Top 10 mistakes running a windows network

1. Rafel Ivgi
Defensia LTD
1

2. ‫אני‬ ‫מי‬?
•‫מעל‬12‫מידע‬ ‫אבטחת‬ ‫וטכנולוגיה‬ ‫בפיתוח‬ ‫שנים‬.
•‫מ‬ ‫יותר‬ ‫פרסמתי‬-100‫המידע‬ ‫אבטחת‬ ‫בתחום‬ ‫מאמרים‬
‫כולל‬MS04-025, MS05-005 :
•‫ומחקר‬ ‫מידע‬ ‫אבטחת‬ ‫צוות‬ ‫מנהל‬ ‫הייתי‬MCRC""‫בחברת‬
Finjan‫בשנת‬2004.
•‫הטכנולוגית‬ ‫היחידה‬ ‫בוגר‬8200,‫ב‬ ‫לזכייה‬ ‫שותף‬ ‫פעמיים‬
"‫ישראל‬ ‫בטחון‬ ‫פרס‬."
•‫בעבר‬,‫סמנכ‬"‫ב‬ ‫טכנולוגיות‬ ‫ל‬"Citadel."
2

3. ‫אני‬ ‫מי‬?
3

4. ‫אני‬ ‫מי‬?
4

5. ‫אני‬ ‫מי‬?
5

6. ‫אני‬ ‫מי‬?
6

7. ‫אני‬ ‫מי‬?
7

8. ‫אנחנו‬ ‫מי‬–Defensia?
8

9. “The shoemaker's son always goes barefoot”
•‫ב‬ ‫שמשתמשים‬ ‫אדמיניסטרטורים‬Windows XP‫ב‬ ‫ולא‬
Windows 7‫ה‬ ‫או‬Windows 7‫בלי‬UAC(‫שקול‬ ‫כמעט‬)
•‫חלשה‬ ‫שלהם‬ ‫האישי‬ ‫החשבון‬ ‫של‬ ‫שהסיסמא‬ ‫אדמיניסטרטורים‬
–‫מלקוח‬ ‫דוגמא‬:12345:ZORIK
•‫מסריקות‬ ‫חלק‬ ‫לא‬ ‫הוא‬ ‫שלהם‬ ‫שהמחשב‬ ‫אדמיניסטרטורים‬
‫המידע‬ ‫אבטחת‬
•‫פאטצ‬ ‫חסר‬ ‫עצמם‬ ‫שלהם‬ ‫אדמיניסטרטורים‬'‫ים‬
•‫אנטי‬ ‫אין‬ ‫עצמם‬ ‫שלהם‬ ‫אדמיניסטרטורים‬-‫וירוס‬
•‫מוצפן‬ ‫לא‬ ‫נייד‬ ‫מחשב‬ ‫עם‬ ‫אדמיניסטרטורים‬
9

10. Domain Administrators on Users VLAN
•‫מחוברים‬ ‫ומשתמשים‬ ‫אדמיניסטרטורים‬ ‫בישראל‬ ‫הארגונים‬ ‫ברוב‬
‫ה‬ ‫לאותו‬VLAN
•‫מסוגל‬ ‫משתמש‬:
–‫האדמיניסטרטור‬ ‫של‬ ‫מחשבו‬ ‫את‬ ‫לתקוף‬(NetBIOS Brute Force)
–‫שם‬ ‫לזייף‬NetBIOS‫מקומי‬ ‫שרת‬ ‫של‬(NBNS Race Condition)
–‫ו‬ ‫הרשת‬ ‫תעבורת‬ ‫על‬ ‫להשתלט‬:
•‫קבצי‬ ‫להחליף‬EXE‫בהרשאות‬ ‫שירוצו‬Domain Administrator
•‫לגנוב‬Hashes & Passwords‫של‬Domain Administrators
•‫מתקפות‬ ‫לבצע‬MiTM‫עם‬Downgrade Attacks‫כגון‬ ‫מאובטחים‬ ‫חיבורים‬ ‫על‬
SSH, SSL‫ו‬RDP
10

11. Domain Administrator with a Weak Password
11

12. Domain Administrator Without the Conficker
Patch (MS08-067)
12

13. (LM and NTLM v1) vs. (NTLM v.2)
•‫שה‬ ‫ברגע‬Hash‫ה‬ ‫של‬Administrator‫ברשת‬ ‫עובר‬,‫שלו‬ ‫הזהות‬
‫להגנב‬ ‫יכולה‬:
–‫ב‬ ‫להשתמש‬ ‫ניתן‬Hash‫באמצעות‬Pass-The-Hash
–‫ה‬ ‫את‬ ‫לשבור‬ ‫ניתן‬Hash‫באמצעות‬Dictionary, Brute Force, Rainbow
13

14. (LM and NTLM v1) vs. (NTLM v.2)
14

15. Pass The Hash
15

16. Pass The Hash
16

17. Pass The Hash
17

18. Daily logon as a Domain Administrator
•‫להגדרה‬ ‫העונה‬ ‫אדם‬ ‫בני‬ ‫בין‬ ‫ישות‬ ‫יש‬ ‫האם‬"‫אלוהים‬"?
–‫כזאת‬ ‫ישות‬ ‫להיות‬ ‫צריכה‬ ‫לא‬ ‫במחשבים‬ ‫גם‬
•‫כאשר‬ ‫האם‬Administrator‫איננו‬ ‫הוא‬ ‫האישי‬ ‫למחשבו‬ ‫מחובר‬
‫רגיל‬ ‫משתמש‬?
–‫אינטרנט‬ ‫לאתרי‬ ‫גולש‬ ‫הוא‬ ‫האם‬?
–‫לפייסבוק‬ ‫נכנס‬ ‫הוא‬ ‫האם‬?
–‫אותם‬ ‫ופותח‬ ‫אימיילים‬ ‫מקבל‬ ‫הוא‬ ‫האם‬?
–‫אפליקציות‬ ‫ומתקין‬ ‫מוריד‬ ‫הוא‬ ‫האם‬?
–‫וירוס‬ ‫להיות‬ ‫יכול‬ ‫שהוריד‬ ‫באפליקציה‬ ‫האם‬?
–‫בהרשאות‬ ‫שרץ‬ ‫וירוס‬ ‫מסוגל‬ ‫מה‬Domain Administrator?18

19. Using Domain Administrator For
Services
•‫שרת‬ ‫למה‬MSSQL‫הרשאות‬ ‫צריך‬Domain Administrator?
•‫הסיסמא‬‫הגולמית‬(‫ה‬ ‫לא‬Hash)‫ואדמין‬ ‫במכונה‬ ‫מוצפנת‬ ‫נשמרת‬
‫ב‬ ‫אותה‬ ‫לשלוף‬ ‫מסוגל‬ ‫מקומי‬Clear Text
•‫הרשאות‬ ‫צריך‬ ‫השירות‬ ‫בו‬ ‫המקרה‬Domain Administrator
‫קיים‬ ‫ולא‬ ‫כמעט‬
•‫בפועל‬,‫הן‬ ‫צורך‬ ‫בהם‬ ‫שיש‬ ‫נפוצות‬ ‫הכי‬ ‫ההרשאות‬Local
Administrator‫מקומי‬,‫עצמו‬ ‫השרת‬ ‫על‬
•‫ב‬ ‫רק‬ ‫צורך‬ ‫יש‬ ‫גבוהות‬ ‫הכי‬ ‫ההרשאות‬ ‫את‬ ‫צריכים‬ ‫בהם‬ ‫המקרים‬
Local Administrator‫מקומי‬,‫ושרתים‬ ‫משתמשים‬ ‫על‬
19

20. Managing the network with Local
Administrator Accounts
•‫הוא‬ ‫המרכזי‬ ‫הצורך‬ ‫המקרים‬ ‫ברוב‬:
–‫ומשתמשים‬ ‫בשרתים‬ ‫להתקין‬ ‫היכולת‬
–‫ב‬ ‫מרחוק‬ ‫להתחבר‬C$‫ו‬Remote Registry
–‫מרוחקות‬ ‫סריקות‬ ‫ביצוע‬
•‫לבצע‬ ‫אפשר‬99%‫תפקידים‬ ‫חלוקת‬ ‫באמצעות‬ ‫מהמשימות‬
(Separation Of Duties)‫הבאים‬ ‫לתפקידים‬
–Users Group – Local Administrators
–Servers Group – Local Administrator
–Change Password Privilege
20

21. The NetLogon Folder
•‫בתיקיית‬ ‫לגוי‬ ‫שימוש‬Netlogon‫להשגת‬ ‫הקלאסית‬ ‫הדרך‬ ‫היא‬
Domain Administrator
•‫הם‬ ‫נפוצים‬ ‫הכי‬ ‫המקרים‬:
–‫של‬ ‫סיסמאות‬ ‫עם‬ ‫סקריפטים‬Local Administrators‫ב‬Clear Text
–‫זו‬ ‫לתיקיה‬ ‫כתיבה‬ ‫הרשאות‬ ‫פשוט‬ ‫משתמש‬
•‫לוגית‬ ‫בעיה‬–‫אוטומטי‬ ‫באופן‬ ‫לאיתור‬ ‫ניתנת‬ ‫לא‬ ‫כמעט‬
•‫יותר‬ ‫ותיק‬ ‫שהארגון‬ ‫ככל‬,‫ה‬"‫אוצרות‬"‫יותר‬ ‫רבים‬ ‫זו‬ ‫בתיקיה‬
21

22. The NetLogon Folder
test.kix – Revealing the Citrix UI Password
22

23. The NetLogon Folder
addgroup.cmd – Revealing the local
Administrator of THE ENTIRE NETWORK
23

24. The NetLogon Folder
password.txt – can’t get any better for a hacker
24

25. LSA Secrets & Protected Storage
•‫עם‬ ‫מאובטחת‬ ‫לעבודה‬ ‫פונקציונאליות‬ ‫מייצאת‬ ‫ההפעלה‬ ‫מערכת‬
‫סיסמאות‬
•‫הסיסמאות‬ ‫נשמרות‬ ‫זו‬ ‫במערכת‬/‫מ‬ ‫ההצפנה‬ ‫מפתחות‬:
–Internet Explorer
–NetBIOS Saved Passwords
–Windows Service Manager
25

26. LSA Secrets
26

27. LSA Secrets
27

28. Protected Storage
28

29. Protected Storage
29

30. Wireless Passwords
30

31. Cached Logons
•‫ל‬ ‫המחובר‬ ‫משתמש‬Domain‫נייד‬ ‫ממחשב‬,‫מסוגל‬ ‫לא‬
‫ל‬ ‫להתחבר‬Domain‫בבית‬ ‫הוא‬ ‫כאשר‬
•‫ש‬ ‫כך‬ ‫סימולציה‬ ‫מתבצעת‬ ‫לכן‬:
–‫ה‬Hash‫במחשב‬ ‫נשמר‬ ‫המשתמש‬ ‫של‬ ‫הסיסמא‬ ‫של‬
–‫ה‬ ‫ממנה‬ ‫מיוצר‬ ‫ההזדהות‬ ‫בתהליך‬ ‫הסיסמא‬ ‫את‬ ‫מזין‬ ‫הוא‬ ‫כאשר‬Hash‫והוא‬
‫ה‬ ‫אוסף‬ ‫מול‬ ‫מושווה‬Hashes‫השמורים‬
•‫הבעיה‬:‫שמירת‬ ‫היא‬ ‫המחדל‬ ‫ברירת‬10‫ה‬Hashes‫השונים‬
‫למכונה‬ ‫שהתחברו‬ ‫האחרונים‬
•‫בשרת‬ ‫מדובר‬ ‫אם‬ ‫אלא‬,‫מופיע‬ ‫אדמין‬ ‫דומיין‬ ‫שמשתמש‬ ‫כנראה‬
‫זו‬ ‫ברשימה‬
31

32. Cached Logons
•‫הארגונים‬ ‫רוב‬‫בין‬ ‫זו‬ ‫במדיניות‬ ‫ההבדלה‬ ‫את‬ ‫מבצעים‬ ‫לא‬
‫נייחים‬ ‫מחשבים‬‫לניידים‬
•‫מקשיחים‬ ‫לא‬ ‫הארגונים‬ ‫רוב‬:
–‫ל‬ ‫הנייחות‬ ‫העמדות‬ ‫את‬0
–‫ל‬ ‫הניידים‬ ‫המחשבים‬ ‫את‬1
–‫ל‬ ‫השרתים‬ ‫את‬2-3
•‫מסקנה‬–‫משתמש‬/‫יכול‬ ‫מקומי‬ ‫אדמין‬ ‫הרשאת‬ ‫עם‬ ‫תוקף‬
‫להשיג‬Domain Admin‫בארגון‬ ‫מחשב‬ ‫כל‬ ‫של‬ ‫מהזכרון‬.
32

33. Password History
•‫שנדרשת‬ ‫פעם‬ ‫בכל‬ ‫הסיסמא‬ ‫אותה‬ ‫את‬ ‫להזין‬ ‫ממשתמשים‬ ‫למנוע‬ ‫בכדי‬
‫ה‬ ‫את‬ ‫שומרת‬ ‫המערכת‬ ‫סיסמא‬ ‫החלפת‬Hash‫הישנות‬ ‫הסיסמאות‬ ‫של‬
‫המקומי‬ ‫במחשב‬.
•‫שמירת‬ ‫היא‬ ‫המחדל‬ ‫ברירת‬ ‫הגדרת‬24‫אחורנית‬ ‫סיסמאות‬
•‫מחשב‬ ‫על‬ ‫הרשאות‬ ‫שמשיג‬ ‫תוקף‬,‫הסיסמאות‬ ‫משפחות‬ ‫כל‬ ‫את‬ ‫משיג‬
‫המחשב‬ ‫אותו‬ ‫על‬ ‫הקיימים‬ ‫המשתמשים‬ ‫חשבונות‬ ‫כל‬ ‫של‬
•‫עד‬ ‫יכיל‬ ‫בעבר‬ ‫נוסף‬ ‫אחד‬ ‫מישהו‬ ‫רק‬ ‫שימש‬ ‫שבממוצע‬ ‫מחשב‬48
‫סיסמאות‬
•‫בד‬ ‫אלו‬ ‫סיסמאות‬"‫בארגון‬ ‫אחרים‬ ‫וחשבונות‬ ‫במחשבים‬ ‫בשימוש‬ ‫כ‬.
33

34. Users as Local Administrators
•‫בהרשאות‬ ‫מחובר‬ ‫מקומי‬ ‫משתמש‬ ‫כאשר‬Local Administrator,
‫ה‬ ‫כל‬Integrity‫בסיכון‬ ‫המקומית‬ ‫המערכת‬ ‫של‬
•‫ה‬ ‫את‬ ‫להוציא‬ ‫מסוגל‬ ‫משתמש‬Hashes‫הישנות‬ ‫הסיסמאות‬ ‫של‬
‫המשתמשים‬ ‫כל‬ ‫של‬
•‫ה‬ ‫את‬ ‫להוציא‬ ‫מסוגל‬ ‫משתמש‬Hashes‫הנוכחיות‬ ‫הסיסמאות‬ ‫של‬
‫למכונה‬ ‫שהתחברו‬ ‫המשתמשים‬ ‫כל‬ ‫של‬,‫כולל‬Domain Admin
34

35. ‫להקשיח‬ ‫שוכחים‬
RestrictAnonymous=1
35

36. Weak Passwords / No Complexity
Enforcement
•‫חלשות‬ ‫סיסמאות‬=Brute Force‫מוצלח‬
•‫במילון‬ ‫שמופיעות‬ ‫חזקות‬ ‫סיסמאות‬(Password1!)
•‫הארגון‬ ‫של‬ ‫מחדל‬ ‫ברירת‬ ‫או‬ ‫ישנות‬ ‫סיסמאות‬
36

37. Guess What the password was?
37