Nesne izinleri (ACL) ve tehlikeli haklar
Bir AD nesnesinin güvenlik tanımlayıcısını (sahip, DACL, ACE’ler) okur, SDDL biçimini ve SD bayrakları denetimini tanır, SID’leri adlara çevirir, yardım masasına verilmiş yönetici parolası sıfırlama hakkını ve bu labda bir çalışana gizlice verilmiş tehlikeli hakkı bulur, DCSync haklarını kontrol eder ve yönetici olmaya giden yolu raporlarsın. Gizli hak her labda farklıdır.
Seviye 201 · 50 dk
Grup üyeliklerini temizlediniz, devir ayarlarını düzelttiniz. Ama AD’de yetki bir yoldan daha gelir: nesne izinleri. Her kullanıcı, grup ve OU’nun kendi izin listesi vardır ve bir kullanıcıya bir grubun üye listesini yazma hakkı vermek, onu o grubun üyesi yapmaya eşdeğerdir: kendini ekleyebilir.
Benzetme: bir binanın kapı listesi. Kapıda "Ahmet girebilir" yazmasının yanında, listenin kendisini kimin değiştirebileceği de yazar. Listeyi değiştirebilen biri, istediği zaman kendini ekler. AD’de bu listeye DACL, her satırına ACE denir; hepsi nesnenin nTSecurityDescriptor özniteliğinde ikili (binary) olarak durur.
İkili veriyi okumak için Kali’de lmos-acl aracı var: güvenlik tanımlayıcısını okunur bir tabloya çevirir ve SID’leri adlara dönüştürür. Yalnızca okur, hiçbir şeyi değiştirmez. Lab açıldıktan 30 saniye kadar sonra bu laba özgü değişiklikler yerinde olur.
Bu derste ne yapacaksın
- Bir OU’nun izinlerini oku
- Aynı izinler tek satırda: SDDL
- Ham hâli: nTSecurityDescriptor ve SD bayrakları
- SID’den ada
- Hakkı kim kullanabilir?
- Yetkili nesneleri tara
- DCSync hakları
- Gizli hakkı kayda geçir
- Saldırı yolu raporu
- Kısa sınav
Kazanacağın beceriler
- Bir AD nesnesinin izinlerini (DACL, ACE) okumak
- SDDL biçimindeki izinleri okumak
- nTSecurityDescriptor’ı SD bayrakları denetimiyle istemek
- Bir SID’in kime ait olduğunu bulmak
- İzinlerden yöneticiliğe giden saldırı yolunu çıkarmak
- Yetkili nesnelerdeki tehlikeli hakları bulmak
- DCSync (çoğaltma) haklarını denetlemek
- Denetim bulgularını yazılı rapora dökmek
← Yetki devri (delegation) riskleri · Active Directory güvenliği: denetim ve sıkılaştırma · AD için önemli Windows olay kimlikleri →
Ücretsiz başla