search
HTBGitHubLinkedInNotion (Writeups)

Enumeración de controles de seguridad

Tras establecernos, podríamos usar este acceso para comprender el estado defensivo de los hosts, enumerar el dominio con más detalle ahora que nuestra visibilidad no está tan restringida y, si es necesario, optimizar la infraestructura mediante herramientas nativas en los hosts. Es importante comprender los controles de seguridad implementados en una organización, ya que los productos utilizados pueden afectar las herramientas que utilizamos para la enumeración de AD, así como la explotación y la postexplotación. Comprender las protecciones a las que podemos enfrentarnos nos ayudará a tomar decisiones informadas sobre el uso de herramientas y a planificar nuestro curso de acción, ya sea evitando o modificando ciertas herramientas. Algunas organizaciones tienen protecciones más estrictas que otras, y algunas no aplican los controles de seguridad de forma uniforme. Es posible que se apliquen políticas a ciertas máquinas que dificulten la enumeración y que no se apliquen a otras.

Nota: Esta sección pretende mostrar los posibles controles de seguridad implementados en un dominio, pero no cuenta con un componente interactivo. Enumerar y eludir los controles de seguridad queda fuera del alcance de este módulo, pero queríamos ofrecer una visión general de las posibles tecnologías que podríamos encontrar durante una evaluación.

hashtag
Windows Defender

Windows Defender (o Microsoft Defenderarrow-up-right tras la actualización de mayo de 2020 de Windows 10) ha mejorado considerablemente con los años y, de forma predeterminada, bloquea herramientas como [nombre del sistema] PowerView. Existen maneras de evitar estas protecciones, que se explicarán en otros módulos. Podemos usar el cmdlet integrado de PowerShell Get-MpComputerStatusarrow-up-right para obtener el estado actual de Defender. Aquí, vemos que el RealTimeProtectionEnabledparámetro está establecido en [nombre del Truesistema], lo que significa que Defender está habilitado en el sistema.

hashtag
Comprobación del estado de Defender con Get-MpComputerStatus

PS C:\htb> Get-MpComputerStatus

AMEngineVersion                 : 1.1.17400.5
AMProductVersion                : 4.10.14393.0
AMServiceEnabled                : True
AMServiceVersion                : 4.10.14393.0
AntispywareEnabled              : True
AntispywareSignatureAge         : 1
AntispywareSignatureLastUpdated : 9/2/2020 11:31:50 AM
AntispywareSignatureVersion     : 1.323.392.0
AntivirusEnabled                : True
AntivirusSignatureAge           : 1
AntivirusSignatureLastUpdated   : 9/2/2020 11:31:51 AM
AntivirusSignatureVersion       : 1.323.392.0
BehaviorMonitorEnabled          : False
ComputerID                      : 07D23A51-F83F-4651-B9ED-110FF2B83A9C
ComputerState                   : 0
FullScanAge                     : 4294967295
FullScanEndTime                 :
FullScanStartTime               :
IoavProtectionEnabled           : False
LastFullScanSource              : 0
LastQuickScanSource             : 2
NISEnabled                      : False
NISEngineVersion                : 0.0.0.0
NISSignatureAge                 : 4294967295
NISSignatureLastUpdated         :
NISSignatureVersion             : 0.0.0.0
OnAccessProtectionEnabled       : False
QuickScanAge                    : 0
QuickScanEndTime                : 9/3/2020 12:50:45 AM
QuickScanStartTime              : 9/3/2020 12:49:49 AM
RealTimeProtectionEnabled       : True
RealTimeScanDirection           : 0
PSComputerName                  :

hashtag
Bloqueador de aplicaciones

Una lista blanca de aplicaciones es una lista de aplicaciones de software o ejecutables aprobados que pueden estar presentes y ejecutarse en un sistema. El objetivo es proteger el entorno contra malware dañino y software no aprobado que no se ajusta a las necesidades comerciales específicas de una organización. AppLockerarrow-up-right es la solución de listas blancas de aplicaciones de Microsoft y permite a los administradores de sistemas controlar qué aplicaciones y archivos pueden ejecutar los usuarios. Proporciona un control granular sobre ejecutables, scripts, archivos de instalación de Windows, DLL, aplicaciones empaquetadas e instaladores de aplicaciones empaquetados. Es común que las organizaciones bloqueen cmd.exe y PowerShell.exe, así como el acceso de escritura a ciertos directorios, pero esto se puede evitar. Las organizaciones también suelen centrarse en bloquear el PowerShell.exeejecutable, pero olvidan otras ubicaciones de ejecutables de PowerShell,arrow-up-right como %SystemRoot%\SysWOW64\WindowsPowerShell\v1.0\powershell.exeo PowerShell_ISE.exe. Podemos ver que esto es así en las AppLockerreglas que se muestran a continuación. A todos los usuarios del dominio se les impide ejecutar el ejecutable de PowerShell de 64 bits ubicado en:

%SystemRoot%\system32\WindowsPowerShell\v1.0\powershell.exe

Así que podemos simplemente llamarlo desde otras ubicaciones. A veces, nos encontramos con AppLockerpolíticas más estrictas que requieren más creatividad para eludirlas. Estas formas se abordarán en otros módulos.

hashtag
Uso de cmdlet Get-AppLockerPolicy

hashtag
Modo lenguaje restringido en PowerShell

El Modo de Lenguaje Restringidoarrow-up-right de PowerShell bloquea muchas de las funciones necesarias para usar PowerShell eficazmente, como el bloqueo de objetos COM, la admisión exclusiva de tipos .NET aprobados, flujos de trabajo basados ​​en XAML, clases de PowerShell y más. Podemos determinar rápidamente si estamos en Modo de Lenguaje Completo o en Modo de Lenguaje Restringido.

hashtag
Enumeración del modo de idioma

hashtag
Vueltas

La Solución de Contraseñas de Administrador Local de Microsoft (LAPS)arrow-up-right se utiliza para aleatorizar y rotar las contraseñas de administrador local en hosts Windows y evitar la transferencia lateral. Podemos enumerar qué usuarios del dominio pueden leer la contraseña LAPS configurada para equipos con LAPS instalado y cuáles no. LAPSToolkitarrow-up-right facilita enormemente esta tarea con varias funciones. Una de ellas es el análisis ExtendedRightsde todos los equipos con LAPS habilitado. Esto mostrará los grupos específicamente delegados para leer contraseñas LAPS, que suelen ser usuarios de grupos protegidos. Una cuenta que ha unido un equipo a un dominio recibe acceso All Extended Rightsa través de ese host, y este derecho le otorga la capacidad de leer contraseñas. La enumeración puede mostrar una cuenta de usuario que puede leer la contraseña LAPS en un host. Esto puede ayudarnos a identificar usuarios de AD específicos que pueden leer contraseñas LAPS.

hashtag
Uso de Find-LAPSDelegatedGroups

Se Find-AdmPwdExtendedRightsverifican los derechos en cada computadora con LAPS habilitado para cualquier grupo con acceso de lectura y usuarios con "Todos los derechos extendidos". Estos usuarios pueden leer contraseñas de LAPS y podrían estar menos protegidos que los usuarios de grupos delegados, por lo que conviene verificarlo.

hashtag
Uso de Find-AdmPwdExtendedRights

Podemos utilizar la Get-LAPSComputersfunción para buscar ordenadores que tengan habilitado LAPS cuando caduquen las contraseñas, e incluso las contraseñas aleatorias en texto claro si nuestro usuario tiene acceso.

hashtag
Uso de Get-LAPSComputers

hashtag
Conclusión

Como hemos visto en esta sección, disponemos de otras técnicas útiles de enumeración de AD para determinar las protecciones implementadas. Conviene familiarizarse con todas estas herramientas y técnicas, y añadirlas a su arsenal de opciones. Ahora, continuemos con nuestra enumeración del dominio INLANEFREIGHT.LOCAL desde una perspectiva de credenciales.

PreviousDeeper Down for Rabbit HolesNextFile Inclusion

Last updated