SID-History Injection
Ataque de Inyección de SID History
El enfoque del Ataque de Inyección de SID History es ayudar en la migración de usuarios entre dominios mientras se asegura el acceso continuo a los recursos del dominio anterior. Esto se logra incorporando el Identificador de Seguridad (SID) anterior del usuario en el SID History de su nueva cuenta. Notablemente, este proceso puede ser manipulado para otorgar acceso no autorizado al agregar el SID de un grupo de alto privilegio (como Administradores de Empresa o Administradores de Dominio) del dominio padre al SID History. Esta explotación confiere acceso a todos los recursos dentro del dominio padre.
Existen dos métodos para ejecutar este ataque: a través de la creación de un Golden Ticket o un Diamond Ticket.
Para identificar el SID del grupo "Administradores de Empresa", primero se debe localizar el SID del dominio raíz. Tras la identificación, el SID del grupo de Administradores de Empresa se puede construir agregando -519
al SID del dominio raíz. Por ejemplo, si el SID del dominio raíz es S-1-5-21-280534878-1496970234-700767426
, el SID resultante para el grupo "Administradores de Empresa" sería S-1-5-21-280534878-1496970234-700767426-519
.
También podrías usar los grupos de Administradores de Dominio, que terminan en 512.
Otra forma de encontrar el SID de un grupo del otro dominio (por ejemplo "Administradores de Dominio") es con:
Golden Ticket (Mimikatz) con KRBTGT-AES256
Para más información sobre los tickets dorados, consulta:
Golden TicketTicket Diamante (Rubeus + KRBTGT-AES256)
Para más información sobre los tickets de diamante, consulta:
Diamond TicketEscalar a DA de root o administrador de Enterprise utilizando el hash KRBTGT del dominio comprometido:
Con los permisos adquiridos del ataque, puedes ejecutar, por ejemplo, un ataque DCSync en el nuevo dominio:
DCSyncDesde linux
Manual con ticketer.py
Automático usando raiseChild.py
Este es un script de Impacket que automatiza la escalada de dominio hijo a dominio padre. El script necesita:
Controlador de dominio objetivo
Credenciales para un usuario administrador en el dominio hijo
El flujo es:
Obtiene el SID para el grupo de Administradores de la Empresa del dominio padre
Recupera el hash para la cuenta KRBTGT en el dominio hijo
Crea un Golden Ticket
Inicia sesión en el dominio padre
Recupera credenciales para la cuenta de Administrador en el dominio padre
Si se especifica el interruptor
target-exec
, se autentica en el Controlador de Dominio del dominio padre a través de Psexec.
Referencias
Last updated