{"id":33708,"date":"2019-10-31T21:54:17","date_gmt":"2019-10-31T18:54:17","guid":{"rendered":"https:\/\/prohoster.info\/blog\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena\/"},"modified":"2019-10-31T21:54:17","modified_gmt":"2019-10-31T18:54:17","slug":"uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","title":{"rendered":"Vuln\u00e9rabilit\u00e9 d'Exchange : comment d\u00e9tecter une \u00e9l\u00e9vation de privil\u00e8ges vers administrateur de domaine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La vuln\u00e9rabilit\u00e9 d\u00e9tect\u00e9e cette ann\u00e9e dans Exchange<\/a><\/noindex> permet \u00e0 tout utilisateur de domaine d'obtenir des droits d'administrateur de domaine et de compromettre Active Directory (AD) et d'autres h\u00f4tes connect\u00e9s. Aujourd'hui, nous allons expliquer comment cette attaque fonctionne et comment la d\u00e9tecter. <\/p>\n

\"Vuln\u00e9rabilit\u00e9
\n<\/a><\/noindex>
\n Voici comment cette attaque fonctionne :<\/b><\/p>\n

    \n
  1. L'attaquant prend le contr\u00f4le du compte de tout utilisateur de domaine ayant une bo\u00eete mail active pour s'abonner \u00e0 la fonction de notifications push d'Exchange.<\/li>\n
  2. L'attaquant utilise un relais NTLM pour tromper le serveur Exchange : finalement, le serveur Exchange se connecte \u00e0 l'ordinateur de l'utilisateur compromis en utilisant la m\u00e9thode NTLM over HTTP, que l'attaquant utilise ensuite pour passer par la proc\u00e9dure d'authentification sur le contr\u00f4leur de domaine via LDAP avec les informations d'identification du compte Exchange.<\/li>\n
  3. En cons\u00e9quence, l'attaquant utilise ces privil\u00e8ges du compte Exchange pour \u00e9lever ses droits. Cette derni\u00e8re \u00e9tape peut \u00e9galement \u00eatre r\u00e9alis\u00e9e par un administrateur malveillant, qui a d\u00e9j\u00e0 un acc\u00e8s l\u00e9gitime, pour apporter la modification n\u00e9cessaire des droits. En cr\u00e9ant une r\u00e8gle de d\u00e9tection de cette activit\u00e9, vous serez prot\u00e9g\u00e9 contre cette attaque et d'autres similaires.<\/li>\n<\/ol>\n

    \nPar la suite, l'attaquant peut par exemple lancer DCSync pour obtenir les mots de passe hach\u00e9s de tous les utilisateurs du domaine. Cela lui permettra de r\u00e9aliser diff\u00e9rents types d'attaques \u2014 des attaques de type golden ticket \u00e0 la transmission de hachages.<\/p>\n

    L'\u00e9quipe de recherche de Varonis a \u00e9tudi\u00e9 en d\u00e9tail ce vecteur d'attaque et a pr\u00e9par\u00e9 un guide pour nos clients pour le d\u00e9tecter et v\u00e9rifier s'ils ont d\u00e9j\u00e0 \u00e9t\u00e9 compromis.<\/p>\n

    D\u00e9tection d'une \u00e9l\u00e9vation de privil\u00e8ges dans le domaine<\/b><\/h2>\n

    \nDans DatAlert<\/a><\/noindex> cr\u00e9ez une r\u00e8gle personnalis\u00e9e pour suivre les modifications de certains droits sur un objet. Elle se d\u00e9clenchera lors de l'ajout de droits et de permissions sur un objet d'int\u00e9r\u00eat dans le domaine :<\/p>\n

      \n
    1. Indiquez le nom de la r\u00e8gle<\/li>\n
    2. D\u00e9finissez la cat\u00e9gorie comme \u00ab \u00c9l\u00e9vation de privil\u00e8ges \u00bb <\/li>\n
    3. D\u00e9finissez la valeur pour le type de ressources comme \u00ab Tous les types de ressources \u00bb <\/li>\n
    4. Serveur de fichiers = DirectoryServices <\/li>\n
    5. D\u00e9finissez le domaine qui vous int\u00e9resse, par exemple, par son nom <\/li>\n
    6. Ajoutez un filtre pour l'ajout de permissions sur l'objet AD <\/li>\n
    7. Et n'oubliez pas de laisser d\u00e9s\u00e9lectionn\u00e9e l'option \u00ab Rechercher dans les objets enfants \u00bb <\/li>\n<\/ol>\n

      \n\"Vuln\u00e9rabilit\u00e9
      \n<\/p>\n

      Et maintenant, le rapport : d\u00e9tection de la modification des droits sur l'objet du domaine <\/b><\/h2>\n

      \nLes modifications des autorisations sur un objet AD sont des ph\u00e9nom\u00e8nes assez rares, donc tout ce qui a d\u00e9clench\u00e9 cet avertissement doit \u00eatre examin\u00e9 de pr\u00e8s. Il serait \u00e9galement utile de tester l'apparence et le contenu du rapport avant de d\u00e9ployer la r\u00e8gle.<\/p>\n

      Ce rapport montrera \u00e9galement si vous avez d\u00e9j\u00e0 \u00e9t\u00e9 compromis par cette attaque :<\/p>\n

      \"Vuln\u00e9rabilit\u00e9
      \n
      \nApr\u00e8s l'activation de la r\u00e8gle, vous pourrez enqu\u00eater sur tous les autres \u00e9v\u00e9nements d'\u00e9l\u00e9vation de privil\u00e8ges en utilisant l'interface Web de DatAlert :<\/p>\n

      \"Vuln\u00e9rabilit\u00e9
      \n
      \nUne fois cette r\u00e8gle configur\u00e9e, vous pourrez surveiller et vous d\u00e9fendre contre ces types de vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 et similaires, enqu\u00eater sur les \u00e9v\u00e9nements li\u00e9s aux objets des services d'annuaire AD et v\u00e9rifier si vous \u00eates vuln\u00e9rable \u00e0 cette faille critique.
      \n
      Source :       habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

      \u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c \u043f\u0440\u0430\u0432\u0430 \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 \u0438 \u0441\u043a\u043e\u043c\u043f\u0440\u043e\u043c\u0435\u0442\u0438\u0440\u043e\u0432\u0430\u0442\u044c Active Directory (AD) \u0438 \u0434\u0440\u0443\u0433\u0438\u0435 \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u043d\u044b\u0435 \u0445\u043e\u0441\u0442\u044b. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430 \u0438 \u043a\u0430\u043a \u0435\u0435 \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c. \u0412\u043e\u0442 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u0435\u0442 \u044d\u0442\u0430 \u0430\u0442\u0430\u043a\u0430: \u0417\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u0437\u0430\u0432\u043b\u0430\u0434\u0435\u0432\u0430\u0435\u0442 \u0443\u0447\u0435\u0442\u043d\u043e\u0439 \u0437\u0430\u043f\u0438\u0441\u044c\u044e \u043b\u044e\u0431\u043e\u0433\u043e \u0434\u043e\u043c\u0435\u043d\u043d\u043e\u0433\u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f \u0441 \u0430\u043a\u0442\u0438\u0432\u043d\u044b\u043c \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u043c \u044f\u0449\u0438\u043a\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043f\u043e\u0434\u043f\u0438\u0441\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":25390,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-33708","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Vuln\u00e9rabilit\u00e9 Exchange : comment d\u00e9tecter l'\u00e9l\u00e9vation de privil\u00e8ges au statut d'administrateur de domaine | ProHoster","description":"La vuln\u00e9rabilit\u00e9 d\u00e9couverte cette ann\u00e9e dans Exchange permet \u00e0 tout utilisateur de domaine d'acc\u00e9der.","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0423\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c Exchange: \u043a\u0430\u043a \u043e\u0431\u043d\u0430\u0440\u0443\u0436\u0438\u0442\u044c \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0438\u043b\u0435\u0433\u0438\u0439 \u0434\u043e \u0430\u0434\u043c\u0438\u043d\u0438\u0441\u0442\u0440\u0430\u0442\u043e\u0440\u0430 \u0434\u043e\u043c\u0435\u043d\u0430 | ProHoster","og:description":"\u041e\u0431\u043d\u0430\u0440\u0443\u0436\u0435\u043d\u043d\u0430\u044f \u0432 \u044d\u0442\u043e\u043c \u0433\u043e\u0434\u0443 \u0443\u044f\u0437\u0432\u0438\u043c\u043e\u0441\u0442\u044c \u0432 Exchange \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u043b\u044e\u0431\u043e\u043c\u0443 \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044e \u0434\u043e\u043c\u0435\u043d\u0430 \u043f\u043e\u043b\u0443\u0447\u0438\u0442\u044c.","og:url":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/uyazvimost-exchange-kak-obnaruzhit-povyshenie-privilegij-do-administratora-domena","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T18:54:17+00:00","article:modified_time":"2019-10-31T18:54:17+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"33708","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-21 16:23:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 23:14:52","updated":"2026-01-21 16:23:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/33708","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=33708"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/33708\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/25390"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=33708"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=33708"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=33708"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}