L’objectif de cet article est de décrire les différentes données d’authentification qu’un attaquant peut récupérer sur une machine Windows au sein d’un domaine Active Directory.
Certes le sujet n’est pas nouveau et ne devrait rien apprendre aux érudits en la matière, néanmoins il est essentiel pour un pentester de maîtriser ces éléments. Ces derniers ont été décrits à plusieurs reprises dans MISC, notamment dans les articles de Marc LEBRUN [1] et Julien TERRIAC [2] pour ne citer qu’eux. L’accent sera placé sur la compréhension et la mise à profit des données d’authentification sur Windows.
1. Objectifs de l’analyse
Les tests d’intrusion internes en environnement Windows nécessitent une bonne compréhension des différentes données d’authentification que l’on peut récupérer sur les machines compromises. Outre une meilleure progression sur le réseau, la maîtrise de ce sujet permet d’accompagner au mieux la DSI afin de comprendre et pallier les problèmes identifiés. L’article abordera donc les différentes données stockées sur une machine Windows et la raison de leur présence. Les différents outils...
- Accédez à tous les contenus de Connect en illimité
- Découvrez des listes de lecture et des contenus Premium
- Consultez les nouveaux articles en avant-première
[1] « Faiblesses des mécanismes d’authentification de Windows : Quelles solutions ? », MISC n°68 : https://connect.ed-diamond.com/MISC/MISC-068/Faiblesses-des-mecanismes-d-authentification-de-Windows-quelles-solutions
[2] « Approche pragmatique du dump mémoire », MISC n°89 : https://connect.ed-diamond.com/MISC/MISC-089/Approche-pragmatique-du-dump-memoire
[3] https://docs.microsoft.com/en-us/windows/win32/secauthn/msv1-0-authentication-package
[4] http://blog.gentilkiwi.com/tag/mscache
[5] https://tools.ietf.org/html/rfc4422
[6] https://www.passcape.com/index.php?section=docsys&cmd=details&id=28
[7] https://www.synacktiv.com/ressources/univershell_2017_dpapi.pdf
[8] http://blog.gentilkiwi.com/securite/mimikatz/sekurlsa-credman
[11] « Attaques sur le protocole Kerberos en environnement Active Directory », MISC Hors-Série n°20 : https://connect.ed-diamond.com/MISC/MISCHS-020/Attaques-sur-le-protocole-Kerberos-en-environnement-Active-Directory