrechte zu erhalten und Active Directory (AD) sowie andere verbundene Hosts zu kompromittieren. Heute erkl\u00e4ren wir, wie dieser Angriff funktioniert und wie man ihn erkennen kann. <\/p>\n

\"Exchange-Sicherheitsanf\u00e4lligkeit:
\n<\/a><\/noindex>
\n So funktioniert dieser Angriff:<\/b><\/p>\n

    \n
  1. Der Angreifer \u00fcbernimmt das Konto eines beliebigen Dom\u00e4nenbenutzers mit aktivem Postfach, um sich f\u00fcr die Push-Benachrichtigungsfunktion von Exchange anzumelden.<\/li>\n
  2. Der Angreifer nutzt NTLM-Relay, um den Exchange-Server zu t\u00e4uschen: Infolgedessen verbindet sich der Exchange-Server mit dem Computer des kompromittierten Benutzers \u00fcber die Methode NTLM \u00fcber HTTP, die der Angreifer dann verwendet, um den Authentifizierungsprozess am Dom\u00e4nencontroller \u00fcber LDAP mit den Exchange-Benutzerdaten zu durchlaufen.<\/li>\n
  3. Am Ende nutzt der Angreifer diese Exchange-Konto-Berechtigungen, um seine Privilegien zu erh\u00f6hen. Dieser letzte Schritt kann auch von einem feindlich konfigurierten Administrator durchgef\u00fchrt werden, der bereits legitimen Zugang hat, um die erforderliche Berechtigungs\u00e4nderung vorzunehmen. Mit der Erstellung einer Regel zur Erkennung dieser Aktivit\u00e4t sind Sie vor solchen und \u00e4hnlichen Angriffen gesch\u00fctzt.<\/li>\n<\/ol>\n

    \nDanach kann der Angreifer beispielsweise DCSync ausf\u00fchren, um die gehashten Passw\u00f6rter aller Dom\u00e4nenbenutzer zu erhalten. Dies erm\u00f6glicht ihm die Durchf\u00fchrung verschiedener Angriffsarten \u2013 von Golden Ticket-Angriffen bis hin zur \u00dcbertragung von Hashes.<\/p>\n

    Das Forschungsteam von Varonis hat diesen Angriffvektor gr\u00fcndlich untersucht und ein Handbuch f\u00fcr unsere Kunden erstellt, um deren Erkennung zu erleichtern und zu pr\u00fcfen, ob sie bereits kompromittiert wurden.<\/p>\n

    Erkennung von Privilegiensteigerungen in der Dom\u00e4ne<\/b><\/h2>\n

    \nIn DatAlert<\/a><\/noindex> Erstellen Sie eine benutzerdefinierte Regel zur Verfolgung von \u00c4nderungen bestimmter Berechtigungen eines Objekts. Diese wird ausgel\u00f6st, wenn Berechtigungen und Rechte f\u00fcr das relevante Objekt in der Dom\u00e4ne hinzugef\u00fcgt werden:<\/p>\n

      \n
    1. Geben Sie den Namen der Regel an<\/li>\n
    2. Setzen Sie die Kategorie auf \u201ePrivilegiensteigerung\u201c <\/li>\n
    3. Legen Sie einen Wert f\u00fcr den Ressourcentyp \u201eAlle Ressourcentypen\u201c fest. <\/li>\n
    4. Dateiserver = Verzeichnisdienste <\/li>\n
    5. Geben Sie die gew\u00fcnschte Domain an, zum Beispiel nach Name. <\/li>\n
    6. F\u00fcgen Sie einen Filter zum Hinzuf\u00fcgen von Berechtigungen am AD-Objekt hinzu. <\/li>\n
    7. Und vergessen Sie nicht, die Option \u201eIn untergeordneten Objekten suchen\u201c unbehandelt zu lassen. <\/li>\n<\/ol>\n

      \n\"Exchange-Sicherheitsanf\u00e4lligkeit:
      \n<\/p>\n

      Jetzt der Bericht: Entdeckung der \u00c4nderungen der Berechtigungen auf dem Domainobjekt. <\/b><\/h2>\n

      \n\u00c4nderungen der Berechtigungen am AD-Objekt sind recht selten, daher sollte alles, was diese Warnung ausgel\u00f6st hat, untersucht werden. Es w\u00e4re auch ratsam, das Erscheinungsbild und den Inhalt des Berichts vor der Anwendung der Regel zu testen.<\/p>\n

      Dieser Bericht zeigt auch, ob Sie bereits von diesem Angriff betroffen waren:<\/p>\n

      \"Exchange-Sicherheitsanf\u00e4lligkeit:
      \n
      \nNach der Aktivierung der Regel k\u00f6nnen alle anderen Ereignisse zur Erh\u00f6hung der Berechtigungen \u00fcber die DatAlert-Weboberfl\u00e4che untersucht werden:<\/p>\n

      \"Exchange-Sicherheitsanf\u00e4lligkeit:
      \n
      \nNach der Konfiguration dieser Regel k\u00f6nnen Sie diese und \u00e4hnliche Arten von Sicherheitsanf\u00e4lligkeiten \u00fcberwachen und sich sch\u00fctzen, Ereignisse mit AD-Verzeichnisdienstobjekten untersuchen und \u00fcberpr\u00fcfen, ob Sie von dieser kritischen Anf\u00e4lligkeit betroffen sind.
      \n
      Quelle:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c Active Directory (AD) \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0435 \u0445\u043e\u0441\u0442\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430 \u0438 \u043a\u0430\u043a \u0435\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c. \u0412\u043e\u0442 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430: \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0432\u043b\u0430\u0434\u0435\u0432\u0430\u0435\u0442 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u043c \u044f\u0449\u0438\u043a\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25390,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33708","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Exchange-Schwachstelle: So erkennen Sie die Erh\u00f6hung der Berechtigungen auf Dom\u00e4nenadministrator | ProHoster","description":"Die in diesem Jahr entdeckte Schwachstelle in Exchange erm\u00f6glicht es jedem Benutzer der Dom\u00e4ne, Administratorrechte zu erlangen und Active Directory (AD) sowie andere angeschlossene Hosts zu kompromittieren. Heute erkl\u00e4ren wir, wie dieser Angriff funktioniert und wie man ihn erkennt. So funktioniert dieser Angriff: Ein Angreifer erlangt Zugang zum Konto eines beliebigen Dom\u00e4nenbenutzers mit aktivem Postfach, um sich f\u00fcr die Funktion anzumelden.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Exchange: \u043a\u0430\u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0434\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 | ProHoster","og:description":"\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c Active Directory (AD) \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0435 \u0445\u043e\u0441\u0442\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430 \u0438 \u043a\u0430\u043a \u0435\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c. \u0412\u043e\u0442 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430: \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0432\u043b\u0430\u0434\u0435\u0432\u0430\u0435\u0442 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u043c \u044f\u0449\u0438\u043a\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:54:17+00:00","article:modified_time":"2019-10-31T18:54:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33708","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 16:23:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 23:14:52","updated":"2026-01-21 16:23:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33708","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=33708"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33708\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/25390"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=33708"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=33708"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=33708"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}