חטיפת RDP Session
שרת 2016 - חלק 1

תמלול ההרצאה: חטיפת RDP Session שרת 2016 - חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «חטיפת RDP Session שרת 2016 - חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, היום נעשה את אחת ההתקפות הכי מפורסמות, חטיפת סשן של אדמיניסטרטור. את ה-RDP של האדמיניסטרטור נחטוף. נעשה את זה גם בשרת 2016 וגם בשרת 2022 ונראה איזה הגנות הכניסו.

2. 00:17

   נתחיל ב-2016, האדמיניסטרטור מגיע מעמדת העבודה שלו, מתחבר לשרת 2016, נניח שזה שרת קבצים או שרת SQL, זה לא משנה איזה שרת, הקיש את הסיסמה הסודית של האדמיניסטרטור ונכנס לנהל את השרת מרחוק בוא נעשה cnd דרך אגב שמתי לו צבעים ירוקים כדי

3. 00:39

   שניזהה שזה אדמיניסטרטור של כל הדומיין נעשה hostname נראה שאנחנו באמת על שרת 2016 וננסה לבדוק שיתופים נניח שיתופים בdc ואנחנו רואים שאכן אפשר להתחבר לשיתוף כי אנחנו אדמיניסטרטורים לא רק במחשב הזה אלא בכל הרשת וגם על dc האדמיניסטרטור סיים את העבודה שלו ועושה פה איקס.

4. 01:02

   עכשיו מגיע האקר, שהאקר הזה איכשהו הצליח לפרוץ לאדמיניסטרטור מקומי של השרת 2016 והתחבר אליו ברימור דסקטופ. אבל מה ההבדל בין הרימור דסקטופ של האדמיניסטרטור הקודם לאדמיניסטרטור הזה?

5. 01:18

   שהאדמיניסטרטור הזה הוא רק בתוך שרת 2016. זה אדמיניסטרטור מקומי. זאת אומרת שאנחנו נמצאים עכשיו על מחשב 2016, אנחנו אדמיניסטרטור של המחשב הזה, אבל אין לנו שום זכויות במחשבים אחרים.

6. 01:35

   היוזר שלנו כל יכול בתוך אותו מחשב בלבד. זה לא יוזר דומייני. ומחשבים אחרים כמו DC לא מכירים בו ונותנים access is denied, לא נותנים לי לראות את ה"בפנוכו" של תיקי המשותפת.

7. 01:48

   כי שוב, אני עם יוזר מקומי אבל עם הרשאות של אדמיניסטרטור. מאחורי הקלעים הווינדוס ניסה קודם כל את קרברוס, כמובן שהוא לא מצליח כי אין ליוזר הזה טיקט של קרברוס כי הוא לא קיים בדיסי בכלל אז דיסי לא יכול היה להנפיק לו את הטיקט של קרברוס את ה-TGT ואז הוא נופל ל-NTLM עימות NTLM שהשר"ט ה-DC שלח לו צ'לנג' והוא היה צריך

8. 02:12

   להחזיר לו ריספונס מוצפן עם הסיסמה של היוזר אבל עימות NTLM נכשל למרות ששני היוזרים עם אותו יוזרניים עם אותו שם משתמש הסיסמאות הן שונות אם הסיסמה של היוזר המקומי הייתה זהה לסיסמה של אדמיניסטרטור הדומייני אם שניהם היו נקראים אדמיניסטרטורים ולשניהם הייתה אותה סיסמה, עימות NTלמי היה מצליח, למרות שזה מקומי וזה דומייני, כי לשניהם יש אותו שם אדמיניסטרטור ולשניהם

9. 02:40

   הייתה אותה סיסמה. אבל במקרה שלי, הסיסמה של אדמיניסטרטור המקומי שונה מהסיסמה של אדמיניסטרטור הדומייני, ולכן העימות NTלמי נכשל, כי הערבולים של הצ'לנג' לא היו זהים בין אדמיניסטרטור מקומי לאדמיניסטרטור דומייני.

10. 02:56

    בקיצור אם יש לכם יוזרניים זהה וסיסמה זהה גם אם זה לא אותו דומיין ntlm מצליח טוב אז איך אני משדרג את עצמי לדומיין אדמין כדי לעשות lateral movement תזוזה לרוחב הרשת לפרוץ את הגבולות של המחשב הזה אני רוצה תזוזה רוחבית בתוך אותה רשת אפשר להריץ קובץ שמייקרוסופט נתנו לנו כחלק מהתקנה של הווינדוס נקרא quser.exe

11. 03:23

    נמצא בתיקיית סיסטם 32 והוא מראה לי מי מחובר כרגע למחשב אנחנו רואים שני אדמיניסטרטורים מחוברים כאשר זה Active וזה Disconnected מה זה אומר Disconnected זה אומר שאדמיניסטרטור של הרשת עדיין קיים בזיכרון אני רואה אותו גם ב-Task Manager וכל התוכנות שלו פעילות כולל ה-CMD שלו ואני מת להשתלט על כל הסשן שלו מספר החיבור שלו זה

12. 03:48

    2 ואני מחובר בדיוק לאותו שרת ל-2016 בחיבור מספר 3 דרך סשן מספר מה זה אומר דיסקונקטד שהחלון שלו סגור ואף אחד לא כרגע פיזית מחובר אין פה סשן שמחובר לאדמיניסטרטור הזה דרך אגב מה יקרה אם הוא ייכנס אם האדמיניסטרטור עוד פעם יחזור ויתחבר עוד פעם לאותו השרת ויקיש את הסיסמה שלו תראו מה יקרה פה הוא יחזור לכל החלונות הפתוחים

13. 04:14

    שלו כאילו היה לו איזה ניתוק בקו זמני כל התוכנות נשארות פתוחות כל המסמכים שלא נשמרו עדיין הם בזיכרון שום דבר לא הלך לאיבוד ואני רואה פה שיש חיבור לסשן מספר 12 מתוך מחשב של DC. זאת אומרת התוכנות שלו נשארות בזיכרון גם אם הוא סוגר את החלון.