{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Az Active Directory adatv\u00e9delmi probl\u00e9m\u00e1ja","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Az
\n
\nPenetr\u00e1ci\u00f3s tesztekkel foglalkoztam a k\u00f6vetkez\u0151kkel: PowerView<\/a><\/noindex> \u00e9s haszn\u00e1ltam az Active Directory (tov\u00e1bbiakban: AD) felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3inak kinyer\u00e9s\u00e9re. Abban az id\u0151ben a biztons\u00e1gi csoporttags\u00e1gra vonatkoz\u00f3 inform\u00e1ci\u00f3k begy\u0171jt\u00e9s\u00e9re \u00f6sszpontos\u00edtottam, majd ezt az inform\u00e1ci\u00f3t felhaszn\u00e1lva navig\u00e1ltam a h\u00e1l\u00f3zaton. Mindenesetre az AD bizalmas adatokat tartalmaz a munkav\u00e1llal\u00f3kr\u00f3l, amelyeket egyes esetekben nem szabadna mindenkinek el\u00e9rnie a szervezetben. Val\u00f3j\u00e1ban a Windows f\u00e1jlrendszerekben l\u00e9tezik egy megfelel\u0151 \u00bbEveryone\u00ab<\/a><\/noindex>, amelyet bels\u0151 \u00e9s k\u00fcls\u0151 t\u00e1mad\u00f3k egyar\u00e1nt felhaszn\u00e1lhatnak.<\/p>\n

De miel\u0151tt a mag\u00e1n\u00e9let probl\u00e9m\u00e1ir\u00f3l \u00e9s a megold\u00e1sokr\u00f3l besz\u00e9ln\u00e9nk, n\u00e9zz\u00fck meg az AD-ban t\u00e1rolt adatokat.
\n<\/a><\/noindex><\/p>\n

Az Active Directory olyan, mint a v\u00e1llalati Facebook <\/h2>\n

\nDe ebben az esetben m\u00e1r mindenkivel bar\u00e1tkozott! Lehet, hogy nem tudja koll\u00e9g\u00e1i kedvenc filmjeir\u0151l, k\u00f6nyveir\u0151l \u00e9s \u00e9ttermeir\u0151l, de az AD \u00e9rz\u00e9keny kapcsolattart\u00e1si
\nadatokat \u00e9s m\u00e1s olyan mez\u0151ket tartalmaz, amelyeket hackerek \u00e9s ak\u00e1r insider t\u00e1mad\u00f3k is felhaszn\u00e1lhatnak k\u00fcl\u00f6n\u00f6sebb technikai k\u00e9szs\u00e9gek n\u00e9lk\u00fcl.<\/p>\n

A rendszergazd\u00e1k term\u00e9szetesen ismerik az al\u00e1bbi k\u00e9perny\u0151k\u00e9pet. Ez az Active Directory Felhaszn\u00e1l\u00f3k \u00e9s Sz\u00e1m\u00edt\u00f3g\u00e9pek (ADUC) fel\u00fclete, ahol be\u00e1ll\u00edtj\u00e1k \u00e9s m\u00f3dos\u00edtj\u00e1k a felhaszn\u00e1l\u00f3i inform\u00e1ci\u00f3kat, valamint hozz\u00e1rendelik a felhaszn\u00e1l\u00f3kat a megfelel\u0151 csoportokhoz.<\/p>\n

\"Az
\n
\nAz AD tartalmaz munkav\u00e1llal\u00f3i neveket, c\u00edmeket \u00e9s telefonsz\u00e1mokat, ez\u00e9rt hasonl\u00edt egy telefonk\u00f6nyvre. De sokkal t\u00f6bb van ott! M\u00e1s f\u00fcl\u00f6k\u00f6n e-mail c\u00edm \u00e9s webc\u00edm, k\u00f6zvetlen felettes \u00e9s megjegyz\u00e9sek is tal\u00e1lhat\u00f3k.<\/p>\n

Mindenkinek a szervezetben l\u00e1tnia kell ezt az inform\u00e1ci\u00f3t, k\u00fcl\u00f6n\u00f6sen az OSINT kor\u00e1ban, amikor minden \u00faj r\u00e9szlet megk\u00f6nny\u00edti a tov\u00e1bbi inform\u00e1ci\u00f3k keres\u00e9s\u00e9t?<\/a><\/noindex>Term\u00e9szetesen nem! A probl\u00e9ma s\u00falyosbodik, amikor a c\u00e9g fels\u0151 vezet\u0151inek adatai minden munkav\u00e1llal\u00f3 sz\u00e1m\u00e1ra el\u00e9rhet\u0151ek.<\/p>\n

PowerView mindenki sz\u00e1m\u00e1ra<\/p>\n

Itt l\u00e9p a k\u00e9pbe a PowerView. Egy nagyon felhaszn\u00e1l\u00f3bar\u00e1t PowerShell fel\u00fcletet ny\u00fajt a m\u00f6g\u00f6ttes (\u00e9s bonyolult) Win32 funkci\u00f3khoz, amelyek az AD-hez kapcsol\u00f3dnak. R\u00f6viden:<\/h2>\n

\nez lehet\u0151v\u00e9 teszi az AD mez\u0151inek egyszer\u0171 lek\u00e9r\u00e9s\u00e9t, mint p\u00e9ld\u00e1ul egy nagyon r\u00f6vid parancs v\u00e9grehajt\u00e1sa.
\nez az AD mez\u0151inek megszerz\u00e9s\u00e9t ugyanolyan egyszer\u0171v\u00e9 teszi, mint egy nagyon r\u00f6vid parancs be\u00edr\u00e1s\u00e1t.<\/p>\n

N\u00e9zz\u00fck meg Cruella Deville inform\u00e1ci\u00f3gy\u0171jt\u00e9s\u00e9nek p\u00e9ld\u00e1j\u00e1t, aki a c\u00e9g egyik vezet\u0151je. Ehhez haszn\u00e1ljuk a PowerView get-NetUser parancsot:<\/p>\n

\"Az
\n
\nA PowerView telep\u00edt\u00e9se nem jelent komoly probl\u00e9m\u00e1t \u2013 gy\u0151z\u0151dj meg r\u00f3la te is az oldalon github<\/a><\/noindex>. \u00c9s ami m\u00e9g fontosabb, sok PowerView parancs v\u00e9grehajt\u00e1s\u00e1hoz, mint p\u00e9ld\u00e1ul a get-NetUser, nincs sz\u00fcks\u00e9ged emelt szint\u0171 jogosults\u00e1gokra. \u00cdgy egy motiv\u00e1lt, de nem t\u00fal technikai h\u00e1tt\u00e9rrel rendelkez\u0151 munkat\u00e1rs k\u00f6nnyed\u00e9n belefoghat az AD-be.<\/p>\n

Az el\u0151z\u0151 k\u00e9perny\u0151k\u00e9pb\u0151l l\u00e1that\u00f3, hogy az insider gyorsan sok \u00fajdons\u00e1got tudhat meg Cruell\u00e1r\u00f3l. Te is \u00e9szrevetted, hogy az 'info' mez\u0151ben inform\u00e1ci\u00f3k tal\u00e1lhat\u00f3k a felhaszn\u00e1l\u00f3 szem\u00e9lyes szok\u00e1sair\u00f3l \u00e9s jelszav\u00e1r\u00f3l?<\/p>\n

Ez nem elm\u00e9leti lehet\u0151s\u00e9g. Az m\u00e1s pentesterekkel folytatott p\u00e1rbesz\u00e9dekb\u0151l<\/a><\/noindex> tudom, hogy az AD-t jelszavak, titkos\u00edtatlan form\u00e1ban t\u00f6rt\u00e9n\u0151 keres\u00e9s c\u00e9lj\u00e1b\u00f3l szkennelik, \u00e9s sajnos gyakran ezek a pr\u00f3b\u00e1lkoz\u00e1sok sikeresek. Tudj\u00e1k, hogy a c\u00e9gek hanyagul kezelik az AD inform\u00e1ci\u00f3it, \u00e9s \u00e1ltal\u00e1ban nem tudnak a k\u00f6vetkez\u0151 t\u00e9m\u00e1r\u00f3l \u2013 az AD enged\u00e9lyeir\u0151l.<\/p>\n

Az Active Directory saj\u00e1t ACL-jeivel rendelkezik<\/h2>\n

\nAz AD Felhaszn\u00e1l\u00f3k \u00e9s Sz\u00e1m\u00edt\u00f3g\u00e9pek interf\u00e9sze lehet\u0151v\u00e9 teszi az AD objektumainak enged\u00e9lyeinek be\u00e1ll\u00edt\u00e1s\u00e1t. Az AD-ban l\u00e9teznek ACL-ek, \u00e9s az adminisztr\u00e1torok ezeken kereszt\u00fcl rendelhetnek vagy tilthatnak le hozz\u00e1f\u00e9r\u00e9st. Kattints az ADUC View men\u00fc 'Advanced' opci\u00f3j\u00e1ra, majd amikor megnyitod a felhaszn\u00e1l\u00f3t, l\u00e1tni fogod a 'Security' f\u00fclet, ahol be\u00e1ll\u00edthatod az ACL-t. <\/p>\n

Cruella eset\u00e9ben nem akartam, hogy minden hiteles\u00edtett felhaszn\u00e1l\u00f3 (Authenticated Users) l\u00e1thassa a szem\u00e9lyes adatait, ez\u00e9rt megtiltottam a hozz\u00e1f\u00e9r\u00e9st a sz\u00e1mukra:<\/p>\n

\"Az
\n
\n\u00c9s most egy \u00e1tlagos felhaszn\u00e1l\u00f3 ezt l\u00e1tni fogja, ha megpr\u00f3b\u00e1lja a Get-NetUser-t a PowerView-ban:<\/p>\n

\"Az
\n
\nSiker\u00fclt elrejtenem a potenci\u00e1lisan \u00e9rz\u00e9keny inform\u00e1ci\u00f3t a k\u00edv\u00e1ncsi szemek el\u0151l. Az relev\u00e1ns felhaszn\u00e1l\u00f3k hozz\u00e1f\u00e9r\u00e9s\u00e9nek meg\u0151rz\u00e9se \u00e9rdek\u00e9ben l\u00e9trehoztam egy m\u00e1sik ACL-t, hogy a VIP-csoport tagjai (Cruella \u00e9s m\u00e1s magas rang\u00fa koll\u00e9g\u00e1i) hozz\u00e1f\u00e9rjenek ezekhez az \u00e9rz\u00e9keny adatokhoz. M\u00e1s szavakkal, az AD enged\u00e9lyeit szerepk\u00f6r-alap\u00fa modellen val\u00f3s\u00edtottam meg, \u00edgy a \u00e9rz\u00e9keny adatok el\u00e9rhetetlenn\u00e9 v\u00e1ltak a legt\u00f6bb munkat\u00e1rs, k\u00f6zt\u00fck az insider sz\u00e1m\u00e1ra.<\/p>\n

Ennek ellen\u00e9re lehet\u0151s\u00e9g van a csoporttags\u00e1g l\u00e1thatatlann\u00e1 t\u00e9tel\u00e9re a felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra, ha megfelel\u0151en \u00e1ll\u00edtod be az ACL-t a csoport objektum\u00e1ra az AD-n bel\u00fcl. Ez seg\u00edt a mag\u00e1n\u00e9let \u00e9s a biztons\u00e1g szempontj\u00e1b\u00f3l.<\/p>\n

A saj\u00e1t epikus pentest sorozatok<\/a><\/noindex> Megmutattam, hogyan lehet navig\u00e1lni a rendszeren, tanulm\u00e1nyozva a csoporttags\u00e1got a PowerViews Get-NetGroupMember seg\u00edts\u00e9g\u00e9vel. Az \u00e9n forgat\u00f3k\u00f6nyvemben a hozz\u00e1f\u00e9r\u00e9st korl\u00e1toztam egy adott csoport tagd\u00edj\u00e1ra vonatkoz\u00f3an. L\u00e1tja a parancs v\u00e9grehajt\u00e1s\u00e1nak eredm\u00e9ny\u00e9t a v\u00e1ltoz\u00e1sok el\u0151tt \u00e9s ut\u00e1n:<\/p>\n

\"Az
\n
\nSiker\u00fclt elrejtenem Cruella \u00e9s Monty Burns tags\u00e1g\u00e1t a VIP csoportban, ami megnehez\u00edtette a hackerek \u00e9s bels\u0151 inform\u00e1torok sz\u00e1m\u00e1ra az infrastrukt\u00fara felfedez\u00e9s\u00e9t.<\/p>\n

Ez a bejegyz\u00e9s az\u00e9rt k\u00e9sz\u00fclt, hogy \u00f6szt\u00f6n\u00f6zz\u00f6n arra, hogy figyelmesebben vizsg\u00e1lja meg a mez\u0151ket
\nAD \u00e9s a kapcsol\u00f3d\u00f3 enged\u00e9lyeket. Az AD kiv\u00e1l\u00f3 forr\u00e1s, de gondoljon arra, hogyan szeretn\u00e9
\nmegosztani a bizalmas inform\u00e1ci\u00f3kat \u00e9s szem\u00e9lyes adatokat, k\u00fcl\u00f6n\u00f6sen,
\namikor a szervezete vezet\u0151 szem\u00e9lyeir\u0151l van sz\u00f3. \u00a0
\n
Forr\u00e1s: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Adatv\u00e9delmi probl\u00e9m\u00e1k az Active Directory-ban | ProHoster","description":"Tesztel\u00e9seken vettem r\u00e9szt.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}