👤 Что такое Service Account? Когда начинают изучать Active Directory, серверную инфраструктуру или облачные сервисы, часто встречают термин Service Account.

📌 Service Account — это специальная учётная запись, которая используется не человеком, а программой, службой, сервером или автоматизированным процессом.

То есть от её имени могут работать: — службы Windows; — базы данных; — системы резервного копирования; — агенты мониторинга; — веб-приложения; — CI/CD-системы; — скрипты автоматизации; — облачные сервисы и API. 🧠 Главное отличие от обычного пользователя Обычная учётная запись принадлежит человеку. Например:

ivan.petrov

Service Account принадлежит сервису или приложению. Например:

svc_backup
svc_sql
svc_zabbix
svc_webapp

💡 Представьте, что в компании работает система резервного копирования. Чтобы она могла подключаться к серверам и сохранять данные, ей нужна учётная запись с определёнными правами. Для этого создают отдельную Service Account:

DOMAIN\svc_backup

Этой учётной записи разрешают доступ только к нужным серверам и папкам. 💀 Почему Service Account интересна пентестерам? Потому что такие учётные записи часто: — имеют повышенные права; — используются сразу на нескольких серверах; — работают круглосуточно; — имеют пароли, которые редко меняются; — запускают важные службы; — могут иметь доступ к базам данных, резервным копиям и внутренним системам. Если злоумышленник получает пароль от Service Account, он может использовать её для дальнейшего перемещения по инфраструктуре. 📌 Типичная цепочка может выглядеть так:

Обычный пользователь
        ↓
Поиск сохранённых учётных данных
        ↓
Компрометация Service Account
        ↓
Доступ к серверу или сервису
        ↓
Перемещение по сети

Не всегда Service Account имеет административные права. Но даже ограниченная техническая учётная запись может дать доступ к важным данным или внутренним системам. 🧠 Service Account в Active Directory В доменной инфраструктуре такие учётные записи часто используются для запуска: — SQL Server; — IIS; — систем мониторинга; — резервного копирования; — планировщика заданий; — корпоративных приложений. Примеры:

DOMAIN\svc_sql
DOMAIN\svc_backup
DOMAIN\svc_monitoring

⚙️ Управляемые Service Account В Active Directory существуют специальные управляемые учётные записи: — MSA — Managed Service Account; — gMSA — Group Managed Service Account. У gMSA пароль автоматически создаётся и меняется средствами Active Directory. Это безопаснее, чем обычная Service Account с постоянным паролем. 🔐 Как защищать Service Account Рекомендуется: — выдавать только минимально необходимые права; — запрещать интерактивный вход; — использовать отдельную учётную запись для каждого сервиса; — регулярно менять пароли и ключи; — не хранить пароль в открытом виде в скриптах; — контролировать входы и действия; — отключать неиспользуемые учётные записи; — по возможности использовать gMSA. 📌 Главная мысль:

Service Account — это техническая учётная запись, через которую программа или сервис получает доступ к другим системам без участия человека.

#infra #ad #windows #serviceaccount #privilege

🎫 Что такое Pass-the-Ticket? Мы уже разобрали: 🔐 NTLM → Pass-the-Hash Теперь пришло время второй популярной техники в инфраструктурном пентесте — Pass-the-Ticket.

📌 Pass-the-Ticket (PtT) — это атака, при которой злоумышленник использует уже полученный Kerberos-билет, а не пароль пользователя.

Проще говоря: вместо кражи пароля атакующий "подкладывает" системе чужой билет Kerberos и получает доступ от имени этого пользователя. 🧠 Вспомним, как работает Kerberos. Когда пользователь успешно входит в домен:

Логин
        ↓
Проверка пароля
        ↓
Domain Controller
        ↓
Выдаётся Kerberos Ticket

Именно этот билет используется для доступа к ресурсам сети. 💀 Если злоумышленник сможет получить такой билет, пароль ему уже не понадобится. Он может использовать билет для аутентификации так, словно является настоящим владельцем учётной записи. 📌 Чем отличается Pass-the-Hash от Pass-the-Ticket? Pass-the-Hash 👉 используется NTLM-хеш. Pass-the-Ticket 👉 используется Kerberos Ticket. Обычно атака выглядит так:

Получение Kerberos Ticket
        ↓
Импорт билета
        ↓
Доступ к сервисам

🛠 Для работы с Kerberos-билетами часто используют: — Mimikatz — Rubeus — Impacket 🧠 Важно понимать:

Pass-the-Ticket — это не способ получить билет, а способ использовать уже полученный. Поэтому чаще всего сначала злоумышленник получает доступ к системе, извлекает Kerberos-билеты из памяти, а затем использует их для перемещения по инфраструктуре.

📌 Именно поэтому защита рабочих станций и серверов так важна. Если атакующий получает возможность читать память процессов с билетами Kerberos, это может стать отправной точкой для дальнейшего развития атаки. #infra #ad #kerberos #passtheticket

🌐 Что такое DHCP? Подключаете ноутбук к домашнему Wi-Fi или корпоративной сети... И уже через несколько секунд у вас появляется: — IP-адрес — шлюз (Gateway) — DNS-сервер Но кто вообще выдаёт все эти настройки? Ответ — DHCP.

📌 DHCP (Dynamic Host Configuration Protocol) — это протокол, который автоматически выдаёт устройствам сетевые параметры.

Проще говоря, именно DHCP "знакомит" ваш компьютер с сетью. Снова представим компанию, где работает 500 сотрудников😉. Если бы каждому компьютеру пришлось вручную прописывать: — IP-адрес — маску сети — шлюз — DNS администраторы бы занимались только этим 😄 Именно поэтому практически в каждой современной сети используется DHCP. ⚡️ Что обычно выдаёт DHCP? — IP-адрес — маску подсети — шлюз по умолчанию — DNS-сервер — срок аренды IP-адреса 💀 Почему DHCP интересен пентестеру? Потому что сразу после подключения к сети он может подсказать: — в какой подсети вы оказались — какой шлюз используется — какой DNS-сервер работает в сети — где могут находиться ключевые элементы инфраструктуры Иногда одного ответа DHCP достаточно, чтобы понять, что перед вами корпоративная сеть с Active Directory. 📌 Типичная цепочка после подключения выглядит так:

Подключение к сети
        ↓
DHCP выдаёт настройки
        ↓
Устройство получает IP
        ↓
Можно начинать разведку

🔥 Поэтому DHCP — один из первых протоколов, с которым сталкивается любой пентестер после попадания в локальную сеть. А уже после него начинается самое интересное: 👉 DNS, ARP, поиск живых хостов и дальнейшая разведка инфраструктуры. #infra #ad #dhcp