External Forest Domain - One-Way (Outbound)
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
In diesem Szenario deine Domain vertraut einigen Befugnissen an ein Hauptobjekt aus anderen Domains.
Eine Sicherheitsanfälligkeit besteht, wenn eine Vertrauensbeziehung zwischen zwei Domänen hergestellt wird, hier als Domäne A und Domäne B identifiziert, wobei Domäne B ihr Vertrauen auf Domäne A ausdehnt. In diesem Setup wird ein spezielles Konto in Domäne A für Domäne B erstellt, das eine entscheidende Rolle im Authentifizierungsprozess zwischen den beiden Domänen spielt. Dieses Konto, das mit Domäne B verbunden ist, wird verwendet, um Tickets für den Zugriff auf Dienste über die Domänen hinweg zu verschlüsseln.
Der kritische Aspekt, den es hier zu verstehen gilt, ist, dass das Passwort und der Hash dieses speziellen Kontos von einem Domänencontroller in Domäne A mit einem Befehlszeilenwerkzeug extrahiert werden können. Der Befehl, um diese Aktion auszuführen, ist:
Diese Extraktion ist möglich, da das Konto, das mit einem $ nach seinem Namen identifiziert wird, aktiv ist und zur Gruppe "Domain Users" der Domäne A gehört, wodurch es die mit dieser Gruppe verbundenen Berechtigungen erbt. Dies ermöglicht es Personen, sich mit den Anmeldeinformationen dieses Kontos gegen die Domäne A zu authentifizieren.
Warnung: Es ist möglich, diese Situation auszunutzen, um in der Domäne A als Benutzer Fuß zu fassen, wenn auch mit eingeschränkten Berechtigungen. Dieser Zugriff ist jedoch ausreichend, um eine Enumeration in der Domäne A durchzuführen.
In einem Szenario, in dem ext.local die vertrauende Domäne und root.local die vertrauenswürdige Domäne ist, würde ein Benutzerkonto mit dem Namen EXT$ innerhalb von root.local erstellt. Durch spezifische Tools ist es möglich, die Kerberos-Vertrauensschlüssel zu dumpen, wodurch die Anmeldeinformationen von EXT$ in root.local offengelegt werden. Der Befehl, um dies zu erreichen, lautet:
Folgendes könnte man tun: Man könnte den extrahierten RC4-Schlüssel verwenden, um sich als root.local\EXT$ innerhalb von root.local mit einem anderen Tool-Befehl zu authentifizieren:
Dieser Authentifizierungsschritt eröffnet die Möglichkeit, Dienste innerhalb von root.local zu enumerieren und sogar auszunutzen, wie zum Beispiel einen Kerberoast-Angriff durchzuführen, um Anmeldeinformationen von Dienstkonten zu extrahieren mit:
Im vorherigen Ablauf wurde der Vertrauenshash anstelle des Klartextpassworts verwendet (das ebenfalls von mimikatz ausgelesen wurde).
Das Klartextpasswort kann erhalten werden, indem die [ CLEAR ]-Ausgabe von mimikatz in Hexadezimal umgewandelt und Null-Bytes ‘\x00’ entfernt werden:
Manchmal muss bei der Erstellung einer Vertrauensbeziehung ein Passwort vom Benutzer für das Vertrauen eingegeben werden. In dieser Demonstration ist der Schlüssel das ursprüngliche Vertrauenspasswort und daher menschenlesbar. Da der Schlüssel zyklisch ist (alle 30 Tage), wird der Klartext nicht mehr menschenlesbar sein, ist aber technisch weiterhin verwendbar.
Das Klartextpasswort kann verwendet werden, um eine reguläre Authentifizierung als das Vertrauenskonto durchzuführen, als Alternative zur Anforderung eines TGT unter Verwendung des Kerberos-Geheimschlüssels des Vertrauenskontos. Hier wird root.local von ext.local nach Mitgliedern der Domain Admins abgefragt:
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
