Rechteausweitung und Domänenkontrolle

Ein erster Zugriff ist selten das Ziel. Das Ziel eines AD-Auftrags besteht normalerweise darin, einen Pfad zu Domain Admin oder, genauer gesagt, zur Kontrolle über Tier 0 (DCs und Identitätsinfrastruktur) aufzuzeigen.

Die Rechteausweitung in AD verknüpft lokale Rechteausweitung, Diebstahl von Zugangsdaten und Fehlkonfigurationen im Verzeichnis, bis Sie die Kronjuwelen erreichen.

Von einer Shell mit geringen Rechten auf einem Host benötigen Sie normalerweise lokale SYSTEM-Rechte, um Zugangsdaten auszulesen. Häufige Vektoren für die lokale Rechteausweitung sind:

• Nicht in Anführungszeichen eingeschlossene Dienstpfade und schwache Dienstberechtigungen.
• Beschreibbare Dienst-Binärdateien oder DLL-Hijacking.
• AlwaysInstallElevated-MSI-Richtlinie.
• Token-Impersonation (Potato-Familie) durch Ausnutzung von SeImpersonatePrivilege.

Mit SYSTEM lesen Sie zwischengespeicherte Zugangsdaten aus und pivotieren. Jede neue Zugangsdatenkombination kann weitere Hosts und höhere Berechtigungen zugänglich machen.

Der Ablauf ist: auslesen → erreichbare Ziele in BloodHound identifizieren → sich lateral bewegen → erneut auslesen. Wiederholen Sie dies, bis privilegierte Zugangsdaten auftauchen.

Fehlkonfigurierte ACLs bieten einen zuverlässigen Pfad zur Rechteausweitung, der keinen Exploit benötigt. Wenn Sie einen Prinzipal kontrollieren, der über Berechtigungen für ein privilegiertes Objekt verfügt, können Sie sich selbst Zugriff gewähren.

• ForceChangePassword für einen Benutzer ermöglicht es Ihnen, dessen Passwort zurückzusetzen.
• GenericWrite für einen Benutzer ermöglicht es Ihnen, einen SPN festzulegen und ihn per Kerberoasting anzugreifen oder RBCD zu konfigurieren.
• WriteDacl für eine Gruppe ermöglicht es Ihnen, sich selbst hinzuzufügen.
• AddMember für eine privilegierte Gruppe führt direkt zur Rechteausweitung.

Fehlkonfigurationen bei der Delegierung ermöglichen die effektive Identitätsvortäuschung hochrangiger Benutzer.

• Unconstrained delegation: Erzwingen Sie, dass sich ein DC authentifiziert (PrinterBug / PetitPotam), erfassen Sie dessen TGT und führen Sie anschließend DCSync durch.
• Resource-Based Constrained Delegation: Wenn Sie Schreibrechte auf einem Computer besitzen, fügen Sie ein von Ihnen kontrolliertes Konto zu dessen msDS-AllowedToActOnBehalfOfOtherIdentity hinzu und geben Sie sich über S4U als beliebiger Benutzer aus.

Active Directory Certificate Services ermöglicht eine zertifikatbasierte Rechteausweitung. Fehlkonfigurierte Vorlagen ermöglichen Benutzern mit geringen Rechten, Zertifikate zu beantragen, mit denen sie sich als beliebige Personen authentifizieren können.

• ESC1: Die Vorlage erlaubt ein vom Antragsteller bereitgestelltes SAN sowie ein Client-Auth-EKU.
• ESC8: NTLM-Relay an den Webregistrierungsendpunkt.

Ein einem DA zugeordnetes Zertifikat ist dauerhaft und überlebt Passwortzurücksetzungen.

Sobald Sie einen Prinzipal mit Replicating Directory Changes-Berechtigungen kontrollieren, können Sie sich als DC ausgeben und den Hash jedes Kontos, einschließlich krbtgt, über das standardmäßige Replikationsprotokoll abrufen. Auf dem DC wird kein Code ausgeführt.

Mit krbtgt- und DA-Hashes erlangen Sie die vollständige Kontrolle über die Domäne. Optionen für die Persistenz sind:

• Golden Ticket: TGTs aus dem krbtgt-Hash fälschen.
• DCShadow: Einen nicht autorisierten DC registrieren, um bösartige Verzeichnisänderungen einzuspielen.
• AdminSDHolder: Die ACL-Vorlage mit einer Hintertür versehen, die jede Stunde erneut auf geschützte Gruppen angewendet wird.
• Zertifikatbasierte Persistenz über ADCS.

Aktionen mit großer Auswirkung erzeugen erkennbare Signale.

• DCSync von einer Nicht-DC-Quell-IP: Ereignis 4662 mit der Replikations-GUID.
• Tools zur Authentifizierungs-Erzwingung lösen eine anomale Authentifizierung durch ein Computerkonto aus.
• Änderungen an AdminSDHolder-ACLs (Ereignis 5136).
• Anomale Zertifikatsregistrierung mit SANs, die nicht mit dem Antragsteller übereinstimmen.

Die Eindämmung der Domänenkontrolle erfordert architektonische Schutzmaßnahmen.

• Strikte gestaffelte Administration: Tier-0-Administratoren melden sich nur an Tier-0-Hosts an.
• Schränken Sie Replikationsrechte ein und prüfen Sie, wer über DCSync-Berechtigungen verfügt.
• Härten Sie ADCS-Vorlagen, aktivieren Sie die Genehmigung von Zertifikatsregistrierungen und schließen Sie PetitPotam-/Relay-Angriffswege.
• Überarbeiten Sie die AdminSDHolder-ACLs und überwachen Sie Änderungen an geschützten Gruppen.
• Halten Sie ein Runbook für die doppelte krbtgt-Rotation bereit.

Bei Befunden zur Domänenkontrolle dokumentieren Sie die vollständige Angriffskette: jeden erlangten Berechtigungsschritt, die ihn ermöglichende Fehlkonfiguration und die kleinstmögliche Behebung. Priorisieren Sie Maßnahmen, die die Kette möglichst früh unterbrechen, beispielsweise die Behebung eines ACL-Pfads, gegenüber punktuellen Korrekturen.

Beseitigen Sie gefälschte Tickets, nicht autorisierte Delegierungen und Testzertifikate, bevor Sie den Auftrag abschließen.

Überprüfen Sie Ihr Verständnis der Domänenkontrolle.

Sie haben den Weg vom ersten Zugriff bis zur vollständigen Kontrolle über die Domäne verfolgt.

• Lokale Rechteausweitung ermöglicht das Auslesen von Zugangsdaten; BloodHound weist den Weg für Pivot-Bewegungen.
• Fehlkonfigurationen von ACLs, Delegierungsmissbrauch und ADCS-ESC-Pfade ermöglichen Rechteausweitung ohne Exploits.
• DCSync extrahiert krbtgt; Golden Tickets und AdminSDHolder sorgen für Persistenz.
• Tiering, die Prüfung von Replikationsrechten und die Härtung von ADCS durchbrechen die Kette.

Damit ist der Kurs zu Active Directory und Kerberos abgeschlossen.