Attack Child -> Parent Trusts
Just a cheat sheet
SID History Primer Attack
SID History Primer Attack hay ExtraSID là kỹ thuật ta sẽ abuse SID History attribute, đây là 1 attribute khi ta di cư một object từ domain này qua domain khác (mà trust nhau). Thì SID gốc của object sẽ được đặt thành SID history attribute. Với SID History attribute cho phép object ở domain mới có thể truy suất tài nguyên từ domain cũ, ngoài ra thì SID History cũng có thể cho phép truy xuất tài nguyên từ domain mới.
Nếu AD thiếu việc SID filtering (mặc định có bật tại windows server 2003 và 2006 trở lên), ta có thể từ domain con compromised domain cha, bằng cách lấy SID history attribute của một object nào đó (có thể là user hoặc group) và giả danh làm object đó truy suất đến domain cha. Ví dụ dùng SID History của Enterprise Admins group → rồi gán cho 1 user ở domain con (có thể là user không tồn tại) → có thể truy cập domain cha với quyền Enterprise Admins group
Điều kiện exploit
Điều kiện cần:
SID filtering tắt
Có quyền Domain Admin trên domain con
Điều kiện đủ:
KRBTGT hash của child domain: Ta cần hash của KRBTGT service, vì đây là service của KDC cho phép ta encrypted/sign TGT cho bất kỳ user nào → để tạo TGT giả
SID của child domain
Tên user trong child domain để nhận SID giả (không cần phải là user có tồn tại trong hệ thống, tên gì cũng được)
FQDN của child domain.
SID của object ở root domain ( ví dụ SID của Enterprise Admins group)
Exploit bằng Mimikatz
Khi có quyền Domain admin trên domain con ta tiến hành dump hash của KRBTGT
Tại đây ta cũng có được sid của child domain, hoặc cũng có thể tự dump bằng Get-DomainSID
Lấy SID của group Enterprise Admins trên root domain
Khi có đủ thông tin ta tạo GoldenTicket với Mimikatz
Exploit bằng Rubeus
Exploit bằng máy Linux
Manual
Dùng secretdumps để dump hash KRBTGT
Dùng lookupsid để bruteforce SID child domain (lưu ý IP là IP của DC trong child domain)
Dùng lookupsid để bruteforce SID của Group Admin trên domain cha (lúc này IP sẽ là IP Dc của domain cha)
Cuối cùng dùng ticketer để tạo GoldenTicket
Setting KRB5CCNAME
Sau đó thì làm gì cũng được, ví dụ như dùng psexec để lấy shell
Automic tools
Ta cũng có thể tực động exploit bằng raiseChild trong impacket (ta cần cung cấp IP là DC của domain cha, và cred domain admin ở domain con)
Last updated