NTUSTISC - AD Note - Lab(0x11偵測提權)

Lecture Video: 2022/05/04 AD 安全1

Background

• 提權方法
  • 利用弱點
  • Hijack Token
  • Guess Password
  • 管理服務
  • 錯誤配置

Lab Time - 本地提權

偵測Network Service提權

利用Event ID: 4624

• 類型: 5
• 虛擬帳戶: 是
• 提高權限的權杖: 是

這樣的rule會有高機率命中，但經過實測會發現他不會顯示出類型5和虛擬帳戶為是的event，只有類型3會被顯示出來，如下圖