Controller」で発表のありましたmimikatzの機能であるlsadump::dcshadow(DCShadow)について取り上げたいと思います。Delpy氏が作成したWindowsのメモリ上に存在する認証情報の収集などを行うためのツールです。Ticketによるなりすましなどインパクトのある発表を多くされています。2018で発表のあったDCShadowについて、デモを交えて説明されていました。mimikatzには、DCShadowと似たような機能としてlsadump::dcsync(DCSync)という機能も存在します。それぞれどういう違いがあるのか、そこから見ていきましょう。Directoryにおけるドメインコントローラーに関して簡単に記載します。ドメインコントローラーは認証情報を管理したり、利用者からの認証を行ったりするために利用されます。Directory内のリソースへのアクセスができなくなったり、認証情報のキャッシュ状況にも依りますが端末へのログインさえできなくなってしまう可能性もあります。そのため、ドメインコントローラーは一般的に複数台で構成させます。複数のドメインコントローラーが存在しても、同一の認証情報を保持しているため、どのドメインコントローラーに対して認証を行っても、問題なく認証が行われ、リソースを利用することができます。認証情報は、ドメインコントローラー上に存在するntds.ditファイルに認証情報が格納されています。ある利用者がパスワードを変更した場合はいったいどうなるのでしょうか。物理的な構成などを考慮し設計(site)されたサーバの中から優先度の高いドメインコントローラーに対して利用者は通信を行います。利用者のパスワード変更が発生するとドメインコントローラーは、ほかのドメインコントローラーに対して最新の情報を伝え、ntds.ditファイルが常に同じものになるように動作します。このように複数台のドメインコントローラー間で同一の認証情報を保持します。DCSync、DCShadowの両方ともドメインコントローラーへのなりすましに起因する攻撃であり、端的に言うとDCSyncは情報取得が可能、DCShadowは情報の改ざんが可能である攻撃です。Controllersグループに属しているアカウントの権限を用いて、ドメインコントローラーになりすまして利用者のパスワードハッシュ(NTLMハッシュ)を取得することができます。パスワードのハッシュであり、平文のパスワードを取得できるわけではありませんが、KRBTGTアカウントのパスワードのNTLMハッシュが取得される可能性があります。Ticket)を生成するために利用されます。Ticketを生成される可能性があります。Directoryの情報を改ざんすることが可能となります。2は、ドメインコントローラーの管理コンソールで変更対象となるユーザのプロパティを開いたもので、改ざん前の状態です。Changed!!」に書き換えた様子です。Historyの改ざんによるなりすましなどに悪用される可能性があります。Directoryの仕様であるため、セキュリティパッチなどは提供されていません。Controllersグループに属しているアカウントが乗っ取られないようにすることがポイントとなります。USA2018およびDEFCONに参加し、海外におけるペネトレーションテストの実施状況などが垣間見えることがありました。対象とする企業規模が違うためかもしれませんが、複数のフォレストを対象としたシナリオなど日本との違いを感じました。日本とアメリカとの違いを感じたのは、ペネトレーションテストの方法だけではありません。Hourなる仕組みが存在していました。HourはPM10時から閉店まで値引きを行うというものでした(ただし、スナックだけのようです)。Hourを導入してほしいなぁと思いながら、飲みに行ってきます、テキーラを。