Escalation dei privilegi e dominio

Un foothold raramente è l'obiettivo. In genere, l'obiettivo di un engagement AD è dimostrare un percorso verso Domain Admin o, più precisamente, il controllo di Tier 0 (DC e infrastruttura delle identità).

L'escalation dei privilegi in AD concatena l'escalation locale, il furto di credenziali e le configurazioni errate della directory fino a raggiungere i sistemi più importanti.

Da una shell con privilegi ridotti su un host, di solito è necessario ottenere SYSTEM locale per eseguire il dump delle credenziali. I vettori comuni di escalation locale includono:

• Percorsi dei servizi non racchiusi tra virgolette e autorizzazioni deboli.
• Binari di servizio scrivibili o DLL hijacking.
• Criterio MSI AlwaysInstallElevated.
• Impersonificazione dei token (famiglia Potato) che sfrutta SeImpersonatePrivilege.

Con SYSTEM si esegue il dump delle credenziali memorizzate nella cache e si fa pivot. Ogni nuova credenziale può sbloccare nuovi host e privilegi più elevati.

Il ciclo è: dump → identificare i target raggiungibili in BloodHound → eseguire il movimento laterale → eseguire nuovamente il dump. Si ripete finché non compare una credenziale privilegiata.

Le ACL configurate erroneamente sono un percorso di escalation affidabile che non richiede exploit. Se si controlla un principal con diritti su un oggetto privilegiato, è possibile concedersi l'accesso.

• ForceChangePassword su un utente consente di reimpostarne la password.
• GenericWrite su un utente consente di impostare un SPN e sottoporlo a Kerberoasting, oppure impostare RBCD.
• WriteDacl su un gruppo consente di aggiungersi al gruppo.
• AddMember in un gruppo privilegiato è un'escalation diretta.

Le configurazioni errate della delega consentono di arrivare efficacemente all'impersonificazione di utenti di alto valore.

• Unconstrained delegation: costringere un DC ad autenticarsi (PrinterBug / PetitPotam), acquisirne il TGT, quindi eseguire DCSync.
• Resource-Based Constrained Delegation: con diritti di scrittura su un computer, aggiungere un account controllato al suo msDS-AllowedToActOnBehalfOfOtherIdentity e impersonare qualsiasi utente tramite S4U.

Active Directory Certificate Services introduce l'escalation basata sui certificati. I template configurati erroneamente consentono agli utenti con pochi privilegi di ottenere certificati che autenticano come chiunque.

• ESC1: il template consente un SAN fornito dal richiedente e un EKU di autenticazione client.
• ESC8: relay NTLM verso l'endpoint di web enrollment.

Un certificato associato a un DA è persistente e sopravvive ai reset delle password.

Una volta ottenuto il controllo di un principal con diritti di Replicating Directory Changes, è possibile impersonare un DC e recuperare l'hash di qualsiasi account, incluso krbtgt, tramite il protocollo standard di replica. Sul DC non viene eseguito alcun codice.

Con gli hash di krbtgt e di livello DA si ottiene il controllo del dominio. Le opzioni di persistenza includono:

• Golden Ticket: falsificare TGT a partire dall'hash krbtgt.
• DCShadow: registrare un DC non autorizzato per inviare modifiche dannose alla directory.
• AdminSDHolder: inserire una backdoor nel modello ACL che viene riapplicato ogni ora ai gruppi protetti.
• Persistenza basata sui certificati tramite ADCS.

Le azioni ad alto impatto generano segnali rilevabili.

• DCSync da un IP sorgente non appartenente a un DC: evento 4662 con il GUID di replica.
• Gli strumenti di coercion generano autenticazioni anomale dell'account computer.
• Modifiche alle ACL di AdminSDHolder (evento 5136).
• Registrazione anomala di certificati con SAN che non corrispondono al richiedente.

Per contenere il controllo del dominio sono necessarie difese architetturali.

• Amministrazione rigorosamente suddivisa in livelli: gli amministratori Tier 0 accedono solo agli host Tier 0.
• Limiti i diritti di replica e verifichi chi dispone di DCSync.
• Renda sicuri i template ADCS, abiliti l'approvazione delle richieste e applichi le patch per i percorsi PetitPotam/relay.
• Corregga le ACL di AdminSDHolder e monitori le modifiche ai gruppi protetti.
• Predisponga un runbook per la doppia rotazione di krbtgt.

Per i risultati relativi al controllo del dominio, documenti l'intera kill chain: ogni privilegio acquisito, la configurazione errata che lo ha reso possibile e la correzione minima. Dia priorità alle correzioni che interrompono la catena il prima possibile (ad esempio, correggere un percorso ACL), invece di applicare correzioni puntuali.

Rimuova i ticket contraffatti, le deleghe non autorizzate e i certificati di test prima di chiudere l'engagement.

Convalidi la propria comprensione del controllo del dominio.

Ha seguito il percorso dal foothold iniziale al controllo completo del dominio.

• L'escalation locale consente il dumping delle credenziali; BloodHound guida i pivot.
• Le configurazioni ACL errate, l'abuso della delega e i percorsi ESC di ADCS consentono l'escalation senza exploit.
• DCSync estrae krbtgt; i Golden Ticket e AdminSDHolder garantiscono la persistenza.
• La suddivisione in livelli, l'audit dei diritti di replica e l'hardening di ADCS interrompono la catena.

Questo completa il corso su Active Directory e Kerberos.