GenericAll

Définition

GenericAll est le droit d'accès Active Directory le plus permissif pouvant être attribué sur un objet de l'annuaire, équivalent à un contrôle total : lecture et écriture de tous les attributs, modification de la liste de contrôle d'accès (ACL) elle-même, réinitialisation du mot de passe d'un compte utilisateur, ajout ou suppression de membres dans un groupe, et modification des propriétés de délégation. Dans l'outil d'analyse de chemins d'attaque BloodHound, une arête GenericAll est considérée comme critique car elle ouvre systématiquement une voie de compromission complète de l'objet cible, qu'il s'agisse d'un utilisateur, d'un groupe, d'un ordinateur ou d'un contrôleur de domaine. Un attaquant disposant de GenericAll sur un compte utilisateur peut par exemple réinitialiser son mot de passe ou lui assigner un SPN pour effectuer un Kerberoasting ciblé ; sur un objet ordinateur, il peut activer la délégation contrainte pour usurper des services. Ce droit résulte souvent de configurations héritées, de délégations d'administration mal maîtrisées via l'assistant de délégation de contrôle, ou d'ACL accordées historiquement à des groupes de service. L'audit régulier des ACL via des outils comme BloodHound, PingCastle ou ADACLScanner permet d'identifier ces droits excessifs, en particulier lorsqu'ils sont détenus par des comptes non privilégiés ou des groupes trop largement peuplés.

Fonctionnement technique

GenericAll est un droit d'accès Windows qui inclut : GENERIC_READ, GENERIC_WRITE, GENERIC_EXECUTE, DELETE, WRITE_DAC, WRITE_OWNER. Il est la combinaison de tous les droits possibles sur un objet AD. BloodHound le détecte via l'analyse des DACL de tous les objets du domaine.

Exploitation et vecteurs d'attaque

Sur Utilisateur : Réinitialisation mot de passe, Shadow Credentials, Targeted Kerberoasting
Sur Groupe : AddMember → escalade via groupe privilégié
Sur Ordinateur : RBCD, Shadow Credentials, resource abuse
Sur GPO : Modification GPO pour exécution code sur cibles

Détection et mitigation

BloodHound : identification de tous les GenericAll vers objets sensibles
ACL Audit avec PingCastle, ADACLScanner
Event ID 5136 : modifications résultantes

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis