Active Directory bukan merupakan teknologi baru dalam dunia IT, dimana tujuan utamanya untuk memudahkan dalam pemeliharaan hardware/software, percepatan penanganan gangguan, ataupun pengawasan dalam penggunaan komputer, membuat kebijakan penggunaan komputer, serta memudahkan dalam mendeploy aplikasi pada suatu organisasi.
Layanan Active Directory yang sering digunakan yaitu DNS Server. DNS adalah sebuah sistem yang menghubungkan Uniform Resource Locator (URL) dengan Internet Protocol Address (IP Address), tujuannya memudahkan user mengakses suatu resource tanpa repot-repot mengingat IP address dari resource tersebut yang jumlahnya bisa puluhan.
Kesalahan konfigurasi bukan merupakan hal aneh, karena tiap organisasi memiliki aturan main yang berbeda dan terkadang sangat kompleks. Setiap kesalahan konfigurasi akan berbanding lurus terhadap ancaman terhadap suatu organisasi. Hal ini memudahkan penyerang ataupun user yang “nakal” yang paham akan hal tersebut, akan mencoba melakukan privilege escalation pada sebuah sistem.
Dibawah ini merupakan contoh kasusnya, dimana common user secara sengaja ataupun tidak, terdaftar pada group DnsAdmins.
Penyerang hanya perlu melakukan beberapa langkah untuk mendapatkan akses sebagai Domain Admin.
1. Generate Payload.
Payload ini digunakan penyerang untuk melakukan reset pada serverlevelplugindll yang terdapat pada registry dan digenerate dalam format *.dll.
2. Membuat file sharing
Akan menjadi direktori dimana payload disimpan dan akan diakses pada langkah selanjutnya.
3. Menjalankan dnscmd.exe
Penyerang selanjutnya menjalankan command untuk memindahkan payload ke mesin target dan melakukan reset serverlevelplugindll pada registry menggunakan payload yang dibuat pada tahap sebelumnya.
4. Restart DNS service
Langkah terakhir yaitu melakukan restart pada service DNS dan menjalankan netcat listener.
Mitigasi dari kejadian diatas:
- Pastikan hanya akun admin yang merupakan anggota group DNSAdmins dan berhak mengelola DNS.
- Secara berkala, lakukan review pada objek DNS Server untuk meminimalisir user/group mendapatkan akses privilege escalation.