Active Directory 공격 체인 요약노트
Certified 박스(08-Certified)를 풀면서 GenericWrite, Shadow Credentials, ESC9 같은 개념이 계속 나왔는데, 그때그때 검색해서 따라간 거라 전체 흐름이 머릿속에 안 남아 있었음 나중에 비슷한 문제를 만났을 때 바로 떠올릴 수 있도록 체인 형태로 정리해둠
일반적인 AD 공격 흐름
초기 접근 (약한 자격증명, 익명 SMB/LDAP)
→ 정찰 (BloodHound로 권한 그래프 확인)
→ 권한 상승 경로 탐색 (GenericWrite/GenericAll/WriteOwner 등)
→ 권한 악용 (Shadow Credentials, DACL 조작)
→ 티켓 획득 (TGT/NTLM 해시)
→ 횡적 이동 or 최종 권한 획득
BloodHound가 찾아주는 대표 권한들
| 권한 | 의미 | 악용 방향 |
|---|---|---|
| GenericAll | 대상 객체에 대한 완전한 권한 | 비밀번호 재설정, 그룹 멤버십 변경 등 뭐든 가능 |
| GenericWrite | 거의 모든 속성 쓰기 가능 | Shadow Credentials, SPN 추가(Kerberoasting 유도) |
| WriteOwner | 객체 소유자 변경 가능 | 소유권을 자신에게 옮긴 뒤 DACL 재구성 |
| WriteDACL | 접근 제어 목록 자체를 수정 가능 | 자신에게 GenericAll을 부여하는 규칙 추가 |
| AddMember | 그룹에 멤버 추가 가능 | 특권 그룹에 자기 계정 슬쩍 추가 |
Shadow Credentials 공격 — 다시 정리
- 타겟 계정에 GenericWrite/WriteProperty 권한 확보
- 공격자가 만든 공개키를 대상의
msDS-KeyCredentialLink속성에 써넣음 - PKINIT 인증으로 TGT 발급받음 (비밀번호 없이도 가능)
- TGT → NTLM 해시 추출 → Pass-the-Hash로 서비스 접근
왜 이 공격이 강력한가
비밀번호를 몰라도, 계정을 잠그지 않고도 조용히 인증 수단을 추가할 수 있다는 점이 핵심임 로그에도 “비밀번호 변경”이 아니라 “속성 변경”으로만 남아 눈에 덜 띔
ESC 시리즈 감각 (AD CS 취약점)
ESC1~ESC9까지 번호가 늘어나는데, 공통적으로 “인증서 템플릿 설정 실수를 악용해 원하는 신원으로 인증서를 발급받는다”는 큰 줄기는 같음
Certified 박스에서 만난 ESC9는 NoSecurityExtension 플래그가 켜져 있으면 UPN만 보고 신원을 확인하는 결함을 이용했음
다음에 또 막힐 것 같은 지점
- 권한 상승 경로가 한 단계가 아니라 여러 단계로 이어질 때(A→B→C) BloodHound 그래프를 어떻게 더 효율적으로 읽을지 아직 손에 안 익었음
- Kerberoasting/AS-REP Roasting처럼 다른 AD 공격 기법도 같은 체인 형식으로 정리해두면 좋을 것 같음