Unconstrained Delegation
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
これは、ドメイン管理者がドメイン内の任意のコンピュータに設定できる機能です。次に、ユーザーがコンピュータにログインするたびに、そのユーザーのTGTのコピーがDCによって提供されるTGS内に送信され、LSASSのメモリに保存されます。したがって、マシン上で管理者権限を持っている場合、チケットをダンプしてユーザーを偽装することができます。
したがって、ドメイン管理者が「制約のない委任」機能が有効なコンピュータにログインし、そのマシン内でローカル管理者権限を持っている場合、チケットをダンプしてドメイン管理者をどこでも偽装することができます（ドメイン特権昇格）。
この属性を持つコンピュータオブジェクトを見つけることができます。これは、userAccountControl属性がADS_UF_TRUSTED_FOR_DELEGATIONを含んでいるかどうかを確認することで行います。これは、LDAPフィルター‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’を使用して行うことができ、これがpowerviewが行うことです：
MimikatzまたはRubeusを使用して、管理者（または被害者ユーザー）のチケットをメモリにロードします。Pass the Ticket。 詳細情報：https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/ 制約のない委任に関する詳細情報はired.teamにあります。
攻撃者が「制約のない委任」を許可されたコンピュータを侵害することができれば、彼はプリントサーバーを自動的にログインさせてTGTをメモリに保存させることができます。 その後、攻撃者はチケットをパスする攻撃を実行して、ユーザーのプリントサーバーコンピュータアカウントを偽装することができます。
プリントサーバーを任意のマシンにログインさせるには、SpoolSampleを使用できます：
If the TGT if from a domain controller, you could perform a DCSync attack and obtain all the hashes from the DC. More info about this attack in ired.team.
ここに認証を強制するための他の方法があります：
Force NTLM Privileged AuthenticationDA/Adminのログインを特定のサービスに制限する
特権アカウントに対して「アカウントは機密であり、委任できません」を設定する。
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
