Kimlik doğrulama: Kerberos ve NTLM
Kali’den CORP.LAB’a Kerberos ile bağlanırsın: bilet veren sunucudan (KDC) bilet alır, bileti ve bayraklarını okur, bir paylaşıma Kerberos ile ve aynı paylaşıma NTLM ile bağlanıp farkı görürsün. Servis biletlerinin şifreleme türünü inceler, Kerberoasting ve AS-REP roasting’e açık hesapları savunmacı gözüyle bulur ve raporlarsın.
Seviye 201 · 50 dk
CORP’un iç denetimi sürüyor. BT müdürü bu kez şunu soruyor: "Kullanıcılarımız sisteme nasıl giriş yapıyor ve bu girişlerde zayıf bir halka var mı?" Elinde yine yazılı yetki belgesi ve salt okuma yetkili denetci hesabı (parola Denetim.2026) var.
Bir Windows etki alanında iki kimlik doğrulama yöntemi yan yana yaşar. Kerberos bilet sistemidir: bir lunaparka girişte bilekliğini (TGT) alırsın, sonra her oyuncak için o bilekliği gösterip ayrı bir jeton (servis bileti) alırsın; parolanı her kapıda tekrar söylemezsin. NTLM ise eski yöntemdir: her bağlantıda sunucu bir soru sorar, sen parolandan türetilmiş bir cevap verirsin.
Saldırganlar bu iki sistemin zayıf ayarlarını sever. Bu derste saldırı yapmayacaksın; aynı zayıflıkları savunmacının araçlarıyla bulacak, nasıl tespit edileceğini ve nasıl kapatılacağını öğreneceksin.
Not: Etki alanı denetleyicisi lab açıldıktan sonra 20 saniye kadar hazırlanır. İlk komutlar cevap vermezse biraz bekleyip tekrar dene. İlk adımlarda komutları ben veriyorum; ilerledikçe yardım azalacak.
Bu derste ne yapacaksın
- Kerberos’a etki alanını tanıt
- Bilekliği al: kinit ve klist
- Biletin içine bak: klist -e -f
- Bir servise Kerberos ile bağlan
- Aynı paylaşıma NTLM ile bağlan
- Servis biletlerinin şifrelemesi: kvno
- SPN’i olan kullanıcı hesaplarını bul
- Ön kimlik doğrulaması kapalı hesaplar
- Kerberos bulgularını raporla
- İşin bitince biletleri sil
- Kısa sınav
Kazanacağın beceriler
- Kerberos istemcisini bir etki alanına ayarlamak (krb5.conf, KRB5_CONFIG)
- TGT almak ve biletleri listelemek (kinit, klist)
- Bilet bayraklarını ve şifreleme türlerini okumak (klist -e -f)
- Bir servise Kerberos ile bağlanmak ve servis biletini görmek
- NTLM’i Kerberos’tan ayırmak ve tespit olaylarını bilmek (4776)
- Servis biletinde zayıf şifrelemeyi (RC4) fark etmek
- Kerberoasting’e açık SPN’li hesapları denetlemek
- Ön kimlik doğrulaması kapalı hesapları bulmak
- Kerberos bulgularını önerileriyle raporlamak
- İş bitince Kerberos biletlerini silmek (kdestroy)
← Etki alanı denetleyicisi ve DNS: SRV kayıtları · Active Directory güvenliği: denetim ve sıkılaştırma · LDAP ile dizinde sorgu: süzgeçler ve öznitelikler →
Ücretsiz başla