Eskalasi Hak Istimewa dan Dominasi Domain

Pijakan awal jarang menjadi tujuan akhir. Dalam penugasan AD, tujuannya biasanya adalah menunjukkan jalur menuju Admin Domain atau, lebih tepatnya, kendali atas Tier 0 (DC dan infrastruktur identitas).

Eskalasi hak istimewa di AD menggabungkan eskalasi lokal, pencurian kredensial, dan salah konfigurasi direktori hingga Anda mencapai aset yang paling berharga.

Dari shell dengan hak rendah pada sebuah host, Anda biasanya memerlukan SYSTEM lokal untuk mengekstrak kredensial. Vektor eskalasi lokal yang umum meliputi:

• Jalur layanan tanpa tanda kutip dan izin layanan yang lemah.
• Biner layanan yang dapat ditulis atau pembajakan DLL.
• Kebijakan MSI AlwaysInstallElevated.
• Peniruan token (keluarga Potato) yang menyalahgunakan SeImpersonatePrivilege.

Dengan SYSTEM, Anda mengekstrak kredensial yang tersimpan dalam tembolok lalu berpindah. Setiap kredensial baru dapat membuka akses ke host tambahan dan hak istimewa yang lebih tinggi.

Siklusnya adalah: ekstrak → identifikasi target yang dapat dijangkau di BloodHound → berpindah secara lateral → ekstrak lagi. Ulangi sampai kredensial dengan hak istimewa ditemukan.

ACL yang salah konfigurasi adalah jalur eskalasi yang andal dan tidak memerlukan eksploit. Jika Anda mengendalikan suatu entitas dengan hak atas objek berhak istimewa, Anda dapat memberikan akses kepada diri sendiri.

• ForceChangePassword atas pengguna memungkinkan Anda mengatur ulang kata sandinya.
• GenericWrite atas pengguna memungkinkan Anda menetapkan SPN lalu memecahkannya dengan teknik pemecahan tiket, atau menetapkan RBCD.
• WriteDacl atas grup memungkinkan Anda menambahkan diri sendiri.
• AddMember pada grup berhak istimewa merupakan eskalasi langsung.

Salah konfigurasi delegasi dapat secara efektif meningkatkan hak hingga memungkinkan peniruan identitas pengguna bernilai tinggi.

• Delegasi tanpa batasan: paksa DC melakukan autentikasi (PrinterBug / PetitPotam), tangkap TGT-nya, lalu lakukan DCSync.
• Delegasi Terbatas Berbasis Sumber Daya: dengan hak tulis pada komputer, tambahkan akun yang Anda kendalikan ke msDS-AllowedToActOnBehalfOfOtherIdentity miliknya dan tiru identitas pengguna mana pun melalui S4U.

Active Directory Certificate Services memperkenalkan eskalasi berbasis sertifikat. Templat yang salah konfigurasi memungkinkan pengguna dengan hak rendah mendaftarkan sertifikat yang dapat digunakan untuk autentikasi sebagai siapa pun.

• ESC1: templat mengizinkan SAN yang diberikan peminta serta EKU autentikasi klien.
• ESC8: relai NTLM ke titik akhir pendaftaran web.

Sertifikat yang dipetakan ke DA bersifat tahan lama dan tetap berlaku setelah pengaturan ulang kata sandi.

Setelah Anda mengendalikan entitas dengan hak Replicating Directory Changes, Anda dapat menyamar sebagai DC dan mengambil hash akun mana pun, termasuk krbtgt, melalui protokol replikasi standar. Tidak ada kode yang dijalankan pada DC.

Dengan hash krbtgt dan hash tingkat DA, Anda mencapai kendali penuh. Pilihan untuk mempertahankan akses meliputi:

• Tiket Emas: memalsukan TGT dari hash krbtgt.
• DCShadow: mendaftarkan DC palsu untuk mendorong perubahan direktori berbahaya.
• AdminSDHolder: membuat pintu belakang pada templat ACL yang diterapkan kembali ke grup terlindungi setiap jam.
• Persistensi berbasis sertifikat melalui ADCS.

Tindakan berdampak tinggi menghasilkan sinyal yang dapat dideteksi.

• DCSync dari alamat IP sumber non-DC: peristiwa 4662 dengan GUID replikasi.
• Alat pemaksaan autentikasi memicu autentikasi akun mesin yang tidak lazim.
• Perubahan ACL AdminSDHolder (peristiwa 5136).
• Pendaftaran sertifikat yang tidak lazim dengan SAN yang tidak sesuai dengan peminta.

Membatasi kendali penuh atas domain memerlukan pertahanan arsitektural.

• Administrasi bertingkat yang ketat: admin Tier 0 hanya masuk ke host Tier 0.
• Batasi hak replikasi dan audit siapa yang memiliki kemampuan DCSync.
• Perkuat templat ADCS, aktifkan persetujuan pendaftaran, dan pasang perbaikan untuk jalur PetitPotam/relai.
• Perbaiki ACL AdminSDHolder dan pantau perubahan pada grup terlindungi.
• Siapkan panduan operasional untuk rotasi ganda krbtgt.

Untuk temuan kendali penuh, dokumentasikan seluruh rantai serangan: setiap hak istimewa yang diperoleh, salah konfigurasi yang memungkinkannya, dan perbaikan minimalnya. Prioritaskan perbaikan yang memutus rantai sedini mungkin (misalnya memperbaiki jalur ACL) daripada perbaikan titik per titik.

Bersihkan tiket palsu, delegasi tidak sah, dan sertifikat pengujian sebelum menutup penugasan.

Validasi pemahaman Anda tentang kendali penuh atas domain.

Anda telah mengikuti jalur dari pijakan awal hingga kendali penuh atas domain.

• Eskalasi lokal memungkinkan pengambilan kredensial; BloodHound memandu perpindahan.
• Salah konfigurasi ACL, penyalahgunaan delegasi, dan jalur ESC pada ADCS dapat meningkatkan hak tanpa eksploit.
• DCSync mengekstrak krbtgt; Tiket Emas dan AdminSDHolder mempertahankan akses.
• Pembagian tingkat, audit hak replikasi, dan pengerasan ADCS memutus rantai tersebut.

Dengan ini, kursus Active Directory dan Kerberos selesai.