{"id":33708,"date":"2019-10-31T21:54:17","date_gmt":"2019-10-31T18:54:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena\/"},"modified":"2019-10-31T21:54:17","modified_gmt":"2019-10-31T18:54:17","slug":"uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","title":{"rendered":"Exchange-Schwachstelle: So entdecken Sie eine Erh\u00f6hung der Berechtigungen auf Dom\u00e4nenadministratorebene.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

In diesem Jahr entdeckte eine Schwachstelle in Exchange<\/a><\/noindex> erm\u00f6glicht es jedem Benutzer der Dom\u00e4ne, Administratorrechte f\u00fcr die Dom\u00e4ne zu erlangen und Active Directory (AD) sowie andere verbundene Hosts zu kompromittieren. Heute erkl\u00e4ren wir, wie dieser Angriff funktioniert und wie man ihn erkennt. <\/p>\n

\"Exchange-Schwachstelle:
\n<\/a><\/noindex>
\n So funktioniert dieser Angriff:<\/b><\/p>\n

    \n
  1. Der Angreifer erlangt Zugriff auf das Konto eines beliebigen Benutzers der Dom\u00e4ne mit aktivem Postfach, um sich f\u00fcr die Push-Benachrichtigungsfunktion von Exchange anzumelden.<\/li>\n
  2. Der Angreifer verwendet NTLM-Relay, um den Exchange-Server zu t\u00e4uschen: letztendlich verbindet sich der Exchange-Server mit dem Computer des kompromittierten Benutzers \u00fcber die Methode NTLM \u00fcber HTTP, die der Angreifer dann verwendet, um die Authentifizierung beim Dom\u00e4nencontroller \u00fcber LDAP mit den Exchange-Anmeldedaten durchzuf\u00fchren.<\/li>\n
  3. Letztendlich nutzt der Angreifer diese Berechtigungen des Exchange-Kontos, um seine Privilegien zu erh\u00f6hen. Dieser letzte Schritt kann auch von einem feindlich konfigurierten Administrator durchgef\u00fchrt werden, der bereits legitimen Zugang hat, um die erforderliche Berechtigungs\u00e4nderung vorzunehmen. Wenn Sie eine Regel zur Erkennung dieser Aktivit\u00e4t erstellen, sind Sie vor diesem und \u00e4hnlichen Angriffen gesch\u00fctzt.<\/li>\n<\/ol>\n

    \nAnschlie\u00dfend kann der Angreifer beispielsweise DCSync ausf\u00fchren, um die gehashten Passw\u00f6rter aller Benutzer der Dom\u00e4ne zu erhalten. Dies erm\u00f6glicht es ihm, verschiedene Arten von Angriffen durchzuf\u00fchren \u2013 von Goldticket-Angriffen bis zur Hash-\u00dcbertragung.<\/p>\n

    Das Forschungsteam von Varonis hat diesen Angriffsvektor eingehend untersucht und eine Anleitung f\u00fcr unsere Kunden erstellt, um ihn zu erkennen und gleichzeitig zu \u00fcberpr\u00fcfen, ob sie bereits kompromittiert wurden.<\/p>\n

    Erkennung von Privilegiensteigerungen in der Dom\u00e4ne<\/b><\/h2>\n

    \nIm DatAlert<\/a><\/noindex> Erstellen Sie eine benutzerdefinierte Regel zur \u00dcberwachung von \u00c4nderungen bestimmter Berechtigungen f\u00fcr Objekte. Sie wird ausgel\u00f6st, wenn Berechtigungen und Rechte f\u00fcr das betreffende Objekt in der Dom\u00e4ne hinzugef\u00fcgt werden:<\/p>\n

      \n
    1. Geben Sie den Namen der Regel an<\/li>\n
    2. Setzen Sie die Kategorie auf \u201ePrivilegiensteigerung\u201c <\/li>\n
    3. Legen Sie den Typ der Ressource auf \u201eAlle Ressourcentypen\u201c fest <\/li>\n
    4. Dateiserver = DirectoryServices <\/li>\n
    5. Geben Sie die Dom\u00e4ne an, die Sie interessiert, zum Beispiel nach Namen <\/li>\n
    6. F\u00fcgen Sie einen Filter f\u00fcr das Hinzuf\u00fcgen von Berechtigungen am AD-Objekt hinzu <\/li>\n
    7. Und vergessen Sie nicht, die Option \u201eSuche in untergeordneten Objekten\u201c deaktiviert zu lassen <\/li>\n<\/ol>\n

      \n\"Exchange-Schwachstelle:
      \n<\/p>\n

      Und jetzt der Bericht: Erkennung von Berechtigungs\u00e4nderungen am Dom\u00e4nenobjekt. <\/b><\/h2>\n

      \n\u00c4nderungen der Berechtigungen f\u00fcr AD-Objekte sind recht selten, daher sollte alles, was diese Warnung ausgel\u00f6st hat, untersucht werden. Es w\u00e4re auch ratsam, das Erscheinungsbild und den Inhalt des Berichts vor dem Einsatz der Regel zu testen.<\/p>\n

      Dieser Bericht zeigt auch, ob Sie bereits durch diesen Angriff kompromittiert wurden:<\/p>\n

      \"Exchange-Schwachstelle:
      \n
      \nNach der Aktivierung der Regel k\u00f6nnen alle anderen Ereignisse zur Erh\u00f6hung der Berechtigungen \u00fcber die DatAlert-Weboberfl\u00e4che untersucht werden:<\/p>\n

      \"Exchange-Schwachstelle:
      \n
      \nNach der Einrichtung dieser Regel k\u00f6nnen Sie diese und \u00e4hnliche Arten von Sicherheitsanf\u00e4lligkeiten \u00fcberwachen und sich dagegen sch\u00fctzen, Ereignisse mit AD-Datenbankobjekten untersuchen und \u00fcberpr\u00fcfen, ob Sie von dieser kritischen Sicherheitsanf\u00e4lligkeit betroffen sind.
      \n
      Quelle:       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c Active Directory (AD) \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0435 \u0445\u043e\u0441\u0442\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430 \u0438 \u043a\u0430\u043a \u0435\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c. \u0412\u043e\u0442 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430: \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0432\u043b\u0430\u0434\u0435\u0432\u0430\u0435\u0442 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u043c \u044f\u0449\u0438\u043a\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25390,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33708","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Exchange-Sicherheitsanf\u00e4lligkeit: So erkennen Sie eine Erh\u00f6hung der Berechtigungen zum Dom\u00e4nenadministrator | ProHoster","description":"Die in diesem Jahr entdeckte Sicherheitsanf\u00e4lligkeit in Exchange erm\u00f6glicht es jedem Benutzer der Dom\u00e4ne, zuzugreifen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Exchange: \u043a\u0430\u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0434\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 | ProHoster","og:description":"\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:54:17+00:00","article:modified_time":"2019-10-31T18:54:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33708","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 16:23:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 23:14:52","updated":"2026-01-21 16:23:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33708","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=33708"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/33708\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/25390"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=33708"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=33708"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=33708"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}