Escalada de privilegios y dominio del dominio

Rara vez el acceso inicial es el objetivo. En un encargo de AD, normalmente el objetivo es demostrar una ruta hasta Domain Admin o, más precisamente, el control de Tier 0 (DC e infraestructura de identidad).

La escalada de privilegios en AD encadena la escalada local, el robo de credenciales y las configuraciones incorrectas del directorio hasta alcanzar los activos más críticos.

Desde un shell con pocos privilegios en un host, normalmente necesita obtener SYSTEM local para volcar credenciales. Entre los vectores habituales de escalada local se incluyen:

• Rutas de servicio sin comillas y permisos de servicio débiles.
• Binarios de servicio modificables o secuestro de DLL.
• Directiva MSI AlwaysInstallElevated.
• Suplantación de tokens (familia Potato) mediante el abuso de SeImpersonatePrivilege.

Con SYSTEM, vuelca las credenciales almacenadas en caché y pivota. Cada nueva credencial puede desbloquear nuevos hosts y privilegios más elevados.

El ciclo es: volcar → identificar objetivos accesibles en BloodHound → moverse lateralmente → volver a volcar. Repítalo hasta que aparezca una credencial con privilegios.

Las ACL mal configuradas son una vía de escalada fiable que no necesita ningún exploit. Si controla una entidad de seguridad con derechos sobre un objeto privilegiado, puede concederse acceso.

• ForceChangePassword sobre un usuario permite restablecer su contraseña.
• GenericWrite sobre un usuario permite establecer un SPN y hacerle Kerberoast, o configurar RBCD.
• WriteDacl sobre un grupo permite añadirse a sí mismo.
• AddMember en un grupo privilegiado es una escalada directa.

Las configuraciones incorrectas de delegación permiten escalar eficazmente hasta suplantar a usuarios de alto valor.

• Delegación no restringida: induce a un DC a autenticarse (PrinterBug / PetitPotam), captura su TGT y, después, ejecuta DCSync.
• Resource-Based Constrained Delegation: con derechos de escritura sobre un equipo, añada una cuenta controlada a su msDS-AllowedToActOnBehalfOfOtherIdentity y suplante a cualquier usuario mediante S4U.

Active Directory Certificate Services introduce la escalada basada en certificados. Las plantillas mal configuradas permiten que usuarios con pocos privilegios se inscriban para obtener certificados que autentiquen como cualquier usuario.

• ESC1: la plantilla permite que el solicitante proporcione el SAN y además incluye el EKU de autenticación de cliente.
• ESC8: retransmisión de NTLM al endpoint de inscripción web.

Un certificado asociado a una cuenta DA es duradero y sobrevive a los restablecimientos de contraseña.

Una vez que controla una entidad de seguridad con derechos de Replicating Directory Changes, puede suplantar a un DC y extraer el hash de cualquier cuenta, incluido krbtgt, mediante el protocolo de replicación estándar. No se ejecuta ningún código en el DC.

Con krbtgt y hashes con privilegios de DA, obtiene el control total. Entre las opciones de persistencia se incluyen:

• Golden Ticket: falsificar TGT a partir del hash de krbtgt.
• DCShadow: registrar un DC malicioso para insertar cambios maliciosos en el directorio.
• AdminSDHolder: introducir una puerta trasera en la plantilla de ACL que se vuelve a aplicar cada hora a los grupos protegidos.
• Persistencia basada en certificados mediante ADCS.

Las acciones de alto impacto generan señales detectables.

• DCSync desde una dirección IP de origen que no es de un DC: evento 4662 con el GUID de replicación.
• Las herramientas de coerción activan una autenticación anómala de cuentas de equipo.
• Cambios en las ACL de AdminSDHolder (evento 5136).
• Inscripción anómala de certificados con SAN que no coincide con el solicitante.

Contener el control total del dominio requiere defensas arquitectónicas.

• Administración por niveles estricta: los administradores de Tier 0 solo inician sesión en hosts de Tier 0.
• Restrinja los derechos de replicación y audite quién tiene permisos de DCSync.
• Endurezca las plantillas de ADCS, active la aprobación de inscripciones y aplique parches contra PetitPotam y las rutas de retransmisión.
• Corrija las ACL de AdminSDHolder y supervise los cambios en los grupos protegidos.
• Prepare un procedimiento para la doble rotación de krbtgt.

Para los hallazgos relacionados con el control total, documente la cadena de ataque completa: cada privilegio obtenido, la configuración incorrecta que lo permitió y la corrección mínima. Priorice las medidas de corrección que rompan la cadena lo antes posible (por ejemplo, corregir una ruta basada en ACL) en lugar de aplicar correcciones aisladas.

Elimine los tickets falsificados, las delegaciones maliciosas y los certificados de prueba antes de cerrar el encargo.

Valide que comprende el control total del dominio.

Ha seguido la ruta desde el acceso inicial hasta el control total del dominio.

• La escalada local permite volcar credenciales; BloodHound guía los pivotes.
• Las configuraciones incorrectas de ACL, el abuso de la delegación y las rutas ESC de ADCS permiten escalar sin exploits.
• DCSync extrae krbtgt; los Golden Tickets y AdminSDHolder proporcionan persistencia.
• La administración por niveles, la auditoría de los derechos de replicación y el endurecimiento de ADCS rompen la cadena.

Con esto finaliza el curso de Active Directory y Kerberos.