WriteDACL
adDéfinition
Droit de contrôle d'accès AD permettant de modifier la DACL d'un objet. Permet de s'octroyer n'importe quel autre droit, équivalant au contrôle total.
Abus : ajout de DS-Replication-Get-Changes-All (DCSync), GenericAll sur un admin, écriture msDS-AllowedToActOnBehalfOfOtherIdentity (RBCD), droits d'inscription sur un modèle AD CS. Outils : PowerView Add-DomainObjectAcl, dacledit.py. BloodHound cartographie les relations WriteDACL. Détection : événements 5136 sur les attributs de sécurité.
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis