Active directory - История изменений

Drakylar: /* Resource Based Constrained Delegation / Ограниченное на основе ресурсов */

2022-02-04T14:40:34Z

‎Resource Based Constrained Delegation / Ограниченное на основе ресурсов

Drakylar: /* Делегирования полномочий */

2022-02-04T14:10:20Z

‎Делегирования полномочий

Drakylar: /* Делегирования полномочий */

2022-02-04T13:06:27Z

‎Делегирования полномочий

Drakylar: /* ПК в домене */

2022-02-03T17:11:02Z

‎ПК в домене

Drakylar: /* Constrained Delegation / Ограниченное */

2022-02-03T17:10:01Z

‎Constrained Delegation / Ограниченное

Drakylar: /* Делегирования полномочий */

2022-02-03T16:47:01Z

‎Делегирования полномочий

Drakylar: /* Делегирования полномочий */

2022-02-03T14:27:00Z

‎Делегирования полномочий

Drakylar: /* Стандартные возможности */

2022-02-03T14:13:14Z

‎Стандартные возможности

Drakylar: /* Стандартные возможности */

2022-02-03T11:10:07Z

‎Стандартные возможности

Drakylar: /* Некорректная настройка привилегий */

2022-02-03T11:07:15Z

‎Некорректная настройка привилегий

@@ Строка 1626: / Строка 1626: @@
 === Эксплуатация ===
-==== Powermad + Powerview + Rubeus ====
+==== Powermad + Powerview + Rubeus (получение доменного админа) ====
 <syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
@@ Строка 1634: / Строка 1634: @@
 Import-Module .\powerview.ps1
-# 2
+# 2. Получить SID пользователя
 </syntaxhighlight>

← Предыдущая		Версия 14:10, 4 февраля 2022
Строка 1618:		Строка 1618:

	== Resource Based Constrained Delegation / Ограниченное на основе ресурсов ==		== Resource Based Constrained Delegation / Ограниченное на основе ресурсов ==
		+
		+	Основное отличие от Constrained Delegation в том, что конечный сервис на который делегируемся должен иметь атрибут AllowedToActOnBehalfOfOtherIdentity со значением сервиса, на который изначально идет запрос (сервис, который делает запрос на конечный сервис).
		+
		+	=== Поиск ===
		+
		+
		+	=== Эксплуатация ===
		+
		+	==== Powermad + Powerview + Rubeus ====
		+
		+	<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
		+	# 1. Импорт скриптов
		+	PowerShell.exe -ExecutionPolicy Bypass
		+	Import-Module .\powermad.ps1
		+	Import-Module .\powerview.ps1
		+
		+	# 2
		+
		+	</syntaxhighlight>

@@ Строка 1562: / Строка 1562: @@
 Требования: можно сделать запрос только на сервисы из поля msDS-AllowedToDelegateTo.
 Также у аккаунта не должно быть пометки "Account is sensitive and cannot be delegated".
 ==== Поиск ====
@@ Строка 1577: / Строка 1579: @@
 ==== Эксплуатация ====
 == Resource Based Constrained Delegation / Ограниченное на основе ресурсов ==

@@ Строка 1481: / Строка 1481: @@
 <syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
 Get-NetComputer -unconstrained
 </syntaxhighlight>

@@ Строка 1530: / Строка 1530: @@
 Аналогично предыдущему пункту, но позволяет получить доступ только к разрешенным сервисам на определенной машине.
-=== Поиск ===
+Есть два типа делегации:
-В начале потребуется определить ПК
+. Service for User to self (S4U2self)
-==== ПК в домене ====
+. Service for User to Proxy(S4U2proxy)
-<syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
+=== Service for User to self (S4U2self) ===
-# Находим подходящие сервисы у подходящиз ПК
+Это когда сервисный аккаунт может получить TGS для себя (на сервис) от имени любого пользователя.
-Get-DomainComputer previous_result | select -exp msds-AllowedToDelegateTo
-</syntaxhighlight>
+Требования: у этого аккаунта поле userAccountControl должно содержать TRUSTED_TO_AUTH_FOR_DELEGATION (T2A4D).
-==== Удаленно ====
+==== Поиск ====
-=== Эксплуатация ===
+==== Эксплуатация ====
-==== Rubeus ====
+=== Service for User to Proxy(S4U2proxy) ===
-<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:scroll" >
+Это когда сервисный аккаунт может получить TGS на другой сервис.
-==== kekeo.exe + Mimikatz.exe ====
+Требования: можно сделать запрос только на сервисы из поля msDS-AllowedToDelegateTo.
-<syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:scroll" >
+Также у аккаунта не должно быть пометки "Account is sensitive and cannot be delegated".
-# Получаем TGS на сервис к которому у нас есть доступ и к LDAP
+==== Поиск ====
-==== Rubeus ====
+Powershell
 <syntaxhighlight lang="bash" line="1" enclose="div" style="overflow-x:scroll" >
-#В системе уже должен был быть добавлен TGT пользователя
+# Поиск ПК
-# Получаем TGS для пользователя Administrator (на самого себя)
+# Список сервисов
-.\Rubeus.exe s4u /ticket:TGT_websvc.kirbi /impersonateuser:Administrator /outfile:TGS_administrator
+$ Get-DomainComputer previous_result | select -exp msds-AllowedToDelegateTo
 == Resource Based Constrained Delegation / Ограниченное на основе ресурсов ==

@@ Строка 1464: / Строка 1464: @@
 == Unconstrained Delegation / Неограниченное ==
-Кратко: вместе с TGS, пользователь на сервис отправляет встроенный в TGS - TGT-билет, который в дальнейшем может быть использован сервисом для работы от имени данного пользователя.
+Кратко: вместе с TGS, пользователь на сервис отправляет встроенный в TGS - TGT-билет, который в дальнейшем может быть использован сервисом для работы от имени данного пользователя.  Был единственным вариантом делегирования до Windows Server 2003.
 Атакующий может получить контроль над машиной, у которой есть данная привилегия, и соответственно получить TGT всех пользователей, которые делали соответствующие запросы на сервисы этой машины.
@@ Строка 1479: / Строка 1479: @@
 PowerView
 <syntaxhighlight lang="powershell" line="1" enclose="div" style="overflow-x:scroll" >
 import-module ActiveDirectory
-Get-ADComputer -Filter {(TrustedForDelegation -eq $true)}
+Get-ADComputer -Filter {(TrustedForDelegation -eq $True)}
 </syntaxhighlight>
@@ Строка 1521: / Строка 1527: @@
 == Constrained Delegation / Ограниченное ==
 == Resource Based Constrained Delegation / Ограниченное на основе ресурсов ==

@@ Строка 1461: / Строка 1461: @@
 Делегирование полномочий Kerberos позволяет повторно использовать учетные данные конечного пользователя для доступа к ресурсам, размещенным на другом сервере. Всего есть три типа делегирования.
 == Unconstrained Delegation / Неограниченное ==
@@ Строка 1515: / Строка 1513: @@
 === Эксплуатация ===

@@ Строка 1453: / Строка 1453: @@
 </syntaxhighlight>
 У Active Directory есть стандартные настройки для учеток и др для общения, например, между сервисами.
 Это не является уязвимостями или атаками тк является стандартными возможностями, которые были предусмотрены как разработчиками AD, так и архитекторами.
-== Constrained Delegation ==
+Делегирование полномочий Kerberos позволяет повторно использовать учетные данные конечного пользователя для доступа к ресурсам, размещенным на другом сервере. Всего есть три типа делегирования.
-== Resource Based Constrained Delegation ==
+== Unconstrained Delegation / Неограниченное ==

← Предыдущая		Версия 11:10, 3 февраля 2022
Строка 1456:		Строка 1456:
	У Active Directory есть стандартные настройки для учеток и др для общения, например, между сервисами.		У Active Directory есть стандартные настройки для учеток и др для общения, например, между сервисами.
	Это не является уязвимостями или атаками тк является стандартными возможностями, которые были предусмотрены как разработчиками AD, так и архитекторами.		Это не является уязвимостями или атаками тк является стандартными возможностями, которые были предусмотрены как разработчиками AD, так и архитекторами.
		+
		+	== Unconstrained Delegation ==
		+
		+
		+	== Constrained Delegation ==
		+
		+
		+	== Resource Based Constrained Delegation ==

@@ Строка 871: / Строка 871: @@
 = Атаки =
-== Некорректная настройка привилегий ==
+== Некорректная настройка разрешений ==
 == Другое ==