WS IT-Solutions · Blog: Security (Hacking & Defense)

WS IT-Solutions

Zum Themenbereich Security gehören Kenntnisse zu Schutzmaßnahmen ebenso wie Kenntnisse zu Angriffsstrategien und Hacking-Tools.

Serie „Anatomie eines Hacks“ – Step 3d Variante 3: „Privilege Escalation mit Unquoted Service Paths“

2020-08-04 sysadm Hacking, PowerShell-Hacking

In meinem LAB zeige ich eine Möglichkeit, wie Angreifer aus einer Benutzer-Sitzung in den System-Kontext aufsteigen können. Dabei nutze ich eine Kombination von System-Schwachstelle und administrativer Schlamperei aus: ich suche nach Unquoted Service Paths. Der Angriff ist durchaus bekannt. Aber hier gibt es noch einmal einige Hintergrundinformationen und ein Video!

Serie „Anatomie eines Hacks“ – Step 3d Variante 2: „Privilege Escalation mit Scheduled Tasks“

2020-08-04 sysadm Hacking, PowerShell-Hacking

Die Rechteausweitung (Privilege Escalation) ist durchaus ein fester Bestandteil in Attacken, denn meist werden die Angreifer nur von Benutzern mit Standard-Berechtigungen „eingeladen“. Hier zeige ich eine Möglichkeit, wie eine schlecht abgesicherte, geplante Aufgabe ausgenutzt werden kann.

Gegenmaßnahme zum Angriff „DNS-Wildcard“

2020-08-03 sysadm Defense, PowerShell Active Directory

In diesem Beitrag stelle ich eine proaktive Gegenmaßnahme zu dem Angriff mit der DNS-Wildcard vor – natürlich mit einem PowerShell-Script!

Serie „Anatomie eines Hacks“ – Step 3e Variante 4: „Lateral Movement mit einer DNS-Wildcard“

2020-08-03 sysadm Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“. In meinem LAB gelingt es mir, einen Schadcode im Sicherheitskontext eines Standardbenutzers zu starten. Mein nächster Schritt ist die Modifikation des AD-integrierten DNS – mit einer DNS-Wildcard!

Serie „Anatomie eines Hacks“ – Step 3e Variante 3: „Lateral Movement vs. Protected User“

2020-05-03 sysadm Defense, Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“. In meinem LAB übernehme ich die Kontrolle über einen Windows Server 2016. Ich kann nun von jedem Benutzer, der sich auf dem System anmeldet, die Anmeldeinformation stehlen. Mein Opfer ist ein Administrator, der sich durch die Mitgliedschaft in der Gruppe „Protected Users“ in Sicherheit wiegt. Ob ich es schaffe, seine Identität zu übernehmen?

PowerShell GUI Script Privileged Access Management Just Enough Administration

Privileged Access Management mit Just Enough Administration (Update V1.09)

2020-02-24 sysadm Defense, PowerShell Active Directory, Script-Galerie, Windows Server 2016, Windows Server 2019

Privilegierte Benutzer im 24/7-Modus sind ein Sicherheitsrisiko. Daher bin ich zu Gruppenmitgliedschaften auf Zeit übergegangen. Leider bietet Microsoft nichts Out-of-the-Box. Daher habe ich eine eigene Losung gebaut: Mit einer PowerShell-GUI, Just Enough Administration und Privileged Access Management. Hier stelle ich das Update v1.09 vor.

Serie „Anatomie eines Hacks“ – Step 3b Variante 2: „Persistence mit RegRun“

2020-01-16 sysadm Defense, Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt einen Weg, wie sich der Angreifer nach dem ersten Verbindungsaufbau dauerhaft im System einnisten kann. Dabei wird die Registry und der bekannte Schlüssel HKCU:\Software\Microsoft\Windows\CurrentVersion\Run …

Serie „Anatomie eines Hacks“ – Step 2 Variante 4: „Ein Browser DriveBy“

2020-01-15 sysadm Defense, Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“und zeigt eine mögliche Variante für den initialen Verbindungsaufbau. Dabei nutze ich eine recht moderne (aber bereits gepatchte) Schwachstelle für den Internet Explorer. Ein einfaches Aufrufen einer präparierten Website genügt, um eine versteckte ReversePowerShell zu starten …

Serie „Anatomie eines Hacks“ – Step 2 Variante 3: „E-Mail mit Word-Datei“

2020-01-15 sysadm Defense, Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“und zeigt eine mögliche Variante für den initialen Verbindungsaufbau. Diese kennt ihr ganz sicher: Ein Benutzer bekommt eine Mail mit einer angehängten Word-Datei. Beim Öffnen wird dann (nach dem Wegklicken der ganzen Warnungen) der Schadcode aktiv – und der Rechner wird ferngesteuert…

Serie „Migration auf Windows Server 2019“ – Installation eines HTML5-RDS-Servers (WS-RDS1)

2019-10-28 sysadm Defense, Windows Server 2019

Dieser Eintrag gehört zu meiner Serie „Migration zu Windows Server 2019„. In dieser möchte ich euch die Aktualisierung meiner Server-Infrastruktur von 2012R2/2016 auf 2019 dokumentieren. Es ist eine lebendige Welt von Systemen, die mir wichtig sind. Mit realen Anforderungen und Bedingungen werde ich alle Arbeitsschritte erläutern.

Ich bin viel unterwegs. Daher benötige ich eine Lösung für einen Remotezugriff auf meine Infrastruktur. Früher verwendete ich ein VPN. Heute nutze ich meine RDS-RemoteApps. Und morgen darfs vielleicht ein RDS-Server auf Windows Server 2019 mie einem HTML5-Webclient sein…

Aktivierung von Kerberos im Exchange Server 2016/2019

2019-10-19 sysadm Defense, Exchange Server

Ich wollte den Zugriff auf meine Exchange Server 2016 besser absichern. Aktuell meldeten sich meine Clients mit NTLM an. Dieses Protokoll hat einige Schwachstellen (einige habe ich bereits in meinem Blog beschrieben). Daher wollte ich die Anmeldung auf Kerberos umstellen.

Die Mutation eines Schadcodes (mimikatz) vs. Windows 10 v1903

2019-07-25 sysadm Defense, Hacking, PowerShell-Hacking

Moderne Betriebssysteme schützen ihre Anwender immer zuverlässiger vor Schadcodes. Ein Hacking-Tool, das gestern noch funktionierte kann heute erfolgreich an der Ausführung behindert werden. So erging es mir mit einem Tool, das ich gerne verwende: mimkatz. Der Windows Defender auf einem modernen Windows 10 v1903 wollte es einfach nicht zulassen.

Das kann ich doch so nicht stehen lassen, oder? Eben: CHALLENGE ACCEPTED! 🙂

Eine wahre Bruteforce-Geschichte

2019-07-21 sysadm Defense, Windows Server 2016, Windows Server 2019

Meine Infrastruktur wurde im Laufe der Zeit immer komplexer. Anfangs standen alle Clients und Server direkt hinter dem Internetrouter. Später schaltete ich eine PFSense dazwischen, um die Datenströme zu filtern und somit die Sicherheit zu erhöhen. Und mit der Zeit kamen immer neue Sicherheitsfeatures dazu. Damit wurde meine Infrastruktur unhackbar! Klingt unglaublich? Genau, denn es kam alles ganz anders…

Serie „Anatomie eines Hacks“ – Step 3a Variante 3: „DNS-Reconnaissance ohne AdminRechte“

2019-05-05 sysadm Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt, wie man an verschiedenen Geheimnisse und Daten herankommt, wenn man einmal eine Verbindung zum Ziel aufgebaut hat. Im Detail zeige ich euch eine Methode von mir, mit der man OHNE zusätzliche Tools und ohne administrative Rechte im Kontext eines Standardbenutzers

Serie „Anatomie eines Hacks“ – Step 3c Variante 4: „Austricksen eines Passwortsafes“

2019-05-03 sysadm Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt, wie man an verschiedenen Geheimnisse und Daten herankommt, wenn man einmal eine Verbindung zum Ziel aufgebaut hat. Hier seht ihr, wie ein Angreifer ohne administrative Rechte an die Passworte eines Passwortsafes gelangt. Die eingesetzten Techniken umfassen einen Keylogger und einen

Serie „Anatomie eines Hacks“ – Step 3a Variante 2: „ActiveDirectory-Reconnaissance ohne AdminRechte“

2019-05-03 sysadm Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt, wie man an verschiedenen Geheimnisse und Daten herankommt, wenn man einmal eine Verbindung zum Ziel aufgebaut hat. Für das Ausspähen von Informationen aus dem ActiveDirectory sind keine zusätzlichen Tools erforderlich, denn die PowerShell kann auch ohne das RSAT-PowerShell-Modul LDAP-Abfragen senden

Serie „Anatomie eines Hacks“ – Step 3c Variante 3: „Browser-Anmeldeinformationen auslesen“

2019-05-03 sysadm Hacking, PowerShell-Hacking

Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt, wie man an verschiedenen Geheimnisse und Daten herankommt, wenn man einmal eine Verbindung zum Ziel aufgebaut hat. Alles klar? Dann geht weiter mit der Übersicht. Die Übersicht ist zu durcheinander? Kein Problem: seht hier einfach das nächste Video der Reihe!

Privileged ADUser Analyse

2019-03-01 sysadm Defense, PowerShell Active Directory, Script-Galerie, Windows Server 2012R2, Windows Server 2016

In vielen ActiveDirectory-Domains gibt es etliche Benutzerkonten, die hochprivilegiert sind. Nicht wenige davon können durch verschiedene Faktoren ein Risiko darstellen. Der Klassiker sind dabei Benutzer, die mit nicht ablaufenden Kennwörtern als ServiceAccount eingesetzt werden. Und wie oft habe ich diese Konten schon als Mitglied der Domain-Admin-Gruppe gesehen… 🙁 Wenn die

Forensik einer Trojaner-Infektion

2019-02-26 sysadm Defense, Hacking

In den letzten Monaten steht der Trojaner Emotet immer wieder in den Schlagzeilen. Das er leistungsfähig ist kann kaum wiederlegt werden. Aber wie wird man eigentlich infiziert? Nur wenn man die Infektionswege und Varianten versteht, kann man sich richtig schützen.

Um dieses Thema zu klären habe ich eine scharfe Variante analysiert. Das Ergebnis möchte ich in diesem WSHowTo präsentieren.

Hacking – Kerberos GoldenTicket

2019-01-26 sysadm Defense, Hacking

Vielleicht habt ihr den Begriff „GoldenTicket“ ja schon in meiner Videoserie „Anatomie eines Hacks“ gesehen, eventuell kam er euch auch schon mal in einem anderen Kontext unter. Aber was ist das eigentlich? Und viel interessanter: Wie und warum funktioniert das? Diese Fragen möchte ich in diesem kleinen Beitrag mit unterhaltsamen Animationen klären.