Unconstrained Delegation
Last updated
Last updated
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
Esta é uma funcionalidade que um Administrador de Domínio pode definir para qualquer Computador dentro do domínio. Assim, sempre que um usuário fizer login no Computador, uma cópia do TGT desse usuário será enviada dentro do TGS fornecido pelo DC e salva na memória no LSASS. Portanto, se você tiver privilégios de Administrador na máquina, poderá extrair os tickets e se passar pelos usuários em qualquer máquina.
Assim, se um administrador de domínio fizer login em um Computador com a funcionalidade "Delegação Inconstrangida" ativada, e você tiver privilégios de administrador local nessa máquina, poderá extrair o ticket e se passar pelo Administrador de Domínio em qualquer lugar (privesc de domínio).
Você pode encontrar objetos de Computador com este atributo verificando se o atributo userAccountControl contém ADS_UF_TRUSTED_FOR_DELEGATION. Você pode fazer isso com um filtro LDAP de ‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’, que é o que o powerview faz:
Carregue o ticket de Administrador (ou usuário vítima) na memória com Mimikatz ou Rubeus para um Pass the Ticket. Mais informações: https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/ Mais informações sobre Delegação Inconstrangida em ired.team.
Se um atacante conseguir comprometer um computador permitido para "Delegação Inconstrangida", ele poderia enganar um servidor de impressão para fazer login automaticamente contra ele salvando um TGT na memória do servidor. Então, o atacante poderia realizar um ataque Pass the Ticket para se passar pela conta de computador do usuário do servidor de impressão.
Para fazer um servidor de impressão fazer login em qualquer máquina, você pode usar SpoolSample:
Se o TGT for de um controlador de domínio, você pode realizar um ataque DCSync e obter todos os hashes do DC. Mais informações sobre este ataque em ired.team.
Aqui estão outras maneiras de tentar forçar uma autenticação:
Limitar logins de DA/Admin a serviços específicos
Definir "Conta é sensível e não pode ser delegada" para contas privilegiadas.
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)
