DCSync Attack

DCSync, domain üzerinde ki kullanıcıların ve en önemlisi krbtgt hesabının hashini ele geçirmek için kullanılabileceğimiz saldırı tekniğidir. Krbtgt hesabının hashini ele geçirerek golden ticket saldırılarımızı yapabilme şansımız artıyor. DCSync saldırısı gerçekleştirmek için, Replicating Directory Changes All ve Replicating Directory Changes yetkilerine sahip bir kullanıcının hesabını ele geçirmiş olmamız gerekmektedir. Bu yetkilere sahip olan kullanıcılar normalde var olan domaini başka bir domaine kopyalayabilmektedir. Tabi bu kopyalama sırasında kullanıcı bilgileri, dns kayıtları gibi bilgileri de bu yetkili kullanıcıların bilmesi gerektiğini unutmayalım. Saldırganlarda bu hesapları taklit ederek sanki bir domain taşıma-kopyalama isteği yaparmışçasına kibarca bu bilgileri domainden istemektedir. Administrators, Domain Admins, Enterprise Admins, ve Domain Controllers kullanıcıları varsayılan olarak bu yetkilere sahiptir. Ama kurumun tercihine göre her hangi sıradan bir kullanıcıya da bu yetkilerin verilmesi mümkündür.

Bunun için impacket kütüphanesinden secretsdump.py kullanılabilir.

python3 secretsdump.py domain.com/User:Pass@DC-IP

Yada mimikatz de kullanabiliriz.

lsadump::dcsync /domain:FORMULA1.local /user:krbtgt

Artık krbtgt hesabının hashini ele geçirdiğimize göre Golden Ticket saldırısı yaparak sistemde kalıcı hale gelebiliriz!

Ref:https://attack.stealthbits.com/privilege-escalation-using-mimikatz-dcsync