Mirrors/hacktricks
2
0
Fork 0
mirror of https://github.com/carlospolop/hacktricks synced 2024-11-26 22:52:06 +00:00
Code Issues Projects Releases Packages Wiki Activity
hacktricks/linux-hardening/freeipa-pentesting.md
Translator workflow 99e7865a3e Translated to Italian
2024-02-10 13:03:23 +00:00

212 lines
13 KiB
Markdown
Raw Blame History

# FreeIPA Pentesting
<details>
<summary><strong>Impara l'hacking di AWS da zero a esperto con</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
Altri modi per supportare HackTricks:
* Se vuoi vedere la tua **azienda pubblicizzata in HackTricks** o **scaricare HackTricks in PDF** Controlla i [**PACCHETTI DI ABBONAMENTO**](https://github.com/sponsors/carlospolop)!
* Ottieni il [**merchandising ufficiale di PEASS & HackTricks**](https://peass.creator-spring.com)
* Scopri [**The PEASS Family**](https://opensea.io/collection/the-peass-family), la nostra collezione di esclusive [**NFT**](https://opensea.io/collection/the-peass-family)
* **Unisciti al** 💬 [**gruppo Discord**](https://discord.gg/hRep4RUj7f) o al [**gruppo telegram**](https://t.me/peass) o **seguici** su **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
* **Condividi i tuoi trucchi di hacking inviando PR ai** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github repos.
</details>
## Informazioni di base
FreeIPA è un'alternativa open-source a Microsoft Windows Active Directory, principalmente per ambienti Unix. Combina una directory LDAP completa con un centro di distribuzione delle chiavi MIT Kerberos per la gestione simile ad Active Directory. Utilizzando il sistema di certificati Dogtag per la gestione dei certificati CA e RA, supporta l'autenticazione a più fattori, inclusi i smart card. SSSD è integrato per i processi di autenticazione Unix.
## Fingerprint
### File e variabili d'ambiente
- Il file `/etc/krb5.conf` è dove vengono memorizzate le informazioni del client Kerberos, necessarie per l'iscrizione al dominio. Questo include le posizioni dei KDC e dei server di amministrazione, le impostazioni predefinite e le mappature.
- Le impostazioni predefinite a livello di sistema per i client e i server IPA sono impostate nel file situato in `/etc/ipa/default.conf`.
- Gli host all'interno del dominio devono avere un file `krb5.keytab` in `/etc/krb5.keytab` per i processi di autenticazione.
- Diverse variabili d'ambiente (`KRB5CCNAME`, `KRB5_KTNAME`, `KRB5_CONFIG`, `KRB5_KDC_PROFILE`, `KRB5RCACHETYPE`, `KRB5RCACHEDIR`, `KRB5_TRACE`, `KRB5_CLIENT_KTNAME`, `KPROP_PORT`) vengono utilizzate per puntare a file specifici e impostazioni pertinenti all'autenticazione Kerberos.
### Eseguibili
Strumenti come `ipa`, `kdestroy`, `kinit`, `klist`, `kpasswd`, `ksu`, `kswitch` e `kvno` sono fondamentali per la gestione dei domini FreeIPA, la gestione dei biglietti Kerberos, la modifica delle password e l'acquisizione dei biglietti di servizio, tra le altre funzionalità.
### Rete
Viene fornita un'illustrazione per rappresentare una tipica configurazione del server FreeIPA.
## Autenticazione
L'autenticazione in FreeIPA, sfruttando **Kerberos**, è simile a quella in **Active Directory**. L'accesso alle risorse del dominio richiede un valido biglietto Kerberos, che può essere memorizzato in vari luoghi a seconda della configurazione del dominio FreeIPA.
### File di biglietti CCACHE
I file CCACHE, memorizzati tipicamente in **`/tmp`** con permessi **600**, sono formati binari per memorizzare le credenziali Kerberos, importanti per l'autenticazione senza la password in chiaro dell'utente a causa della loro portabilità. L'analisi di un biglietto CCACHE può essere effettuata utilizzando il comando `klist`, e il riutilizzo di un valido biglietto CCACHE comporta l'esportazione di `KRB5CCNAME` nel percorso del file del biglietto.
### Unix Keyring
In alternativa, i biglietti CCACHE possono essere memorizzati nella keyring di Linux, offrendo un maggiore controllo sulla gestione dei biglietti. La portata della memorizzazione dei biglietti varia (`KEYRING:name`, `KEYRING:process:name`, `KEYRING:thread:name`, `KEYRING:session:name`, `KEYRING:persistent:uidnumber`), con `klist` in grado di analizzare queste informazioni per l'utente. Tuttavia, il riutilizzo di un biglietto CCACHE dalla keyring di Unix può presentare sfide, con strumenti come **Tickey** disponibili per l'estrazione dei biglietti Kerberos.
### Keytab
I file keytab, contenenti principali Kerberos e chiavi crittografate, sono fondamentali per ottenere biglietti di concessione di ticket (TGT) validi senza la necessità della password del principale. L'analisi e il riutilizzo delle credenziali dai file keytab possono essere facilmente eseguiti con utility come `klist` e script come **KeytabParser**.
### Cheatsheet
Puoi trovare ulteriori informazioni su come utilizzare i biglietti in Linux nel seguente link:
{% content-ref url="privilege-escalation/linux-active-directory.md" %}
[linux-active-directory.md](privilege-escalation/linux-active-directory.md)
{% endcontent-ref %}
## Enumerazione
{% hint style="warning" %}
Puoi eseguire l'**enumerazione** tramite **ldap** e altri strumenti **binari**, o **connettendoti alla pagina web sulla porta 443 del server FreeIPA**.
{% endhint %}
### Host, Utenti e Gruppi <a href="#4b3b" id="4b3b"></a>
È possibile creare **host**, **utenti** e **gruppi**. Gli host e gli utenti sono suddivisi in contenitori chiamati "Gruppi host" e "Gruppi utenti" rispettivamente. Questi sono simili alle "Unità organizzative" (OU).
Di default in FreeIPA, il server LDAP consente **bind anonimi**, e una vasta quantità di dati è enumerabile **senza autenticazione**. Ciò può enumerare tutti i dati disponibili senza autenticazione:
```
ldapsearch -x
```
Per ottenere **ulteriori informazioni** è necessario utilizzare una sessione **autenticata** (verifica la sezione Autenticazione per imparare come preparare una sessione autenticata).
```bash
# Get all users of domain
ldapsearch -Y gssapi -b "cn=users,cn=compat,dc=domain_name,dc=local"
# Get users groups
ldapsearch -Y gssapi -b "cn=groups,cn=accounts,dc=domain_name,dc=local"
# Get all the hosts
ldapsearch -Y gssapi -b "cn=computers,cn=accounts,dc=domain_name,dc=local"
# Get hosts groups
ldapsearch -Y gssapi -b "cn=hostgroups,cn=accounts,dc=domain_name,dc=local"
```
Da una macchina connessa al dominio sarai in grado di utilizzare **binari installati** per enumerare il dominio:
```bash
ipa user-find
ipa usergroup-find
ipa host-find
ipa host-group-find
-------------------
ipa user-show <username> --all
ipa usergroup-show <user group> --all
ipa host-find <host> --all
ipa hostgroup-show <host group> --all
```
{% hint style="info" %}
L'utente **admin** di **FreeIPA** è l'equivalente degli **amministratori di dominio** di **AD**.
{% endhint %}
### Hash <a href="#482b" id="482b"></a>
L'utente **root** del **server IPA** ha accesso agli **hash delle password**.
- L'hash della password di un utente è memorizzato come **base64** nell'attributo "**userPassword**". Questo hash potrebbe essere **SSHA512** (versioni precedenti di FreeIPA) o **PBKDF2\_SHA256**.
- L'**Nthash** della password è memorizzato come **base64** in "ipaNTHash" se il sistema è **integrato** con **AD**.
Per craccare questi hash:
- Se FreeIPA è integrato con AD, l'**ipaNTHash** è facile da craccare: devi **decodificare** il **base64** -> ricodificarlo come **esadecimale ASCII** -> John The Ripper o **hashcat** possono aiutarti a craccarlo velocemente.
- Se viene utilizzata una vecchia versione di FreeIPA, viene utilizzato **SSHA512**: devi decodificare il **base64** -> trovare l'hash **SSHA512** -> John The Ripper o **hashcat** possono aiutarti a craccarlo.
- Se viene utilizzata una nuova versione di FreeIPA, viene utilizzato **PBKDF2\_SHA256**: devi decodificare il **base64** -> trovare **PBKDF2\_SHA256** -> la sua lunghezza è di 256 byte. John può lavorare con 256 bit (32 byte) -> SHA-265 viene utilizzato come funzione pseudo-randomica, la dimensione del blocco è di 32 byte -> puoi utilizzare solo i primi 256 bit del nostro hash PBKDF2\_SHA256 -> John The Ripper o hashcat possono aiutarti a craccarlo.
<figure><img src="../.gitbook/assets/image (33).png" alt=""><figcaption></figcaption></figure>
Per estrarre gli hash è necessario essere **root nel server FreeIPA**, lì puoi utilizzare lo strumento **`dbscan`** per estrarli:
<figure><img src="../.gitbook/assets/image (196).png" alt=""><figcaption></figcaption></figure>
### Regole HBAC <a href="#482b" id="482b"></a>
Queste sono le regole che concedono specifici permessi agli utenti o agli host su risorse (host, servizi, gruppi di servizi...)
```bash
# Enumerate using ldap
ldapsearch -Y gssapi -b "cn=hbac,dc=domain_name,dc=local"
# Using ipa
ipa hbacrule-find
# Show info of rule
ipa hbacrule-show <hbacrule> --all
```
#### Regole di Sudo
FreeIPA consente il controllo centralizzato delle **autorizzazioni sudo** tramite le regole di sudo. Queste regole consentono o limitano l'esecuzione di comandi con sudo sugli host all'interno del dominio. Un attaccante potrebbe potenzialmente identificare gli host, gli utenti e i comandi consentiti esaminando questi set di regole.
```bash
# Enumerate using ldap
ldapsearch -Y gssapi -b "cn=sudorules,cn=sudo,dc=domain_name,dc=local"
# Using ipa
ipa sudorule-find
# Show info of rule
ipa sudorule-show <sudorule> --all
```
### Controllo degli accessi basato sui ruoli
Un **ruolo** è composto da vari **privilegi**, ognuno dei quali comprende una serie di **permessi**. Questi ruoli possono essere assegnati a Utenti, **Gruppi** di Utenti, **Host**, Gruppi di Host e Servizi. Ad esempio, consideriamo il ruolo predefinito "Amministratore Utente" in FreeIPA per illustrare questa struttura.
Il ruolo `Amministratore Utente` ha i seguenti privilegi:
* **Amministratori Utente**
* **Amministratori Gruppo**
* **Amministratori Utente di Stadio**
Con i seguenti comandi è possibile enumerare i ruoli, i privilegi e i permessi:
```bash
# Using ldap
ldapsearch -Y gssapi -b "cn=roles,cn=accounts,dc=westeros,dc=local"
# Using ipa binary
ipa role-find
ipa role-show <role> --all
ipa privilege-find
ipa privilege-show <privilege> --all
ipa permission-find
ipa permission-show <permission> --all
```
### Esempio di scenario di attacco
In [https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e](https://posts.specterops.io/attacking-freeipa-part-iii-finding-a-path-677405b5b95e) puoi trovare un semplice esempio di come abusare di alcune autorizzazioni per compromettere il dominio.
### Linikatz/LinikatzV2
* [https://github.com/Orange-Cyberdefense/LinikatzV2](https://github.com/Orange-Cyberdefense/LinikatzV2)
* [https://github.com/CiscoCXSecurity/linikatz](https://github.com/CiscoCXSecurity/linikatz)
## Escalation dei privilegi
### ~~Creazione utente root~~
{% hint style="warning" %}
Se puoi **creare un nuovo utente con il nome `root`**, puoi impersonarlo e sarai in grado di **accedere tramite SSH a qualsiasi macchina come root**.
**QUESTO È STATO CORRETTO.**
{% endhint %}
Puoi trovare una spiegazione dettagliata in [https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b](https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b)
## Riferimenti
* [https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b](https://posts.specterops.io/attacking-freeipa-part-iv-cve-2020-10747-7c373a1bf66b)
* [https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a](https://posts.specterops.io/attacking-freeipa-part-i-authentication-77e73d837d6a)
* [https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1](https://posts.specterops.io/attacking-freeipa-part-ii-enumeration-ad27224371e1)
* [https://www.youtube.com/watch?v=9dOu-7BTwPQ](https://www.youtube.com/watch?v=9dOu-7BTwPQ)
<details>
<summary><strong>Impara l'hacking di AWS da zero a eroe con</strong> <a href="https://training.hacktricks.xyz/courses/arte"><strong>htARTE (HackTricks AWS Red Team Expert)</strong></a><strong>!</strong></summary>
Altri modi per supportare HackTricks:
* Se vuoi vedere la tua **azienda pubblicizzata su HackTricks** o **scaricare HackTricks in PDF**, controlla i [**PACCHETTI DI ABBONAMENTO**](https://github.com/sponsors/carlospolop)!
* Ottieni il [**merchandising ufficiale di PEASS & HackTricks**](https://peass.creator-spring.com)
* Scopri [**The PEASS Family**](https://opensea.io/collection/the-peass-family), la nostra collezione di esclusive [**NFT**](https://opensea.io/collection/the-peass-family)
* **Unisciti al** 💬 [**gruppo Discord**](https://discord.gg/hRep4RUj7f) o al [**gruppo Telegram**](https://t.me/peass) o **seguici** su **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**.**
* **Condividi i tuoi trucchi di hacking inviando PR ai repository github di** [**HackTricks**](https://github.com/carlospolop/hacktricks) e [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud).
</details>
Reference in a new issue View git blame Copy permalink