FreeIPA Pentesting
基本信息
FreeIPA 是一个开源的 替代品,用于 Microsoft Windows Active Directory,主要针对 Unix 环境。它结合了一个完整的 LDAP 目录 和一个 MIT Kerberos 密钥分发中心,管理方式类似于 Active Directory。利用 Dogtag 证书系统 进行 CA 和 RA 证书管理,支持 多因素 身份验证,包括智能卡。集成了 SSSD 以支持 Unix 身份验证过程。
指纹
文件与环境变量
/etc/krb5.conf
文件存储 Kerberos 客户端信息,这是加入域所必需的,包括 KDC 和管理员服务器的位置、默认设置和映射。IPA 客户端和服务器的系统范围默认设置在
/etc/ipa/default.conf
文件中设置。域内的主机必须在
/etc/krb5.keytab
处拥有krb5.keytab
文件以进行身份验证过程。各种环境变量(
KRB5CCNAME
、KRB5_KTNAME
、KRB5_CONFIG
、KRB5_KDC_PROFILE
、KRB5RCACHETYPE
、KRB5RCACHEDIR
、KRB5_TRACE
、KRB5_CLIENT_KTNAME
、KPROP_PORT
)用于指向与 Kerberos 身份验证相关的特定文件和设置。
二进制文件
工具如 ipa
、kdestroy
、kinit
、klist
、kpasswd
、ksu
、kswitch
和 kvno
是管理 FreeIPA 域、处理 Kerberos 票证、修改密码和获取服务票证等功能的核心。
网络
提供了一个插图来描绘典型的 FreeIPA 服务器设置。
身份验证
FreeIPA 中的身份验证利用 Kerberos,与 Active Directory 中的身份验证相似。访问域资源需要有效的 Kerberos 票证,具体存储位置取决于 FreeIPA 域配置。
CCACHE 票证文件
CCACHE 文件通常存储在 /tmp
中,权限为 600,是用于存储 Kerberos 凭据的二进制格式,重要的是可以在没有用户明文密码的情况下进行身份验证。可以使用 klist
命令解析 CCACHE 票证,重新使用有效的 CCACHE 票证涉及将 KRB5CCNAME
导出到票证文件的路径。
Unix 密钥环
另外,CCACHE 票证可以存储在 Linux 密钥环中,提供对票证管理的更多控制。票证存储的范围各异(KEYRING:name
、KEYRING:process:name
、KEYRING:thread:name
、KEYRING:session:name
、KEYRING:persistent:uidnumber
),klist
能够解析这些信息供用户使用。然而,从 Unix 密钥环重新使用 CCACHE 票证可能会面临挑战,像 Tickey 这样的工具可用于提取 Kerberos 票证。
Keytab
Keytab 文件包含 Kerberos 主体和加密密钥,对于在不需要主体密码的情况下获取有效的票证授予票(TGT)至关重要。使用 klist
等实用程序和 KeytabParser 等脚本可以轻松解析和重新使用 keytab 文件中的凭据。
备忘单
您可以在以下链接中找到有关如何在 Linux 中使用票证的更多信息:
Linux Active Directory枚举
您可以通过 ldap 和其他 二进制 工具进行 枚举,或 连接到 FreeIPA 服务器的 443 端口的网页。
主机、用户和组
可以创建 主机、用户 和 组。主机和用户被分类到称为“主机组”和“用户组”的容器中。这些类似于 组织单位(OU)。
在 FreeIPA 中,LDAP 服务器默认允许 匿名绑定,大量数据可以 未经身份验证 进行枚举。这可以枚举所有可用的未经身份验证的数据:
要获取更多信息,您需要使用经过身份验证的会话(请查看身份验证部分以了解如何准备经过身份验证的会话)。
从一个已加入域的机器上,您将能够使用 已安装的二进制文件 来枚举域:
FreeIPA 的 admin 用户相当于 AD 中的 domain admins。
Hashes
IPA 服务器中的 root 用户可以访问密码 hashes。
用户的密码 hash 存储为 base64 在“userPassword” attribute 中。这个 hash 可能是 SSHA512(旧版本的 FreeIPA)或 PBKDF2_SHA256。
如果系统与 AD 有 integration,则密码的 Nthash 存储为 base64 在“ipaNTHash”中。
破解这些 hashes:
• 如果 freeIPA 与 AD 集成,ipaNTHash 很容易破解:你应该 decode base64 -> 重新编码为 ASCII hex -> John The Ripper 或 hashcat 可以帮助你快速破解
• 如果使用的是旧版本的 FreeIPA,则使用 SSHA512:你应该解码 base64 -> 找到 SSHA512 hash -> John The Ripper 或 hashcat 可以帮助你破解
• 如果使用的是新版本的 FreeIPA,则使用 PBKDF2_SHA256:你应该解码 base64 -> 找到 PBKDF2_SHA256 -> 它的 length 是 256 字节。John 可以处理 256 位(32 字节)-> SHA-265 用作伪随机函数,块大小为 32 字节 -> 你只能使用我们的 PBKDF2_SHA256 hash 的前 256 位 -> John The Ripper 或 hashcat 可以帮助你破解
要提取 hashes,你需要在 FreeIPA 服务器中是 root,在那里你可以使用工具 dbscan
来提取它们:
HBAC-Rules
这些规则授予用户或主机对资源(主机、服务、服务组等)的特定权限。
Sudo-Rules
FreeIPA 通过 sudo-rules 实现对 sudo 权限 的集中控制。这些规则允许或限制在域内主机上使用 sudo 执行命令。攻击者可以通过检查这些规则集来识别适用的主机、用户和允许的命令。
基于角色的访问控制
一个角色由各种特权组成,每个特权包含一组权限。这些角色可以分配给用户、用户组、主机、主机组和服务。例如,考虑FreeIPA中的默认“用户管理员”角色来举例说明这个结构。
角色用户管理员
具有以下特权:
用户管理员
组管理员
阶段用户管理员
使用以下命令可以枚举角色、特权和权限:
攻击场景示例
在 https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e 中,您可以找到一个简单的示例,说明如何滥用某些权限来妥协域。
Linikatz/LinikatzV2
权限提升
root 用户创建
如果您可以 创建一个名为 root
的新用户,您可以冒充他并能够 以 root 身份 SSH 登录任何机器。
这已经被修补。
您可以在 https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b 中查看详细说明。
参考资料
Last updated