#active-directory

Spring Boot: Handling the OAuth2 Login Flow

Spring Boot tích hợp Azure AD authentication thông qua Spring Security, cho phép frontend không cần trực tiếp xử lý token. Cơ chế này hoạt động bằng cách sử dụng OAuth2LoginConfigurer để cấu hình client ID, client secret và authorization server URI. Khi người dùng đăng nhập, Spring Security tự động trao đổi authorization code lấy access token và refresh token mà không can thiệp vào frontend. Giải pháp này loại bỏ nhu cầu quản lý token trên client-side, giảm thiểu rủi ro bảo mật và đơn giản hóa mã frontend.

Bài này giúp lập trình viên hiểu cách Spring Security xử lý luồng OAuth2 với Azure AD mà không cần frontend can thiệp vào token.

HTB: Garfield

Garfield is an assume breach Active Directory box with a read-only domain controller hidden on an internal network behind the main DC. I’ll find I can write the logon script path for other users as well as files in the SYSVOL scripts folder, and use that to get a shell as the next user. That user can reset the password on their admin account, which has control over the RODC’s computer object. I’ll get administrator access on the RODC two ways, by setting myself as its delegated administrator through a writable managedBy attribute, and with resource-based constrained delegation. Then I’ll rewrite the RODC’s password replication policy so the domain Administrator can be cached there, and show multiple ways to get Administrator, including forcing replication and forging an RODC golden ticket from both Windows and Linux.

October 2026 CVE Landscape

In October 2026, Insikt Group® identified 82 high-impact vulnerabilities that should be prioritized for remediation, 52 of which had a Very Critical Recorded Future Risk Score. This represents a 13% decrease from last month.

Under pressure: it’s time to get realistic about ransomware and resilience

Most ransomware victims are attacked more than once, Semperis's 2026 report finds. Why realistic crisis exercises and identity recovery matter.

Fixing Hybrid Join Sync Failures: Domain-Joined PCs Not Appearing in Microsoft Entra ID

Troubleshoot Microsoft Entra hybrid join failures when domain-joined PCs do not sync as devices. Learn how AD connectivity and the userCertificate attribute affect Entra Connect device sync.

Mi Scusi, My SCSI: Abusing iSCSI Target Server

Unauthenticated iSCSI lets attackers impersonate initiators and steal credentials from shared virtual disks, bypassing NTFS entirely.

CyberStrikeAI attacks educational institutions

We analyze a series of attacks on educational institutions that were fully automated during the post-exploitation phase using the CyberStrikeAI penetration testing framework.

Hunting 'Zombie Accounts' in Active Directory

Zombie accounts are orphaned logins that are enabled but have no identifiable owner, and they build up across Active Directory, Azure/Entra, Google and SaaS systems like Adobe and Apple. The author shares scripts used to find zombie accounts, cautioning not to rely on them as-is because they were written for an older era and some APIs have changed. One case involved about 500 employees missing from the building and campus entry system, traced to a background-check date field set two hundred years in the future. Another cleanup caught tens of thousands of undead former student and faculty Google accounts after a COVID-era deletion moratorium, and the Apple ID personal account export was under ten thousand. The fix the author pushes for is consolidating integrations and audits under a database-scripted model instead of windowed, linear-time reconciliation.

HTB: Checkpoint

Checkpoint là một Active Directory với chế độ assume breach, nơi tài khoản khởi đầu có quyền đặc biệt với Recycle Bin. Mình sẽ khôi phục người dùng đã xóa nhưng vẫn giữ mật khẩu mặc định, sau đó dùng quyền ghi vào share để cài extension độc hại vào VS Code qua job đồng bộ, đạt được shell. Mặc dù BadSuccessor đã vá lỗi trên domain controller, kỹ thuật BetterSuccessor vẫn hoạt động khi có quyền ghi vào tài khoản mục tiêu, thu được NTLM hash. Cuối cùng, tài khoản này đọc được share VMware backups, dùng vmkatz để trích hash admin từ memory snapshot, phát hiện hash này được tái sử dụng bởi Administrator domain.

Bài này cung cấp kỹ thuật khai thác lỗ hổng BadSuccessor và cách lấy hash administrator từ VMware backup trong Active Directory.

Signed, Sealed, and Relayed, NTLM-style: Bypassing LDAP Signing Through Reauthentication

An LDAP signing bypass let attackers relay NTLM to domain controllers even with signing required. Why the October 2026 patch matters.

CJIS v6.1 Compliance: 5 Practical Priorities for Agencies

CJIS v6.1 yêu cầu các cơ quan bảo trì xác thực mạnh mẽ, bảo mật tài khoản và kiểm toán đồng thời chứng minh tuân thủ liên tục. Specops đề xuất năm ưu tiên thực tế bao gồm MFA (xác thực đa yếu tố), quản lý tài khoản, mật khẩu, logging và khả năng kiểm toán. Yêu cầu cụ thể như tài khoản admin phải dùng MFA, lưu trữ log ít nhất 1 năm, và chính sách mật khẩu tối thiểu 15 ký tự. Các cơ quan cần triển khai tool như Specops Password Policy để đáp ứng các tiêu chuẩn về độ dài và độ phức tạp mật khẩu. Đáng học hỏi cách cân bằng giữa bảo mật và khả năng vận hành khi triển khai các yêu cầu CJIS v6.1.

Bài viết này giúp lập trình viên hiểu rõ cách triển khai CJIS v6.1 compliance trong thực tế qua 5 ưu tiên cụ thể.

Modern Active Directory and Linux Non-Human Identity (NHI) Security: Debunking the RC4 Myth and Building Autonomous Wire-Level Defense

Bối cảnh từ lab thử nghiệm thực tế trên Windows Server cho thấy vấn đề bảo vệ identity (NHI) trong Active Directory và Linux. Nguyên nhân kỹ thuật bắt nguồn từ sự phụ thuộc vào protocol lỗi thời như RC4, vốn được chứng minh dễ bị tấn công. Hệ quả là các hệ thống dễ bị xâm phạm thông qua wire-level attack, gây rủi ro nghiêm trọng cho hạ tầng mạng. Bài viết đề xuất giải pháp tự động hóa phòng thủ wire-level, với các số liệu cụ thể về hiệu suất sau khi triển khai. Các lập trình viên nên đọc bài này để hiểu rõ cách giảm thiểu rủi ro từ NHI bằng công nghệ hiện đại.

Bài viết này giúp lập trình viên hiểu rõ về bảo mật danh tính phi con người trong môi trường Active Directory và Linux, phá vỡ các lầm tưởng về RC4 và xây dựng cơ chế phòng thủ tự động cấp độ dây.

Automate Active Directory joins for Elastic Beanstalk Windows applications

AWS Elastic Beanstalk now automatically joins Windows Server instances to an Active Directory domain at launch, before application deployment, eliminating the need for custom .ebextensions join scripts and stored domain credentials. Administrators configure a DirectoryId and DirectoryName (and optionally a DirectoryOU) in the aws:elasticbeanstalk:windows:activedirectory namespace; instances authenticate the join using their instance profile and the Directory Service CreateComputer API, then rename themselves to EC2-XXXXXXXX and reboot. A walkthrough demonstrates creating a managed directory, launching an environment, confirming the join via a sample ASP.NET Core app and deployment logs, then deliberately breaking the join (via a nonexistent OU) to show that failed joins don't fail the deployment—Elastic Beanstalk falls back to IP-derived hostnames and logs the failure for diagnosis. The feature requires a Windows Server platform version released on or after August 18, 2026.

Ransomware Recovery Isn’t a Backup Problem. It’s an Identity Problem.

Bối cảnh khôi phục sau ransomware không chỉ là vấn đề backup. Fenix24 phát hiện downtime kéo dài khi Active Directory bị xâm phạm và thiếu kế hoạch quản lý identity. Nguyên nhân kỹ thuật là kẻ tấn công lợi dụng lỗ hổng trong Active Directory để chiếm quyền kiểm soát hệ thống. Hệ quả là downtime trung bình lên đến 23 ngày, gấp đôi so với các cuộc tấn công khác. Bài viết nhấn mạnh việc triển khai Zero Trust Identity như một giải pháp phòng ngừa hiệu quả cho lập trình viên đang xây dựng hệ thống.

Bài viết này giúp lập trình viên hiểu rằng phục hồi ransomware không chỉ phụ thuộc vào sao lưu mà còn liên quan mật thiết đến bảo vệ danh tính và quản lý Active Directory.

The MFA Gaps Attackers are Still Exploiting

Attackers continue exploiting gaps in MFA coverage, using stolen credentials to access VPNs, RDP, and Windows systems that still rely on passwords alone. Specops explains why protecting cloud applications isn't enough and how organizations can close these authentication gaps.

No Identity, No Recovery: Cyber Resilience Starts With IAM

The proliferation of enterprise apps and the centrality of cloud identity providers requires an identity security rethink.

tenfold CE: Our free Identity Governance tool just got 2 new features

tenfold has added shared content governance and real-time event auditing to its free Community Edition for organizations with under 150 users. The new features help teams manage Microsoft 365 sharing and investigate suspicious identity activity.

Warlock Ransomware Hits Large Spanish, Portuguese Orgs

Nhóm ransomware Warlock, hoạt động được một năm từ nhóm hacker Trung Quốc, nhắm vào các tổ chức lớn ở Tây Ban Nha và Bồ Đào Nha bằng phương pháp đánh kiểu APT cấp nhà nước. Kẻ tấn công khai thác lỗ hổng CVE-2023-38831 trong Arcserve UDP để triển khai payload LockFile ransomware qua PowerShell. Hậu quả là nhiều tổ chức mất dữ liệu quan trọng và buộc phải trả tiền chuộc, trong khi mã độc còn thêm chức năng steal thông tin nhạy cảm. Điều đáng học là các tổ chức cần cập nhật vá cho Arcserve UDP và triển khai EDR để phát hiện hoạt động đáng ngờ của PowerShell, dù nhóm này chỉ nhắm vào mục tiêu chọn lọc.

Warlock Ransomware đe dọa các tổ chức lớn bằng cách kết hợp phương thức tội phạm mạng với khả năng của nhóm APT liên quan đến nhà nước.

Catch threats before they escalate with real-time Identity Telemetry

Identity governance helps control who should have access, but periodic reviews alone may not reveal attacks as they happen. tenfold Software explains how real-time identity telemetry can help security teams investigate suspicious activity before it escalates.

FBI's CJIS v6.1: What Security Teams Need to Know.

FBI đã cập nhật CJIS Security Policy lên phiên bản 6.1, tập trung tăng cường yêu cầu về encryption và vulnerability scanning. Sự thay đổi này tiếp tục xu hướng chuyển dịch sang đánh giá bảo mật liên tục (continuous security assessment). Các agency cần chuẩn bị cho việc kiểm tra password, MFA và identity requirements trong các đợt audit sắp tới. Bài viết cung cấp thông tin chi tiết về các thay đổi cụ thể và cách thức đáp ứng các yêu cầu mới này.

Bài viết này giúp lập trình viên hiểu rõ các yêu bảo bảo mật mới nhất của FBI CJIS v6.1 để xây dựng hệ thống tuân thủ và an toàn hơn.

PAYLOAD ransomware attacks through Active Directory GPO

PAYLOAD ransomware tấn công mà không mã hóa file hay sử dụng binary, khai thác cơ chế Group Policy Objects trong Active Directory. Kaspersky GERT phát hiện ransomware này lợi dụng chính sách group policy để triển khai mã độc trên nhiều máy cùng lúc. Chiến dịch này cho thấy kẻ tấn công đã tận dụng các thành phần hệ thống quản trị hợp lệ của Windows để thực hiện hoạt động độc hại mà không cần file thực thi. Điều này cảnh báo nguy cơ bảo mật từ chính các công cụ quản trị mạng nội bộ, đòi hỏi kiểm soát chặt chẽ Group Policy Objects để ngăn chặn tấn công kiểu mới.

Bài viết này giúp lập trình viên hiểu cách ransomware lây lan qua Active Directory mà không cần file thực thi, từ đó bảo vệ hệ thống hiệu quả hơn.