obscurity

SubjectLSASS(Local Security Authority Subsystem Service)는 Windows 운영체제라면기본적으로 존재하는 Microsoft에서 제공하는 서비스입니다.오늘날 내부망 모의침투 혹은 APT 공격 등에서 많이 사용되는 권한상승 공격 방식입니다.lsass.exe는 C:\Windows\System32에 위치하고 있습니다.lsass.exe를 강제로 종료한다면 시스템은 **nt authority**를 포함한 모든 계정에 엑세스가 불가능하며컴퓨터를 다시 시작해야 합니다.이 파일은 중요 파일이기 때문에 공격자들에 의해서 맬웨어로 자주 사용되곤 합니다.파일 설명은 Local Security Authority Process이며 C:\Windows\System32가 아닌 다른 곳에서실..

Penetration 2024. 11. 2. 16:14

SubjectCVE-2021-42287은 Microsoft의 Active Directory 환경에서 발견된 취약점으로PAC 정보 없이도 낮은 권한의 사용자가 관리자 권한을 탈취할 수 있는 취약점입니다.이번 주제에서는 CVE를 이용하여 권한이 낮은 사용자가 시스템 권한을 탈취하여불안정한 SMBexec 쉘을 획득한 뒤에, 쉘을 업그레이드 하는 실습까지 진행합니다. Content이 취약점을 사용하기 위해서는 CVE-2021-42278이 먼저 선행되어야 하며가능한 조건의 환경이어야 합니다.즉 Microsoft에서 권장하는 패치를 진행하지 않아CVE-2021-42278, CVE-2021-42287에 취약한 AD 서버라면 공격이 가능합니다.정리해서 이 공격에 필요한 몇가지 조건은 다음과 같습니다. CVE-2021-..

Penetration 2024. 10. 31. 06:03

53/tcp open domain88/tcp open kerberos-sec135/tcp open msrpc139/tcp open netbios-ssn389/tcp open ldap445/tcp open microsoft-ds593/tcp open http-rpc-epmap3268/tcp open globalcatLDAP5985/tcp open wsman49677/tcp open unknown  열려있는 포트를 통해서 서버가 컨트롤러라는 것을 확인했습니다.디테일 포트스캔으로 도메인 정보를 수집할 수 있나 체크를 해줍니다.ㅊ53/tcp open domain Simple DNS Plus88/tcp open kerberos-sec ..

Penetration/HackTheBox 2024. 10. 30. 15:06

https://app.hackthebox.com/machines/422  53/tcp open domain80/tcp open http88/tcp open kerberos-sec135/tcp open msrpc139/tcp open netbios-ssn389/tcp open ldap443/tcp open https445/tcp open microsoft-ds464/tcp open kpasswd5593/tcp open http-rpc-epmap636/tcp open ldapssl3268/tcp open globalcatLDAP3269/tcp open globalcatLDAPssl8172/tcp open unknown9389/tcp ..

Penetration/HackTheBox 2024. 10. 30. 00:24

SubjectForceChangePassword는 Active Directory에서 사용되는 권한입니다. ContentActive Directory에서 사용되는 권한인 ForceChangePassword는Alice 사용자가 Bob 사용자에 대한 권한이 있을 시Bob 사용자의 패스워드를 임의로 변경해버릴 수 있는 권한입니다.침투자 혹은 공격자의 입장에서 프롬프트 환경을 사용하지 못한다고 하더라도msrpc, SMB 등의 프로토콜이 실행중이라면 원격 명령 실행을 통해 변경할 수 있습니다.현재 실습 환경에서는 SUPPORT 사용자가 AUDIT2020 사용자에 대한ForceChangePassword 권한이 있기 때문에 원격으로 AUDIT2020 사용자의패스워드를 변경할 수 있습니다. Practice - SMBSM..

Penetration 2024. 10. 29. 23:58

https://app.hackthebox.com/machines/Active53/tcp open domain88/tcp open kerberos-sec135/tcp open msrpc139/tcp open netbios-ssn389/tcp open ldap445/tcp open microsoft-ds464/tcp open kpasswd5593/tcp open http-rpc-epmap636/tcp open ldapssl3268/tcp open globalcatLDAP3269/tcp open globalcatLDAPssl5722/tcp open msdfsr9389/tcp open adws47001/tcp open winrm 서버에 열려있는..

Penetration/HackTheBox 2024. 10. 29. 22:30

https://app.hackthebox.com/machines/229 nmap --open -p- -Pn --max-retries 1 --min-rate 4000 10.10.10.103 > full Starting Nmap 7.94SVN ( https://nmap.org ) at 2024-10-29 14:40 KSTNmap scan report for 10.10.10.175Host is up (0.074s latency).Not shown: 65515 filtered tcp ports (no-response)Some closed ports may be reported as filtered due to --defeat-rst-ratelimitPORT STATE SERVICE53/tcp op..

Penetration/HackTheBox 2024. 10. 29. 16:24

SubjectMS14-068은 2014년 10월에 발표된 MS의 Kerberoas 인증 취약점입니다.원래 Kerberoas 인증에서 Golden-Ticket은 KDC의 Key를 관리하는 krbtgt의 NT Hash를알아야만 획득할 수 있지만, 이 취약점을 이용하면krbtgt의 NT Hash 정보가 없더라도 Golden-Ticket을 획득할 수 있습니다.  Content출시일 : 2014년 10월CVE 번호 : CVE-2014-6324영향 받는 시스템 Windows VistaWindows Server 2008Windows Server 2008 R2Windows Server 2012Windows Server 2012 R2Windows 7Windows 8Windows RTWindows 8.1Windows 10..

Penetration 2024. 10. 28. 22:54