Pengesahan Windows

Pengesahan Windows mengesahkan identiti pengguna sebelum memberikan akses. Dalam domain, proses ini berlaku secara berterusan antara klien dan pengawal domain.

Dua protokol utama ialah NTLM (lebih lama, cabaran-tindak balas) dan Kerberos (moden, berasaskan tiket). Kedua-duanya sering menjadi sasaran.

Windows tidak pernah menyimpan kata laluan teks biasa untuk akaun setempat; sebaliknya, ia menyimpan cincangan dalam pangkalan data SAM. Format kuncinya ialah cincangan NT (MD4 bagi kata laluan).

Jika penyerang membuang cincangan ini, mereka boleh memecahkannya di luar talian atau menggunakannya semula secara langsung.

NTLM mengesahkan identiti tanpa menghantar kata laluan:

• Pelayan menghantar cabaran rawak.
• Klien menyulitkannya dengan cincangan NT dan membalas.
• Pelayan (atau DC) mengesahkan tindak balas tersebut.

Ia merupakan protokol legasi tetapi masih didayakan dalam banyak rangkaian atas sebab keserasian.

Oleh sebab NTLM mengesahkan identiti menggunakan cincangan dan bukannya teks biasa, penyerang yang mencuri cincangan boleh mengesahkan identiti tanpa memecahkannya.

Ini ialah Pass-the-Hash (PtH) - teknik pergerakan sisi yang berkuasa terhadap NTLM.

Kerberos ialah protokol lalai dalam Active Directory. Ia menggunakan Key Distribution Center (KDC) yang dipercayai pada pengawal domain dan tiket yang mempunyai had masa, dan bukannya menghantar bukti kelayakan berulang kali.

Aliran Kerberos:

• Pengguna mengesahkan identiti dan menerima Ticket Granting Ticket (TGT).
• Untuk menggunakan perkhidmatan, klien mengemukakan TGT dan mendapatkan Service Ticket (TGS).
• Perkhidmatan mengesahkan tiket tersebut - tiada kata laluan dihantar.

Kerberoasting meminta tiket perkhidmatan bagi akaun yang menjalankan perkhidmatan (nama prinsipal perkhidmatan). Tiket itu disulitkan menggunakan cincangan kata laluan akaun perkhidmatan.

Penyerang mengekstrak tiket tersebut lalu memecahkannya secara luar talian untuk mendapatkan semula kata laluan akaun perkhidmatan.

Tiket Kerberos juga boleh dicuri dan digunakan semula (Pass-the-Ticket). Lebih buruk lagi, jika penyerang menjejaskan cincangan akaun krbtgt, mereka boleh memalsukan Golden Ticket - TGT ciptaan sendiri yang memberikan akses kepada seluruh domain.

Banyak serangan bermula dengan pengekstrakan bukti kelayakan daripada hos yang telah terjejas. Alat digunakan untuk membuang cincangan dan tiket daripada memori lsass.exe atau sarang SAM/SECURITY.

Mimikatz ialah alat yang paling dikenali; secretsdump ialah alternatif jauh yang biasa digunakan.

Pihak pertahanan mengurangkan risiko ini dengan:

• Melumpuhkan NTLM jika boleh.
• Menguatkuasakan kata laluan yang kukuh dan panjang untuk akaun perkhidmatan.
• Melindungi lsass (Credential Guard, PPL).
• Menukar kunci krbtgt secara berkala dan mengehadkan penggunaan semula akaun pentadbir.

Anda boleh memeriksa konteks pengesahan semasa dan tiket Kerberos yang dicache daripada sesuatu sesi.

Anda telah mempelajari cara Windows melakukan pengesahan dan cara ia diserang:

• Cincangan NT dalam SAM membolehkan pemecahan secara luar talian dan Pass-the-Hash.
• Kerberos menggunakan KDC, TGT dan tiket perkhidmatan.
• Kerberoasting, Pass-the-Ticket dan Golden Ticket menyalahgunakan Kerberos.
• Pengukuhan: lumpuhkan NTLM, lindungi lsass dan gunakan kata laluan perkhidmatan yang kukuh.

Seterusnya: PowerShell ofensif.