Méthodologie offensive
Attaques Active Directory
Le chemin type d'un test d'intrusion interne : d'un simple compte de domaine jusqu'au contrôle complet de la forêt. Chaque attaque est présentée avec son principe et sa trace côté défense. Labo autorisé uniquement.
Le chemin type
- Pied dans la porteUn compte de domaine, même sans privilège.
- CartographierBloodHound : utilisateurs, groupes, droits, chemins vers les admins.
- Récolter des identifiantsRoasting, relais, abus de droits, secrets en mémoire.
- Se déplacerMouvement latéral d'hôte en hôte jusqu'à un compte à privilèges.
- Dominer le domaineContrôleur de domaine, base NTDS, persistance.
Énumération
- BloodHound : collecte le graphe des relations et met en évidence les chemins d'attaque les plus courts.
- LDAP / PowerView : utilisateurs, groupes, ordinateurs, SPN, droits délégués, politiques.
- Partages SMB : fichiers de configuration, scripts, mots de passe oubliés.
- Repérer les comptes à SPN, ceux sans pré-authentification, les sessions d'administrateurs.
Attaques sur l'authentification
| Attaque | Principe | Trace (défense) |
|---|---|---|
| Kerberoasting | Demander le ticket de service d'un compte à SPN, casser son mot de passe hors ligne. | 4769 en RC4 (0x17) en nombre |
| AS-REP Roasting | Viser les comptes sans pré-authentification Kerberos. | 4768 sans pré-auth |
| Password spraying | Un mot de passe courant testé sur beaucoup de comptes. | 4625/4771 sur des comptes variés |
| Pass-the-Hash | S'authentifier en NTLM avec le haché, sans le mot de passe. | 4624 type 3, NTLM, source inhabituelle |
| Relais NTLM | Relayer une authentification capturée vers un autre service. | authentification depuis un hôte imprévu |
Abus de droits et services
- DACL : un droit excessif (GenericAll, WriteDACL, ForceChangePassword) sur un objet permet de le contrôler.
- ADCS : un modèle de certificat mal configuré permet d'obtenir un certificat d'authentification pour un autre compte.
- Délégation Kerberos : une délégation trop permissive permet d'usurper un utilisateur.
- Services : MSSQL, Exchange ou SCCM mal configurés offrent souvent un chemin d'élévation.
Mouvement latéral et domination
- Mouvement latéral : WMI, WinRM, PsExec, tâches planifiées, avec un compte ou un haché récupéré.
- DCSync : demander la réplication des secrets du domaine depuis un compte à droits suffisants.
- Contrôle du domaine : extraction de NTDS.dit, puis persistance (le détail opérationnel reste au labo).
- Trace côté défense : 4662 avec droits de réplication depuis un non-DC — voir Threat hunting.
RéférencesFiches Active Directory et Event IDs Windows. Les mêmes attaques, vues du défenseur, sont dans le jeu de révision CDSA.