דילוג לתוכן הראשי
AD Academy
חזרה לקורס
מתקפות מתקדמות והגנות מודרניות
מתקדם14 דקותעודכן לאחרונה: נושא 3 מתוך 4

ניצול ACL ב־Active Directory

GenericAll, WriteDACL ומסלולי הסלמה שקטים.

לא הושלם

מה תלמדו כאן

  • איך הרשאות ACL הופכות לדרך תקיפה
  • מה זה GenericAll ו־WriteDACL
  • איך מאתרים הרשאות מסוכנות

כדאי לקרוא לפני הנושא הזה:Golden Ticket ו־Silver Ticket

הרשאות שהוענקו ברשלנות על אובייקטים ב־ הן אחד ממסלולי ההסלמה הנפוצים ביותר — והן לא דורשות ניצול חולשה טכנית כלל.

  • GenericAll — שליטה מלאה באובייקט (אפשר לאפס סיסמה).
  • WriteDACL — אפשר להעניק לעצמך כל הרשאה.
  • WriteOwner — אפשר להפוך לבעלים ואז לשנות הרשאות.
  • ForceChangePassword — איפוס סיסמת משתמש אחר.
# בדיקת ACL על אובייקט
(Get-Acl "AD:\CN=Domain Admins,CN=Users,DC=lab,DC=local").Access |
  Where-Object { $_.ActiveDirectoryRights -match "GenericAll|WriteDacl|WriteOwner" }
powershell
ארכיטקטורה ותיאוריה — מתחת למכסה המנוע

כל אובייקט ב־ נושא DACL — רשימת הרשאות. הרשאות 'תמימות' כמו WriteDacl או GenericAll על קבוצה מאפשרות למשתמש רגיל להוסיף את עצמו ל־ Admins. זה מסלול הסלמה נפוץ יותר מכל אקספלויט.

  • GenericAll — שליטה מלאה על אובייקט.
  • WriteDacl — שינוי ההרשאות עצמן.
  • WriteOwner — לקיחת בעלות ואז שינוי הכול.
  • ForceChangePassword — איפוס סיסמה של משתמש אחר.
  • AddMember — הוספת חברים לקבוצה.
הגדרה מעשית (PowerShell / GUI)
# בדיקת ACL על קבוצה קריטית
(Get-Acl "AD:$( (Get-ADGroup 'Domain Admins').DistinguishedName )").Access |
  Where-Object { $_.ActiveDirectoryRights -match 'Write|GenericAll' }

# הסרת הרשאה חשודה
$acl = Get-Acl "AD:$( (Get-ADGroup 'Domain Admins').DistinguishedName )"
$acl.RemoveAccessRuleAll(($acl.Access | Where IdentityReference -eq 'CORP\bad_user'))
Set-Acl -Path "AD:$( (Get-ADGroup 'Domain Admins').DistinguishedName )" -AclObject $acl
powershell
תרחישי אמת בארגון
  • Helpdesk עם ForceChangePassword על משתמשים רגישים = הסלמה זמינה.
  • OU שנשכח עם Everyone:GenericAll — קלאסיקה של מיזוגי חברות.
  • AdminSDHolder עם הרשאות מיותרות — משפיע על כל החשבונות המוגנים.
אבחון ופתרון תקלות
  • Event 5136 — שינוי אובייקט (Directory Service Changes חייב להיות מופעל).
  • Event 4728/4732 — הוספת חבר לקבוצה גלובלית/מקומית.
  • בקרו AdminSDHolder אחת לשעה (SDProp) — הוא מחזיר הרשאות למקום.
מילון מונחים ושורת פקודות מהירה
  • DACL — Discretionary ACL.
  • SDProp — תהליך שמחיל AdminSDHolder.
  • — כלי חינמי למיפוי מסלולי הסלמה.

בדוק את עצמך

מה מאפשרת הרשאת WriteDACL על אובייקט?

העמוד הזה עזר לך?

הקודםהבא