Active Directory Methodology
Last updated
Last updated
Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)
Aktiewe Gids dien as 'n fundamentele tegnologie, wat netwerkadministrateurs in staat stel om doeltreffend domeine, gebruikers, en objekte binne 'n netwerk te skep en te bestuur. Dit is ontwerp om te skaal, wat die organisasie van 'n groot aantal gebruikers in hanteerbare groepe en subgroepe vergemaklik, terwyl dit toegangregte op verskeie vlakke beheer.
Die struktuur van Aktiewe Gids bestaan uit drie primêre lae: domeine, bome, en woude. 'n domein omvat 'n versameling van objekte, soos gebruikers of toestelle, wat 'n gemeenskaplike databasis deel. Bome is groepe van hierdie domeine wat deur 'n gedeelde struktuur verbind is, en 'n woud verteenwoordig die versameling van verskeie bome, wat deur vertrouensverhoudings met mekaar verbind is, wat die boonste laag van die organisatoriese struktuur vorm. Spesifieke toegang en kommunikasie regte kan op elk van hierdie vlakke aangewys word.
Belangrike konsepte binne Aktiewe Gids sluit in:
Gids – Huis al die inligting rakende Aktiewe Gids objekte.
Objek – Verwys na entiteite binne die gids, insluitend gebruikers, groepe, of gedeelde vouers.
Domein – Dien as 'n houer vir gidsobjekte, met die vermoë dat verskeie domeine binne 'n woud kan bestaan, elk wat sy eie objekversameling handhaaf.
Boom – 'n Groepering van domeine wat 'n gemeenskaplike worteldomein deel.
Woud – Die hoogtepunt van organisatoriese struktuur in Aktiewe Gids, saamgestel uit verskeie bome met vertrouensverhoudings tussen hulle.
Aktiewe Gids Domein Dienste (AD DS) omvat 'n reeks dienste wat krities is vir die gesentraliseerde bestuur en kommunikasie binne 'n netwerk. Hierdie dienste sluit in:
Domein Dienste – Sentraliseer data berging en bestuur interaksies tussen gebruikers en domeine, insluitend verifikasie en soek funksies.
Sertifikaat Dienste – Toesig oor die skepping, verspreiding, en bestuur van veilige digitale sertifikate.
Liggewig Gids Dienste – Ondersteun gids-geaktiveerde toepassings deur die LDAP protokol.
Gids Federasie Dienste – Verskaf enkele-aanmelding vermoëns om gebruikers oor verskeie webtoepassings in 'n enkele sessie te verifieer.
Regte Bestuur – Help om kopiereg materiaal te beskerm deur die ongeoorloofde verspreiding en gebruik daarvan te reguleer.
DNS Diens – Krities vir die resolusie van domeinnaam.
Vir 'n meer gedetailleerde verduideliking, kyk: TechTerms - Aktiewe Gids Definisie
Om te leer hoe om 'n AD te aanval, moet jy die Kerberos verifikasie proses regtig goed begryp. Lees hierdie bladsy as jy nog nie weet hoe dit werk nie.
Jy kan baie vind op https://wadcoms.github.io/ om 'n vinnige oorsig te kry van watter opdragte jy kan uitvoer om 'n AD te evalueer/exploit.
As jy net toegang het tot 'n AD omgewing maar jy het geen krediete/sessies nie, kan jy:
Pentest die netwerk:
Skandeer die netwerk, vind masjiene en oop poorte en probeer om kwesbaarhede te ontgin of krediete daaruit te onttrek (byvoorbeeld, drukkers kan baie interessante teikens wees.
Om DNS te evalueer kan inligting oor sleutelbedieners in die domein gee soos web, drukkers, gedeeltes, vpn, media, ens.
gobuster dns -d domain.local -t 25 -w /opt/Seclist/Discovery/DNS/subdomain-top2000.txt
Kyk na die Algemene Pentesting Metodologie om meer inligting te vind oor hoe om dit te doen.
Kyk vir null en Gaste toegang op smb dienste (dit sal nie werk op moderne Windows weergawes nie):
enum4linux -a -u "" -p "" <DC IP> && enum4linux -a -u "guest" -p "" <DC IP>
smbmap -u "" -p "" -P 445 -H <DC IP> && smbmap -u "guest" -p "" -P 445 -H <DC IP>
smbclient -U '%' -L //<DC IP> && smbclient -U 'guest%' -L //
'n Meer gedetailleerde gids oor hoe om 'n SMB bediener te evalueer kan hier gevind word:
Evalueer Ldap
nmap -n -sV --script "ldap* and not brute" -p 389 <DC IP>
'n Meer gedetailleerde gids oor hoe om LDAP te evalueer kan hier gevind word (gee spesiale aandag aan die anonieme toegang):
Besoedel die netwerk
Versamel krediete deur dienste te vervang met Responder
Toegang tot gasheer deur die relay aanval te misbruik
Versamel krediete deur valse UPnP dienste bloot te stel met evil-SSDP
Trek gebruikersname/names uit interne dokumente, sosiale media, dienste (hoofsaaklik web) binne die domein omgewings en ook uit die publiek beskikbaar.
As jy die volledige name van maatskappywerkers vind, kan jy verskillende AD gebruikersnaam konvensies probeer (**lees dit). Die mees algemene konvensies is: NaamVan, Naam.Van, NamVan (3 letters van elkeen), Nam.Van, NVaan, N.Van, VanNaam, Van.Naam, VanN, Van.N, 3 willekeurige letters en 3 willekeurige nommers (abc123).
Gereedskap:
Anonieme SMB/LDAP enum: Kyk na die pentesting SMB en pentesting LDAP bladsye.
Kerbrute enum: Wanneer 'n ongeldige gebruikersnaam aangevra word, sal die bediener reageer met die Kerberos fout kode KRB5KDC_ERR_C_PRINCIPAL_UNKNOWN, wat ons in staat stel om te bepaal dat die gebruikersnaam ongeldig was. Geldige gebruikersname sal of die TGT in 'n AS-REP antwoord of die fout KRB5KDC_ERR_PREAUTH_REQUIRED uitlok, wat aandui dat die gebruiker verplig is om vooraf-verifikasie te doen.
OWA (Outlook Web Access) Bediening
As jy een van hierdie bedieners in die netwerk gevind het, kan jy ook gebruikersenumerasie teen dit uitvoer. Byvoorbeeld, jy kan die hulpmiddel MailSniper gebruik:
Jy kan lysies van gebruikersname in hierdie github repo **** en hierdie een (statistically-likely-usernames) vind.
Maar jy moet die name van die mense wat by die maatskappy werk hê van die verkenningsfase wat jy voorheen gedoen het. Met die naam en van kan jy die skrip namemash.py gebruik om potensieel geldige gebruikersname te genereer.
Goed, jy weet jy het reeds 'n geldige gebruikersnaam maar geen wagwoorde nie... Probeer dan:
ASREPRoast: As 'n gebruiker nie die attribuut DONT_REQ_PREAUTH het nie, kan jy 'n AS_REP boodskap vir daardie gebruiker aan vra wat sekere data bevat wat deur 'n afgeleide van die gebruiker se wagwoord geënkripteer is.
Password Spraying: Kom ons probeer die mees gewone wagwoorde met elkeen van die ontdekte gebruikers, dalk gebruik 'n gebruiker 'n swak wagwoord (hou die wagwoordbeleid in gedagte!).
Let daarop dat jy ook OWA bedieners kan spuit om te probeer toegang te verkry tot die gebruikers se posbedieners.
Jy mag dalk in staat wees om uit te vind van sommige uitdaging hashes om vergiftiging van sommige protokolle van die netwerk te kraak:
As jy daarin geslaag het om die aktiewe gids te enumereer, sal jy meer e-posse en 'n beter begrip van die netwerk hê. Jy mag dalk in staat wees om NTML relay-aanvalle **** te dwing om toegang tot die AD-omgewing te verkry.
As jy toegang tot ander rekenaars of gedeeltes met die null of gas gebruiker kan kry, kan jy lêers plaas (soos 'n SCF-lêer) wat, as dit op een of ander manier toegang verkry, 'n NTML-authentisering teen jou sal aktiveer sodat jy die NTLM-uitdaging kan steel om dit te kraak:
Vir hierdie fase moet jy die krediete of 'n sessie van 'n geldige domeinrekening gecompromitteer het. As jy 'n paar geldige krediete of 'n shell as 'n domein gebruiker het, moet jy onthou dat die opsies wat voorheen gegee is steeds opsies is om ander gebruikers te kompromitteer.
Voordat jy die geverifieerde enumerasie begin, moet jy weet wat die Kerberos dubbele hop probleem is.
Om 'n rekening gecompromitteer te hê is 'n groot stap om die hele domein te begin kompromitteer, want jy gaan in staat wees om die Aktiewe Gids Enumerasie te begin:
Ten opsigte van ASREPRoast kan jy nou elke moontlike kwesbare gebruiker vind, en ten opsigte van Password Spraying kan jy 'n lys van al die gebruikersname kry en die wagwoord van die gecompromitteerde rekening, leë wagwoorde en nuwe belowende wagwoorde probeer.
Jy kan ook powershell vir verkenning gebruik wat meer stil sal wees
Jy kan ook powerview gebruik om meer gedetailleerde inligting te onttrek
'n Ander wonderlike hulpmiddel vir verkenning in 'n aktiewe gids is BloodHound. Dit is nie baie stil nie (afhangende van die versamelingsmetodes wat jy gebruik), maar as jy nie omgee daaroor nie, moet jy dit beslis probeer. Vind waar gebruikers RDP kan, vind pad na ander groepe, ens.
Ander geoutomatiseerde AD enumerasie hulpmiddels is: AD Explorer, ADRecon, Group3r, PingCastle.
DNS rekords van die AD aangesien dit dalk interessante inligting kan bevat.
'n hulpmiddel met GUI wat jy kan gebruik om die gids te enumereer is AdExplorer.exe van die SysInternal Suite.
Jy kan ook in die LDAP-databasis soek met ldapsearch om na krediete in die velde userPassword & unixUserPassword, of selfs vir Description te kyk. cf. Wagwoord in AD Gebruiker kommentaar op PayloadsAllTheThings vir ander metodes.
As jy Linux gebruik, kan jy ook die domein enumereer met pywerview.
Jy kan ook probeer om geoutomatiseerde hulpmiddels soos:
Alle domein gebruikers onttrek
Dit is baie maklik om al die domein gebruikersname van Windows te verkry (net user /domain, Get-DomainUser of wmic useraccount get name,sid). In Linux kan jy gebruik: GetADUsers.py -all -dc-ip 10.10.10.110 domain.com/username of enum4linux -a -u "user" -p "password" <DC IP>
Alhoewel hierdie Enumerasie afdeling klein lyk, is dit die belangrikste deel van alles. Toegang die skakels (hoofsaaklik die een van cmd, powershell, powerview en BloodHound), leer hoe om 'n domein te enumereer en oefen totdat jy gemaklik voel. Tydens 'n assessering sal dit die sleutelmoment wees om jou pad na DA te vind of om te besluit dat daar niks gedoen kan word nie.
Kerberoasting behels die verkryging van TGS kaartjies wat deur dienste wat aan gebruikersrekeninge gekoppel is, gebruik word en die kraken van hul enkripsie—wat gebaseer is op gebruikerswagwoorde—aflyn.
Meer hieroor in:
Sodra jy 'n paar krediete verkry het, kan jy kyk of jy toegang tot enige masjien het. Hiervoor kan jy CrackMapExec gebruik om te probeer om op verskeie bedieners met verskillende protokolle te verbind, volgens jou poort skanderings.
As jy gecompromitteerde krediete of 'n sessie as 'n gewone domein gebruiker het en jy het toegang met hierdie gebruiker tot enige masjien in die domein, moet jy probeer om jou pad te vind om privileges plaaslik te verhoog en krediete te soek. Dit is omdat jy slegs met plaaslike administrateur privileges in staat sal wees om hashes van ander gebruikers in geheue (LSASS) en plaaslik (SAM) te dump.
Daar is 'n volledige bladsy in hierdie boek oor plaaslike privilege verhoging in Windows en 'n kontrolelys. Moet ook nie vergeet om WinPEAS te gebruik nie.
Dit is baie onwaarskynlik dat jy kaartjies in die huidige gebruiker sal vind wat jou toestemming gee om onverwagte hulpbronne te benader, maar jy kan kyk:
As jy daarin geslaag het om die aktiewe gids te nommer, sal jy meer e-posse en 'n beter begrip van die netwerk hê. Jy mag in staat wees om NTML relay-aanvalle** af te dwing.**
Nou dat jy 'n paar basiese kredensiale het, moet jy kyk of jy enige interessante lêers kan vind wat binne die AD gedeel word. Jy kan dit handmatig doen, maar dit is 'n baie vervelige herhalende taak (en nog meer as jy honderde dokumente vind wat jy moet nagaan).
Volg hierdie skakel om meer te leer oor gereedskap wat jy kan gebruik.
As jy toegang tot ander rekenaars of deelshares kan kry, kan jy lêers plaas (soos 'n SCF-lêer) wat, as dit op een of ander manier toegang verkry, 'n NTML-outeentifikasie teen jou sal aktiveer sodat jy die NTLM-uitdaging kan steel om dit te kraak:
Hierdie kwesbaarheid het enige geverifieerde gebruiker toegelaat om die domeinbeheerder te kompromitteer.
Vir die volgende tegnieke is 'n gewone domein gebruiker nie genoeg nie, jy het 'n paar spesiale voorregte/kredensiale nodig om hierdie aanvalle uit te voer.
Hopelik het jy daarin geslaag om 'n lokale admin rekening te kompromitteer met behulp van AsRepRoast, Password Spraying, Kerberoast, Responder insluitend relay, EvilSSDP, bevoorregte plaaslike eskalasie. Dan is dit tyd om al die hashes in geheue en plaaslik te dump. Lees hierdie bladsy oor verskillende maniere om die hashes te verkry.
Sodra jy die hash van 'n gebruiker het, kan jy dit gebruik om te verteenwoordig. Jy moet 'n gereedskap gebruik wat die NTLM-outeentifikasie met daardie hash sal uitvoer of jy kan 'n nuwe sessielogin skep en daardie hash binne die LSASS inspuit, sodat wanneer enige NTLM-outeentifikasie uitgevoer word, daardie hash gebruik sal word. Die laaste opsie is wat mimikatz doen. Lees hierdie bladsy vir meer inligting.
Hierdie aanval is daarop gemik om die gebruiker se NTLM-hash te gebruik om Kerberos-kaarte aan te vra, as 'n alternatief vir die algemene Pass The Hash oor die NTLM-protokol. Daarom kan dit veral nuttig wees in netwerke waar die NTLM-protokol gedeaktiveer is en slegs Kerberos toegelaat word as die outentifikasieprotokol.
In die Pass The Ticket (PTT) aanvalmetode, steel aanvallers 'n gebruiker se outentifikasieticket in plaas van hul wagwoord of hashwaardes. Hierdie gesteelde kaart word dan gebruik om die gebruiker te verteenwoordig, wat ongeoorloofde toegang tot hulpbronne en dienste binne 'n netwerk verkry.
As jy die hash of wagwoord van 'n lokale administrateur het, moet jy probeer om lokaal in te log op ander rekenaars daarmee.
Let daarop dat dit baie luidrugtig is en LAPS dit sou verlig.
As 'n gebruiker bevoegdhede het om MSSQL-instansies te benader, kan hy dit gebruik om opdragte in die MSSQL-gasheer uit te voer (as dit as SA loop), die NetNTLM hash te steel of selfs 'n relay aanval uit te voer. Ook, as 'n MSSQL-instansie vertrou (databasis skakel) deur 'n ander MSSQL-instansie. As die gebruiker bevoegdhede oor die vertroude databasis het, sal hy in staat wees om die vertrouensverhouding te gebruik om ook in die ander instansie navrae uit te voer. Hierdie vertroue kan geketting word en op 'n sekere punt mag die gebruiker 'n verkeerd geconfigureerde databasis vind waar hy opdragte kan uitvoer. Die skakels tussen databasisse werk selfs oor woudvertroue.
As jy enige rekenaarobjek met die attribuut ADS_UF_TRUSTED_FOR_DELEGATION vind en jy het domeinbevoegdhede op die rekenaar, sal jy in staat wees om TGT's uit die geheue van elke gebruiker wat op die rekenaar aanmeld, te dump. So, as 'n Domein Admin op die rekenaar aanmeld, sal jy in staat wees om sy TGT te dump en hom te verpersoonlik deur Pass the Ticket te gebruik. Danksy beperkte delegasie kan jy selfs automaties 'n Drukbediener kompromitteer (hopelik sal dit 'n DC wees).
As 'n gebruiker of rekenaar toegelaat word vir "Beperkte Delegasie" sal dit in staat wees om enige gebruiker te verpersoonlik om toegang tot sekere dienste in 'n rekenaar te verkry. Dan, as jy die hash van hierdie gebruiker/rekenaar kompromitteer, sal jy in staat wees om enige gebruiker (selfs domeinadmins) te verpersoonlik om toegang tot sekere dienste te verkry.
Om SKRYF bevoegdheid op 'n Aktiewe Gids objek van 'n afgeleë rekenaar te hê, stel die verkryging van kode-uitvoering met verhoogde bevoegdhede moontlik:
Die gekompromitteerde gebruiker kan sekere interessante bevoegdhede oor sekere domeinobjekte hê wat jou kan laat beweeg lateraal/verhoog bevoegdhede.
Die ontdekking van 'n Spool diens wat luister binne die domein kan misbruik word om nuwe geloofsbriewe te verkry en bevoegdhede te verhoog.
As ander gebruikers die gekompromitteerde masjien benader, is dit moontlik om geloofsbriewe uit die geheue te versamel en selfs signale in hul prosesse in te spuit om hulle te verpersoonlik. Gewoonlik sal gebruikers die stelsel via RDP benader, so hier is hoe om 'n paar aanvalle oor derdeparty RDP-sessies uit te voer:
LAPS bied 'n stelsel vir die bestuur van die lokale Administrateur wagwoord op domein-verbonden rekenaars, wat verseker dat dit ewekansig, uniek en gereeld verander word. Hierdie wagwoorde word in Aktiewe Gids gestoor en toegang word beheer deur ACL's slegs aan gemagtigde gebruikers. Met voldoende bevoegdhede om toegang tot hierdie wagwoorde te verkry, word dit moontlik om na ander rekenaars te pivot.
Die versameling van sertifikate van die gekompromitteerde masjien kan 'n manier wees om bevoegdhede binne die omgewing te verhoog:
As kwetsbare templates geconfigureer is, is dit moontlik om hulle te misbruik om bevoegdhede te verhoog:
Sodra jy Domein Admin of selfs beter Enterprise Admin bevoegdhede kry, kan jy die domein databasis dump: ntds.dit.
Meer inligting oor DCSync aanval kan hier gevind word.
Meer inligting oor hoe om die NTDS.dit te steel kan hier gevind word
Sommige van die tegnieke wat voorheen bespreek is, kan gebruik word vir persistensie. Byvoorbeeld, jy kan:
Maak gebruikers kwesbaar vir Kerberoast
Maak gebruikers kwesbaar vir ASREPRoast
Gee DCSync bevoegdhede aan 'n gebruiker
Die Silwer Kaart aanval skep 'n legitieme Ticket Granting Service (TGS) kaart vir 'n spesifieke diens deur die NTLM hash te gebruik (byvoorbeeld, die hash van die PC rekening). Hierdie metode word gebruik om toegang tot die diensbevoegdhede te verkry.
'n Goue Kaart aanval behels dat 'n aanvaller toegang verkry tot die NTLM hash van die krbtgt rekening in 'n Aktiewe Gids (AD) omgewing. Hierdie rekening is spesiaal omdat dit gebruik word om alle Ticket Granting Tickets (TGTs) te teken, wat noodsaaklik is vir autentisering binne die AD netwerk.
Sodra die aanvaller hierdie hash verkry, kan hulle TGTs vir enige rekening wat hulle kies skep (Silwer kaart aanval).
Hierdie is soos goue kaarte wat op 'n manier vervals is wat algemene goue kaart opsporingsmeganismes omseil.
Om sertifikate van 'n rekening te hê of in staat te wees om hulle aan te vra is 'n baie goeie manier om in die gebruikersrekening te kan volhard (selfs as hy die wagwoord verander):
Om sertifikate te gebruik is ook moontlik om met hoë bevoegdhede binne die domein te volhard:
Die AdminSDHolder objek in Aktiewe Gids verseker die sekuriteit van bevoorregte groepe (soos Domein Admins en Enterprise Admins) deur 'n standaard Toegangsbeheerlys (ACL) oor hierdie groepe toe te pas om ongeoorloofde veranderinge te voorkom. egter, hierdie kenmerk kan misbruik word; as 'n aanvaller die AdminSDHolder se ACL aanpas om volle toegang aan 'n gewone gebruiker te gee, kry daardie gebruiker uitgebreide beheer oor al die bevoorregte groepe. Hierdie sekuriteitsmaatreël, wat bedoel is om te beskerm, kan dus omgekeerd werk, wat ongeoorloofde toegang toelaat tensy dit noukeurig gemonitor word.
Meer inligting oor AdminDSHolder Groep hier.
Binne elke Domein Beheerder (DC) bestaan 'n lokale administrateur rekening. Deur admin regte op so 'n masjien te verkry, kan die lokale Administrateur hash met mimikatz onttrek word. Daarna is 'n registerwysiging nodig om die gebruik van hierdie wagwoord moontlik te maak, wat vir afstandstoegang tot die lokale Administrateur rekening toelaat.
Jy kan sekere spesiale bevoegdhede aan 'n gebruiker oor sekere spesifieke domeinobjekte gee wat die gebruiker sal laat bevoegdhede in die toekoms verhoog.
Die sekuriteitsbeskrywings word gebruik om die bevoegdhede wat 'n objek oor 'n objek het, te stoor. As jy net 'n klein verandering in die sekuriteitsbeskrywing van 'n objek kan maak, kan jy baie interessante bevoegdhede oor daardie objek verkry sonder om lid van 'n bevoorregte groep te wees.
Verander LSASS in geheue om 'n universale wagwoord te vestig, wat toegang tot alle domeinrekeninge verleen.
Leer wat 'n SSP (Security Support Provider) hier is. Jy kan jou eie SSP skep om die geloofsbriewe wat gebruik word om toegang tot die masjien te verkry, in duidelike teks te vang.\
Dit registreer 'n nuwe Domein Beheerder in die AD en gebruik dit om attribuutte (SIDHistory, SPNs...) op gespesifiseerde objek te druk sonder om enige logs rakende die wysigings te laat. Jy het DA bevoegdhede nodig en moet binne die worteldomein wees. Let daarop dat as jy verkeerde data gebruik, sal daar baie lelike logs verskyn.
Voorheen het ons bespreek hoe om bevoegdhede te verhoog as jy voldoende toestemming het om LAPS wagwoorde te lees. egter, hierdie wagwoorde kan ook gebruik word om persistensie te handhaaf. Kyk:
Microsoft beskou die Woud as die sekuriteitsgrens. Dit impliseer dat die kompromittering van 'n enkele domein potensieel kan lei tot die hele Woud wat gecompromitteer word.
'n domein vertroue is 'n sekuriteitsmeganisme wat 'n gebruiker van een domein in staat stel om hulpbronne in 'n ander domein te benader. Dit skep essensieel 'n skakel tussen die autentiseringstelsels van die twee domeine, wat autentiseringverifikasies naatloos laat vloei. Wanneer domeine 'n vertroue opstel, ruil hulle spesifieke sleutels uit en hou dit binne hul Domein Beheerders (DCs), wat noodsaaklik is vir die integriteit van die vertroue.
In 'n tipiese scenario, as 'n gebruiker 'n diens in 'n vertroude domein wil benader, moet hulle eers 'n spesiale kaart aan vra wat bekend staan as 'n inter-realm TGT van hul eie domein se DC. Hierdie TGT is versleuteld met 'n gedeelde sleutel wat albei domeine ooreengekom het. Die gebruiker bied dan hierdie TGT aan die DC van die vertroude domein aan om 'n dienskaart (TGS) te verkry. Na suksesvolle validasie van die inter-realm TGT deur die vertroude domein se DC, stel dit 'n TGS uit, wat die gebruiker toegang tot die diens verleen.
Stappe:
'n klient rekenaar in Domein 1 begin die proses deur sy NTLM hash te gebruik om 'n Ticket Granting Ticket (TGT) van sy Domein Beheerder (DC1) aan te vra.
DC1 stel 'n nuwe TGT uit as die klient suksesvol geverifieer word.
Die klient vra dan 'n inter-realm TGT van DC1 aan, wat nodig is om hulpbronne in Domein 2 te benader.
Die inter-realm TGT is versleuteld met 'n vertrouensleutel wat tussen DC1 en DC2 gedeel word as deel van die twee-rigting domeinvertroue.
Die klient neem die inter-realm TGT na Domein 2 se Domein Beheerder (DC2).
DC2 verifieer die inter-realm TGT met sy gedeelde vertrouensleutel en, indien geldig, stel 'n Ticket Granting Service (TGS) uit vir die bediener in Domein 2 wat die klient wil benader.
Laastens bied die klient hierdie TGS aan die bediener aan, wat versleuteld is met die bediener se rekening hash, om toegang tot die diens in Domein 2 te verkry.
Dit is belangrik om op te let dat 'n vertroue 1 rigting of 2 rigtings kan wees. In die 2 rigtings opsies, sal albei domeine mekaar vertrou, maar in die 1 rigting vertrou verhouding sal een van die domeine die vertroude en die ander die vertrouende domein wees. In die laaste geval, sal jy slegs in staat wees om hulpbronne binne die vertrouende domein van die vertroude een te benader.
As Domein A Domein B vertrou, is A die vertrouende domein en B is die vertroude een. Boonop, in Domein A, sou dit 'n Uitgaande vertroue wees; en in Domein B, sou dit 'n Inkomende vertroue wees.
Verskillende vertrouende verhoudings
Ouers-Kind Vertroue: Dit is 'n algemene opstelling binne dieselfde woud, waar 'n kinderdomein outomaties 'n twee-rigting transitive vertroue met sy ouerdomein het. Essensieel beteken dit dat autentisering versoeke naatloos tussen die ouer en die kind kan vloei.
Kruiskoppel Vertroue: Bekend as "kortpad vertroue," word hierdie tussen kinderdomeine gevestig om verwysingsprosesse te versnel. In komplekse woude moet autentisering verwysings tipies tot by die woudwortel reis en dan af na die teikendomein. Deur kruiskoppels te skep, word die reis verkort, wat veral voordelig is in geografies verspreide omgewings.
Buitelandse Vertroue: Hierdie word tussen verskillende, nie-verwante domeine opgestel en is van nature nie-transitief. Volgens Microsoft se dokumentasie, is buitelandse vertroue nuttig om toegang tot hulpbronne in 'n domein buite die huidige woud te verkry wat nie met 'n woudvertroue verbind is nie. Sekuriteit word versterk deur SID filtrering met buitelandse vertroue.
Boomwortel Vertroue: Hierdie vertroue word outomaties gevestig tussen die woudworteldomein en 'n nuut bygevoegde boomwortel. Alhoewel dit nie algemeen teëgekom word nie, is boomwortel vertroue belangrik om nuwe domeinbome aan 'n woud toe te voeg, wat hulle in staat stel om 'n unieke domeinnaam te handhaaf en twee-rigting transitiwiteit te verseker. Meer inligting kan in Microsoft se gids gevind word.
Woud Vertroue: Hierdie tipe vertroue is 'n twee-rigting transitive vertroue tussen twee woudworteldomeine, wat ook SID filtrering afdwing om sekuriteitsmaatreëls te verbeter.
MIT Vertroue: Hierdie vertroue word gevestig met nie-Windows, RFC4120-nakoming Kerberos domeine. MIT vertroue is 'n bietjie meer gespesialiseerd en dien omgewings wat integrasie met Kerberos-gebaseerde stelsels buite die Windows-ekosisteem vereis.
'n Vertrouensverhouding kan ook transitief wees (A vertrou B, B vertrou C, dan vertrou A C) of nie-transitief wees.
'n Vertrouensverhouding kan as bidireksionele vertroue (albei vertrou mekaar) of as een-rigting vertroue (slegs een van hulle vertrou die ander) opgestel word.
Evalueer die vertrouende verhoudings
Kyk of enige sekuriteitsbeginsel (gebruiker/groep/rekenaar) toegang tot hulpbronne van die ander domein het, dalk deur ACE inskrywings of deur in groepe van die ander domein te wees. Soek na verhoudings oor domeine (die vertroue is waarskynlik hiervoor geskep).
kerberoast kan in hierdie geval 'n ander opsie wees.
Kompromitteer die rekeninge wat deur domeine kan pivot.
Daar is 2 vertroude sleutels, een vir Kind --> Ouers en nog een vir Ouers --> Kind. Jy kan die een wat deur die huidige domein gebruik word, met:
Verhoog as Enterprise admin na die kind/ouer domein deur die vertroue met SID-History inspuiting te misbruik:
Om te verstaan hoe die Konfigurasie Naam Konteks (NC) misbruik kan word, is van kardinale belang. Die Konfigurasie NC dien as 'n sentrale berging vir konfigurasie data oor 'n woud in Active Directory (AD) omgewings. Hierdie data word na elke Domein Beheerder (DC) binne die woud gerepliseer, met skryfbare DC's wat 'n skryfbare kopie van die Konfigurasie NC handhaaf. Om dit te misbruik, moet 'n mens SYSTEM regte op 'n DC hê, verkieslik 'n kind DC.
Koppel GPO aan wortel DC webwerf
Die Konfigurasie NC se Sites hou inligting oor alle domein-verbonden rekenaars se webwerwe binne die AD woud. Deur met SYSTEM regte op enige DC te werk, kan aanvallers GPO's aan die wortel DC webwerwe koppel. Hierdie aksie kan die worteldomein potensieel in gevaar stel deur beleid wat op hierdie webwerwe toegepas word, te manipuleer.
Vir diepgaande inligting kan 'n mens navorsing oor Bypassing SID Filtering verken.
Kompromitteer enige gMSA in die woud
'n Aanvalsvector behels die teiken van bevoorregte gMSA's binne die domein. Die KDS Wortel sleutel, wat noodsaaklik is vir die berekening van gMSA se wagwoorde, word binne die Konfigurasie NC gestoor. Met SYSTEM regte op enige DC, is dit moontlik om toegang tot die KDS Wortel sleutel te verkry en die wagwoorde vir enige gMSA oor die woud te bereken.
Gedetailleerde analise kan gevind word in die bespreking oor Golden gMSA Trust Attacks.
Schema verandering aanval
Hierdie metode vereis geduld, terwyl daar gewag word vir die skepping van nuwe bevoorregte AD-objekte. Met SYSTEM regte kan 'n aanvaller die AD Schema wysig om enige gebruiker volledige beheer oor alle klasse te verleen. Dit kan lei tot ongemagtigde toegang en beheer oor nuutgeskepte AD-objekte.
Verder leeswerk is beskikbaar oor Schema Change Trust Attacks.
Van DA na EA met ADCS ESC5
Die ADCS ESC5 kwesbaarheid teiken beheer oor Publieke Sleutel Infrastruktuur (PKI) objekte om 'n sertifikaat sjabloon te skep wat autentisering as enige gebruiker binne die woud moontlik maak. Aangesien PKI objekte in die Konfigurasie NC woon, stel die kompromittering van 'n skryfbare kind DC die uitvoering van ESC5-aanvalle in staat.
Meer besonderhede hieroor kan gelees word in From DA to EA with ESC5. In scenario's waar ADCS ontbreek, het die aanvaller die vermoë om die nodige komponente op te stel, soos bespreek in Escalating from Child Domain Admins to Enterprise Admins.
In hierdie scenario word jou domein vertrou deur 'n eksterne een wat jou onbepaalde toestemmings oor dit gee. Jy sal moet uitvind watter prinsipale van jou domein watter toegang oor die eksterne domein het en dan probeer om dit te benut:
In hierdie scenario jou domein is vertrou op sommige privileges aan 'n hoof van 'n verskillende domeine.
Echter, wanneer 'n domein vertrou word deur die vertrouende domein, skep die vertroude domein n gebruiker met 'n voorspelbare naam wat as wagwoord die vertroude wagwoord gebruik. Dit beteken dat dit moontlik is om toegang te verkry tot 'n gebruiker van die vertrouende domein om binne die vertroude een te kom om dit te evalueer en te probeer om meer privileges te verhoog:
'n Ander manier om die vertroude domein te kompromitteer, is om 'n SQL vertroude skakel te vind wat in die teenoorgestelde rigting van die domeinvertroue geskep is (wat nie baie algemeen is nie).
'n Ander manier om die vertroude domein te kompromitteer, is om te wag op 'n masjien waar 'n gebruiker van die vertroude domein toegang kan verkry om in te log via RDP. Dan kan die aanvaller kode in die RDP-sessieproses inspuit en toegang verkry tot die oorspronklike domein van die slagoffer van daar. Boonop, as die slagoffer sy hardeskyf gemonteer het, kan die aanvaller vanuit die RDP-sessie proses terugdeure in die opstartgids van die hardeskyf stoor. Hierdie tegniek word RDPInception genoem.
Die risiko van aanvalle wat die SID-geskiedenisattribuut oor woudvertroue benut, word gemitigeer deur SID Filtrering, wat standaard geaktiveer is op alle inter-woudvertroue. Dit is gebaseer op die aanname dat intra-woudvertroue veilig is, met die woud, eerder as die domein, as die sekuriteitsgrens volgens Microsoft se standpunt.
Daar is egter 'n vangnet: SID filtrering kan toepassings en gebruikers toegang ontwrig, wat lei tot die af en toe deaktivering daarvan.
Vir inter-woudvertroue, verseker die gebruik van Selektiewe Verifikasie dat gebruikers van die twee woude nie outomaties geverifieer word nie. In plaas daarvan is eksplisiete toestemmings nodig vir gebruikers om toegang te verkry tot domeine en bedieners binne die vertrouende domein of woud.
Dit is belangrik om daarop te let dat hierdie maatreëls nie beskerm teen die uitbuiting van die skryfbare Konfigurasie Naam Konteks (NC) of aanvalle op die vertrou rekening nie.
Meer inligting oor domeinvertroue in ired.team.
Leer meer oor hoe om kredensiale te beskerm hier.\
Domein Administrateurs Beperkings: Dit word aanbeveel dat Domein Administrateurs slegs toegelaat word om in te log op Domein Beheerders, om hul gebruik op ander gasheer te vermy.
Diensrekening Privileges: Dienste moet nie met Domein Administrateur (DA) privileges gedra word om sekuriteit te handhaaf nie.
Tydelike Privilege Beperking: Vir take wat DA privileges vereis, moet hul duur beperk word. Dit kan bereik word deur: Add-ADGroupMember -Identity ‘Domain Admins’ -Members newDA -MemberTimeToLive (New-TimeSpan -Minutes 20)
Implementering van misleiding behels die opstelling van lokvalle, soos lokgebruikers of rekenaars, met kenmerke soos wagwoorde wat nie verval nie of as Vertrou vir Delegasie gemerk is. 'n Gedetailleerde benadering sluit in om gebruikers met spesifieke regte te skep of hulle aan hoëprivilege groepe toe te voeg.
'n Praktiese voorbeeld behels die gebruik van gereedskap soos: Create-DecoyUser -UserFirstName user -UserLastName manager-uncommon -Password Pass@123 | DeployUserDeception -UserFlag PasswordNeverExpires -GUID d07da11f-8a3d-42b6-b0aa-76c962be719a -Verbose
Meer oor die implementering van misleidingstegnieke kan gevind word by Deploy-Deception on GitHub.
Vir Gebruikerobjekte: Verdagte aanduiders sluit ongewone ObjectSID, ongewone aanmeldings, skeppingsdatums, en lae slegte wagwoord tellings in.
Algemene Aanduiders: Vergelyking van eienskappe van potensiële lokobjekte met dié van werklike kan inkonsekwentheid onthul. Gereedskap soos HoneypotBuster kan help om sulke misleidings te identifiseer.
Microsoft ATA Ontdekking Omseiling:
Gebruiker Enumerasie: Vermy sessie-evaluering op Domein Beheerders om ATA ontdekking te voorkom.
Tiket Impersonasie: Die gebruik van aes sleutels vir tiket skepping help om ontdekking te ontwyk deur nie na NTLM af te gradeer nie.
DCSync Aanvalle: Dit word aanbeveel om van 'n nie-Domein Beheerder uit te voer om ATA ontdekking te vermy, aangesien direkte uitvoering vanaf 'n Domein Beheerder waarskuwings sal aktiveer.
Leer & oefen AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
