derwowusste
Goto Top

Dauerkarte für Windows-Domänen: das "golden ticket"

Stellt Euch mal folgendes vor... jemand hat sich eines Windows-Domänenadminkennwortes bemächtigt - Euch fällt das auf und ihr ändert alle Nutzer-Kennwörter, inklusive aller Domänenadmins... und doch kann der jenige sich bei geeigneter Vorarbeit jederzeit wieder Zugriff verschaffen.

Das ist traurige Realität, wie dieses Tutorial nachweist.

http://blog.cobaltstrike.com/2014/05/14/meterpreter-kiwi-extension-gold ...

Content-Key: 240291

Url: https://administrator.de/contentid/240291

Printed on: June 12, 2024 at 14:06 o'clock

Member: colinardo
colinardo Jun 06, 2014 updated at 09:51:02 (UTC)
Goto Top
Oh je oh je ...
ich sags ja, das Wort SICHER im Zusammenhang mit Betriebssystemen existiert in meinem Wortschatz schon seit einiger Zeit nicht mehr...face-wink

Danke für die Info

G. Uwe
Member: AlFalcone
AlFalcone Jun 06, 2014 at 21:05:54 (UTC)
Goto Top
Positiver Nebeneffekt, die Kunden invesiteren wieder in Qualität und verabschieden sich von Geiz ist Geil.
Member: DerWoWusste
DerWoWusste Jun 07, 2014 at 08:50:35 (UTC)
Goto Top
Erklär' mal, AlFalcone
Member: AndiEoh
AndiEoh Jun 12, 2014 at 11:57:05 (UTC)
Goto Top
Oha, da muss ich mir gleich eine Notiz machen das das Password des "krbtgt" in solchen Fällen zu ändern ist...
An manchen Stellen wird allerdings erwähnt das Windows diese Passwort auch selbstständig ändert, aber wahrscheinlich orintiert es sich dabei an der Gültigkeitsdauer der ausgegebenen Tickets face-wink

Danke für den Hinweis
Member: psannz
psannz Jun 13, 2014 at 04:48:01 (UTC)
Goto Top
Sers,

vielen Dank für den Post. Da läuft es einem schon kalt den Rücken runter...

Noch trauriger: es reicht allein der phyisikalische Zugang zu einem (unverschlüsselten) DC mit Tastatur und etwa Windows Server DVD bzw. USB Stick. Hängt damit zusammen dass MS im Logon Screen nicht prüft ob der "OnScreen Tastatur Button" auch wirklich auf die korrekte osk.exe-Datei zeigt. Die osk.exe umbennen, etwa die cmd.exe kopieren und in osk.exe benennen, reboot, und schon hast du ne Kommandozeile mit SYSTEM-Rechten auf dem Logon Screen des DC.
Effekt? All your base are belong to us.
Betroffen sind Vista bis 2012 R2.

Problematisch gerade wenn in kleinen Filialen oder Aussenstellen einfach nur ein kleiner Server als DC, Druckerserver und vielleicht noch Datengrab steht und der dann nicht physikalisch abgesichert ist.

Grüße,
Philip
Member: DerWoWusste
DerWoWusste Jun 13, 2014 at 06:38:54 (UTC)
Goto Top
Verschlüsselung sollte aber bei offen rumstehenden selbstverständlich sein, bzw. RODC nutzen. Aber das ist offtopic.
Member: Systembastler
Systembastler Jun 13, 2014 at 09:06:36 (UTC)
Goto Top
Das ist der Hammer. Das geht übrigens auch mit Utilman.exe auf allen Win7 Kisten. Einfach cmd.exe in utilman.exe unter system32 umbennenen und man hat vollen Zugriff auf das OS.

Eine Frage zu dem Link: Reicht es wirklich das krbtgt Passwort zu ändern um das Domain Admin acc wieder zu schützen?

"The only way to invalidate these golden tickets is to change the krbtgt user’s password on the domain controller."
Member: AndiEoh
AndiEoh Jun 13, 2014 at 09:45:06 (UTC)
Goto Top
So wie ich das verstanden habe wird das Password des krbtgt user zur Verschlüssselung/Validierung der Kerberos Tickets verwendet. Durch das Ändern des Password werden damit alle Kerberos Tickets ungültig und die betroffenen Maschinen/Dienste müssen sich neu anmelden. Dazu wird dann das gültige Password benötigt...

Gruß

Andi
Member: DerWoWusste
DerWoWusste Jun 13, 2014 updated at 10:39:19 (UTC)
Goto Top
Dass man ein nicht verschlüsseltes System manipulieren kann, ist "der Hammer"? Na... das weiß doch jedes Kind seit es Festplatten gibt, dass man unverschlüsselten, zugänglichen PCs nicht trauen darf. Lasst doch bitte diese utilman/osk-Nummer außen vor hier.

Zu Systembastlers Frage: genau wie AndiEoh schreibt.