Escalonamento de privilégios e domínio completo

Um acesso inicial raramente é o objetivo. Em um trabalho de avaliação de AD, o objetivo geralmente é demonstrar um caminho até o administrador do domínio ou, mais precisamente, o controle da Camada 0 (controladores de domínio e infraestrutura de identidades).

A elevação de privilégios no AD encadeia elevação local, roubo de credenciais e configurações incorretas do diretório até alcançar os ativos mais valiosos.

A partir de um shell com poucos privilégios em uma máquina, geralmente você precisa obter SYSTEM local para extrair credenciais. Vetores comuns de elevação local incluem:

• Caminhos de serviço sem aspas e permissões de serviço fracas.
• Binários de serviço ou sequestro de DLL com permissão de gravação.
• Política MSI AlwaysInstallElevated.
• Impersonificação de tokens, usando a família Potato e explorando SeImpersonatePrivilege.

Com SYSTEM, você extrai credenciais armazenadas em cache e avança. Cada nova credencial pode liberar o acesso a novas máquinas e a privilégios mais altos.

O ciclo é: extrair → identificar alvos acessíveis no BloodHound → mover-se lateralmente → extrair novamente. Repita até surgir uma credencial privilegiada.

ACLs configuradas incorretamente são um caminho confiável para a elevação e não exigem nenhuma exploração. Se você controlar uma entidade com permissões sobre um objeto privilegiado, poderá conceder acesso a si próprio.

• ForceChangePassword sobre um usuário permite redefinir a senha dele.
• GenericWrite sobre um usuário permite definir um SPN e quebrá-lo por Kerberoasting, ou definir RBCD.
• WriteDacl sobre um grupo permite adicionar você mesmo.
• AddMember em um grupo privilegiado é uma elevação direta.

Configurações incorretas de delegação elevam os privilégios de forma eficaz até permitir a personificação de usuários de alto valor.

• Delegação irrestrita: force um DC a se autenticar usando PrinterBug ou PetitPotam, capture o TGT dele e depois execute DCSync.
• Delegação restrita baseada em recursos: com permissões de gravação em um computador, adicione uma conta sob seu controle ao msDS-AllowedToActOnBehalfOfOtherIdentity e personifique qualquer usuário por meio de S4U.

Os Serviços de Certificados do Active Directory introduzem a elevação baseada em certificados. Modelos configurados incorretamente permitem que usuários com poucos privilégios inscrevam certificados que se autenticam como qualquer pessoa.

• ESC1: o modelo permite um SAN fornecido pelo solicitante, além de um EKU de autenticação de cliente.
• ESC8: retransmissão de NTLM para o ponto de acesso de inscrição pela Web.

Um certificado associado a um DA é durável e sobrevive à redefinição de senhas.

Quando você controla uma entidade com permissões de replicação de alterações do diretório, pode personificar um DC e obter o valor de hash de qualquer conta, incluindo krbtgt, usando o protocolo padrão de replicação. Nenhum código é executado no DC.

Com krbtgt e valores de hash de nível DA, você alcança o domínio total. As opções de persistência incluem:

• Tíquete dourado: falsificar TGTs a partir do valor de hash de krbtgt.
• DCShadow: registrar um DC não autorizado para enviar alterações maliciosas ao diretório.
• AdminSDHolder: criar uma porta dos fundos no modelo de ACL que é reaplicado aos grupos protegidos a cada hora.
• Persistência baseada em certificados por meio do ADCS.

Ações de alto impacto geram sinais detectáveis.

• DCSync a partir de um IP de origem que não pertence a um DC: evento 4662 com o GUID de replicação.
• Ferramentas de coerção acionam uma autenticação anômala de conta de máquina.
• Alterações de ACL no AdminSDHolder (evento 5136).
• Inscrição anômala de certificados com SANs que não correspondem ao solicitante.

Conter o domínio total exige defesas arquiteturais.

• Administração rigorosamente hierarquizada: administradores da Camada 0 iniciam sessão somente em máquinas da Camada 0.
• Restrinja as permissões de replicação e audite quem possui DCSync.
• Fortaleça os modelos do ADCS, ative a aprovação de inscrições e corrija os caminhos relacionados ao PetitPotam e à retransmissão.
• Corrija as ACLs do AdminSDHolder e monitore as alterações nos grupos protegidos.
• Tenha pronto um manual de procedimentos para a alternância dupla de krbtgt.

Para descobertas relacionadas ao domínio total, documente a cadeia completa do ataque: cada privilégio obtido, a configuração incorreta que o permitiu e a correção mínima. Priorize as correções que interrompem a cadeia o mais cedo possível, como a correção de um caminho de ACL, em vez de correções pontuais.

Remova tíquetes falsificados, delegações não autorizadas e certificados de teste antes de encerrar o trabalho.

Valide sua compreensão do domínio total.

Você acompanhou o caminho desde o acesso inicial até o controle total do domínio.

• A elevação local permite extrair credenciais; o BloodHound orienta os avanços.
• Configurações incorretas de ACL, abuso de delegação e caminhos ESC do ADCS permitem elevar privilégios sem explorações.
• DCSync extrai krbtgt; tíquetes dourados e AdminSDHolder garantem persistência.
• A hierarquização, a auditoria das permissões de replicação e o fortalecimento do ADCS interrompem a cadeia.

Isso conclui o curso de Active Directory e Kerberos.