🥇एक्सचेंज भेद्यता: डोमेन प्रशासक को विशेषाधिकारों के उन्नयन का पता कैसे लगाएं

इसी साल पता चला एक्सचेंज में भेद्यता किसी भी डोमेन उपयोगकर्ता को डोमेन प्रशासक अधिकार प्राप्त करने और सक्रिय निर्देशिका (एडी) और अन्य जुड़े होस्ट से समझौता करने की अनुमति देता है। आज हम आपको बताएंगे कि यह हमला कैसे काम करता है और इसका पता कैसे लगाया जाता है।

यहां बताया गया है कि यह हमला कैसे काम करता है:

एक्सचेंज से पुश अधिसूचना सुविधा की सदस्यता लेने के लिए एक हमलावर सक्रिय मेलबॉक्स वाले किसी भी डोमेन उपयोगकर्ता के खाते पर कब्जा कर लेता है
हमलावर एक्सचेंज सर्वर को चकमा देने के लिए एनटीएलएम रिले का उपयोग करता है: परिणामस्वरूप, एक्सचेंज सर्वर HTTP विधि पर एनटीएलएम का उपयोग करके समझौता किए गए उपयोगकर्ता के कंप्यूटर से जुड़ता है, जिसे हमलावर एक्सचेंज खाता क्रेडेंशियल के साथ एलडीएपी के माध्यम से डोमेन नियंत्रक को प्रमाणित करने के लिए उपयोग करता है।
हमलावर अपने विशेषाधिकारों को बढ़ाने के लिए इन एक्सचेंज खाता क्रेडेंशियल्स का उपयोग करता है। यह अंतिम चरण एक शत्रुतापूर्ण प्रशासक द्वारा भी किया जा सकता है जिसके पास आवश्यक अनुमति परिवर्तन करने के लिए पहले से ही वैध पहुंच है। इस गतिविधि का पता लगाने के लिए एक नियम बनाकर, आप इस और इसी तरह के हमलों से सुरक्षित रहेंगे।

इसके बाद, एक हमलावर, उदाहरण के लिए, डोमेन में सभी उपयोगकर्ताओं के हैशेड पासवर्ड प्राप्त करने के लिए DCSync चला सकता है। यह उसे विभिन्न प्रकार के हमलों को लागू करने की अनुमति देगा - गोल्डन टिकट हमलों से लेकर हैश ट्रांसमिशन तक।

वरोनिस अनुसंधान टीम ने इस हमले के वेक्टर का विस्तार से अध्ययन किया है और हमारे ग्राहकों के लिए इसका पता लगाने के लिए एक गाइड तैयार किया है और साथ ही यह भी जांचा है कि क्या उनके साथ पहले ही समझौता किया जा चुका है।

डोमेन विशेषाधिकार उन्नयन का पता लगाना

В डेटाअलर्ट किसी ऑब्जेक्ट पर विशिष्ट अनुमतियों में परिवर्तनों को ट्रैक करने के लिए एक कस्टम नियम बनाएं। डोमेन में रुचि की वस्तु में अधिकार और अनुमतियाँ जोड़ते समय इसे ट्रिगर किया जाएगा:

नियम का नाम निर्दिष्ट करें
श्रेणी को "विशेषाधिकार का उन्नयन" पर सेट करें
संसाधन प्रकार को "सभी संसाधन प्रकार" पर सेट करें
फ़ाइल सर्वर = निर्देशिका सेवाएँ
जिस डोमेन में आपकी रुचि है उसे निर्दिष्ट करें, उदाहरण के लिए, नाम से
किसी AD ऑब्जेक्ट पर अनुमतियाँ जोड़ने के लिए एक फ़िल्टर जोड़ें
और "चाइल्ड ऑब्जेक्ट्स में खोजें" विकल्प को अचयनित छोड़ना न भूलें।

और अब रिपोर्ट: किसी डोमेन ऑब्जेक्ट के अधिकारों में परिवर्तन का पता लगाना

AD ऑब्जेक्ट अनुमतियों में परिवर्तन काफी दुर्लभ हैं, इसलिए इस चेतावनी को ट्रिगर करने वाली किसी भी चीज़ की जांच की जानी चाहिए। नियम को युद्ध में उतारने से पहले रिपोर्ट की उपस्थिति और सामग्री का परीक्षण करना भी एक अच्छा विचार होगा।

यह रिपोर्ट यह भी दिखाएगी कि क्या आप पहले ही इस हमले से प्रभावित हो चुके हैं:

एक बार नियम सक्रिय हो जाने पर, आप डेटाअलर्ट वेब इंटरफ़ेस का उपयोग करके अन्य सभी विशेषाधिकार वृद्धि घटनाओं की जांच कर सकते हैं:

एक बार जब आप इस नियम को कॉन्फ़िगर कर लेते हैं, तो आप इन और समान प्रकार की सुरक्षा कमजोरियों की निगरानी और सुरक्षा कर सकते हैं, एडी निर्देशिका सेवाओं ऑब्जेक्ट के साथ घटनाओं की जांच कर सकते हैं और निर्धारित कर सकते हैं कि क्या आप इस महत्वपूर्ण भेद्यता के प्रति संवेदनशील हैं।

स्रोत: www.habr.com

एक्सचेंज भेद्यता: डोमेन प्रशासक को विशेषाधिकार में वृद्धि का पता कैसे लगाएं

डोमेन विशेषाधिकार उन्नयन का पता लगाना

और अब रिपोर्ट: किसी डोमेन ऑब्जेक्ट के अधिकारों में परिवर्तन का पता लगाना

एक टिप्पणी जोड़ें उत्तर रद्द