LogoLogo
  • πŸ§‡Team. WAFFLE
  • κ°œμš”
  • κ°œλ…
  • 섀계
  • κ΅¬ν˜„
    • Infrastructure
    • Breadcrumbs
  • Adversary Simulation
    • Part 1. Victim Client
    • Part 2. AD FS
  • λ‘œκΉ…Β·νƒμ§€
    • 1. lsass dump
    • 2. impacket - psexec.py
    • 3. ADFSdump.exe
    • 4. Golden SAML μ‚¬μš©
  • 의의 및 ν•œκ³„
  • 참고자료
Powered by GitBook
On this page
  • 2.1. 곡격 μˆ˜ν–‰ κΈ°μ „
  • 2.2. 단계 별 λ‘œκΉ…
  1. λ‘œκΉ…Β·νƒμ§€

2. impacket - psexec.py

Previous1. lsass dumpNext3. ADFSdump.exe

Last updated 1 month ago

2.1. 곡격 μˆ˜ν–‰ κΈ°μ „

  • SMB μ—°κ²° 및 인증

    • SMBConnection을 μ‚¬μš©ν•˜μ—¬ TCP 445 포트(기본적으둜) λ˜λŠ” 139 포트λ₯Ό 톡해 SMB둜 λŒ€μƒμ— μ—°κ²°

    • NTLM ν•΄μ‹œ 기반 인증(Pass-the-Hash) λ˜λŠ” Kerberos 인증 지원

    • 인증이 μ™„λ£Œλ˜λ©΄ IPC$ κ³΅μœ μ— μ ‘κ·Ό

  • 원격 μ„œλΉ„μŠ€ 등둝 및 μ‹€ν–‰

    • RemComSvc 기반으둜 μ„œλΉ„μŠ€ μ„€μΉ˜ 및 μ‹€ν–‰

    • ServiceInstall 클래슀λ₯Ό ν™œμš©ν•˜μ—¬ PSEXESVC λ˜λŠ” RemCom_communication 같은 μ΄λ¦„μœΌλ‘œ μ„œλΉ„μŠ€ 등둝

    • SCManagerλ₯Ό 톡해 \\\\PIPE\\\\svcctl둜 RPC DCE/RPC 호좜 μ‹€ν–‰

  • λͺ…λ Ή μ‹€ν–‰ 및 κ²°κ³Ό λ°˜ν™˜

    • cmd.exe μ‹€ν–‰ ν›„ ν‘œμ€€ 좜λ ₯(STDOUT) 및 ν‘œμ€€ 였λ₯˜(STDERR) λ¦¬λ””λ ‰μ…˜

    • RemoteStdInPipe, RemoteStdOutPipe, RemoteStdErrPipe 클래슀λ₯Ό 톡해 λͺ…λ Ή μ‹€ν–‰ κ²°κ³Ό 전달

2.2. 단계 별 λ‘œκΉ…

  1. 원격 둜그인 이벀트 (Pass-the-Hash 탐지)

    • [AD FS] Event ID 4672 (Special Logon)

  2. 원격 μ„œλΉ„μŠ€ μ„€μΉ˜ 탐지

    • [AD FS] Event ID 7045 (μ„œλΉ„μŠ€ μ„€μΉ˜)

      • %systemroot%\ μ•„λž˜ λžœλ€ν•œ 8자리 λ¬Έμžμ—΄λ‘œ .exe μ—…λ‘œλ“œλ¨

  3. 원격 곡유 μ ‘κ·Ό (SMB ν™œλ™)

    • [AD FS] Event ID 5140 & 5145 (SMB μ ‘κ·Ό)

      • 곡유된 λ¦¬μ†ŒμŠ€ 이름: IPC$, ADMIN$

      • SMBλ₯Ό 톡해 원격 λͺ…λ Ή μ‹€ν–‰ μ‹œλ„

  4. 원격 ν”„λ‘œμ„ΈμŠ€ μ‹€ν–‰ (cmd.exe)

    • [AD FS] Event ID 4688 (ν”„λ‘œμ„ΈμŠ€ 생성)

      • 2.μ—μ„œ μƒμ„±ν•œ μ„œλΉ„μŠ€κ°€ Creator Process Name이 되고, SYSTEM κΆŒν•œμœΌλ‘œ cmdκ°€ μ‹€ν–‰λ˜λŠ” 것을 확인할 수 있음