Post Exploitation: Mimikatz ve WCE ile Bellekten Parolaların Elde Edilmesi

Post Exploitation: Mimikatz ve WCE ile Bellekten Parolaların Elde Edilmesi

Günümüzde sistemlere karşı gerçekleştirilen saldırılar artmaktadır. Bunun paralelinde sızma testlerine (Penetration Test) verilen önem de gün geçtikçe artış göstermektedir. Sızma testlerinin adımlarından birisi de Microsoft ortamındaki kullanıcıların (özellikle etki alanı kullanıcılarının) hesap bilgilerinin elde edilmesidir. Son yıllarda bu bilgilerin elde edilmesi için yeni bir yöntem kullanılmaya başlanmıştır. Bu yazı, kullanıcı hesap bilgilerinin yeni bir yöntem ile nasıl ele geçirildiği konusuna değinecektir. Yeni tekniğe geçilmeden önce konu ile ilgili bazı ön bilgiler verilecektir.

Yazının devamı için bakınız:

http://www.siberportal.org/red-team/windows-operating-system-penetration-tests/obtaining-clear-text-password-from-ram-using-wce-tool/
ve
http://www.siberportal.org/red-team/windows-operating-system-penetration-tests/obtaining-clear-text-password-from-ram-using-mimikatz-tool/
ve
http://www.siberportal.org/blue-team/securing-windows-operating-system/working-principle-of-tools-wce-and-mimikatz-that-obtains-clear-text-passwords-on-windows-session/

Notlar: Kerberos

Kimlik Doğrulama: Kerberos

Giriş
Kerberos MIT tarafından ortaya atılmış, daha sonra Windows tarafından da kimlik doğrulama için tercih edilmiş bir metoddur. Kerberos, Windows 2000 Server ve sonrasında varsayılan olarak kullanılan oldukça güvenilir bir sistemdir. Kerberos’un kullanımda olan 2 sürümü vardır. Bunlar sürüm 4 ve sürüm 5’tir. Sürüm 4’ün açıklıklarından ötürü sürüm 5 tercih edilmelidir.
Kerberos’un temel olarak 3 tarafı vardır: İstemci, Sunucu, KDC (Key Distribution Center).
Burada yapılan işlem özetle, istemcinin sunucuya erişmek için KDC’den bilet alması, bu bileti sunucuya yollaması ve sonrasında da sunucu bu bilete bakarak istemcinin kimliğinin doğruluğunu kabul etmesidir.

Yazının devamı için bakınız:
http://www.siberportal.org/blue-team/securing-microsoft-domain-environment/kerberos-authentication-on-microsoft-environments/

İpucu: Winlogon Durumları

Winlogon Durumları

Herhangi bir zamanda Winlogon aşağıdaki üç durumda bulunabilir. Bu durumlar aşağıdaki gibidir:

• Oturum kapalı durumu
• Oturum açık durumu
• İş istasyonu kilitleme durumu

Bu üç durum arasındaki ilişki aşağıdaki şekilde belirtilmiştir:

Winlogon durumları arasındaki ilişki

Oturum kapalı durumu
"Oturum kapalı" durumda kullanıcının aktif kabuk ile etkileşimi bulunmaz. Winlogon bu durumda, kullanıcıdan oturumunu açmasını bekler. Eğer oturum açılmak istenirse, Winlogon, kullanıcıdan kimlik bilgilerini girmesini bekler. Kullanıcının girdiği kimlik bilgileri doğruysa yerel ve grup ilkelerine bakılarak kullanıcıya özel herhangi bir yasaklama olup olmadığının kontrolü gerçekleştirilir. Kullanıcı bir yasaklama ile karşılaşmıyorsa oturum açma işlemi başarılı olur.  Oturum ilk açıldığında kabuk program çalışır ve Winlogon kendi durumunu "Oturum açık" olarak değiştirir. Windows ortamında varsayılan kabuk programı Explorer.exe'dir. Kabuk program ihtiyaca göre, kayıt defterinden (HKLM/SOFTWARE/Microsoft/Windows NT/Current Version/Winlogon yolu altındaki "Shell" anahtarı değiştirilerek) özelleştirilebilir.

Oturum açık durumu
"Oturum açık" durumunda kullanıcı aktif kabuk ile etkileşim içerisindedir. Winlogon bu durumda, kullanıcıdan oturumunu kapatmasını veya iş istasyonunu kilitlemesini bekler. Eğer oturum kapatılmak istenirse, Winlogon bu oturuma ait tüm prosesleri sonlandırarak iş istasyonunu kullanıcılar için hazır hale getirir ve kendi durumunu da "Oturum kapalı" olarak değiştirir. Eğer iş istasyonu kilitlenmek istenirse, Winlogon bu oturuma ait prosesleri devam ettirir ve kendi durumunu da "İş istasyonu kilitleme" olarak değiştirir.

İş istasyonu kilitleme durumu
Winlogon "İş istasyonu kilitleme" durumunda iken, kullanıcı güvenli masaüstü ile etkileşim halindedir. Winlogon bu durumda, kullanıcıdan oturumunu açmasını veya oturumunu kapatmasını bekler. Eğer oturum devam ettirilmek istenirse, Winlogon, kullanıcıdan kimlik bilgilerini girmesini bekler. Kullanıcının girdiği kimlik bilgileri doğruysa yerel ve grup ilkelerine bakılarak kullanıcıya özel herhangi bir yasaklama olup olmadığının kontrolü gerçekleştirilir. Kullanıcı bir yasaklama ile karşılaşmıyorsa oturum açma işlemi başarılı olur.  Oturum açıldığında mevcut kabuk program devam ettirilir ve Winlogon kendi durumunu "Oturum açık" olarak değiştirir. Eğer oturum kapatılmak istenirse, Winlogon açık oturuma ait tüm prosesleri sonlandırarak iş istasyonunu kullanıcılar için hazır hale getirir ve kendi durumunu da "Oturum kapalı" olarak değiştirir.


Kaynak site:
https://www.bilgiguvenligi.gov.tr/microsoft-guvenligi/windows-isletim-sisteminde-oturum-acma-islemi-winlogon.html

Okunası Makaleler: Kerberos / NTLM / LM

Kerberos / NTLM / LM Makaleleri

Comparing Windows Kerberos and NTLM Authentication Protocols
Kaynak site:
http://www.windowsitpro.com/article/kerberos/comparing-windows-kerberos-and-ntlm-authentication-protocols

LANMAN Şifre Özetinin Zayıflıkları
Kaynak site:

http://www.bilgiguvenligi.gov.tr/microsoft-guvenligi/lanman-sifre-ozetinin-zayifliklari.html

How I Cracked your Windows Password
Kaynak site:
http://blog.csdn.net/wangjiannuaa/article/details/6741650

NTLM Challenge Response is 100% Broken (Yes, this is still relevant)
Kaynak site:
http://markgamache.blogspot.com/2013/01/ntlm-challenge-response-is-100-broken.html

Kimlik Doğrulama: Kerberos
Kaynak site:
http://ertugrulbasaranoglu.blogspot.com/2013/01/notlar-kerberos.html