fatrodzianko/get-rbcd-threadedOutil pour découvrir les chemins d'attaque de délégation contrainte basée sur les ressources dans les environnements Active Directory
Outil pour découvrir les chemins d'attaque par délégation contrainte basée sur les ressources (Resource-Based Constrained Delegation) dans les environnements Active Directory.
Basé presque entièrement sur les excellents articles de blog "Wagging the Dog: Abusing Resource-Based Constrained Delegation to Attack Active Directory" par Elad Shamir et "A Case Study in Wagging the Dog: Computer Takeover" par harmj0y. Lisez ces deux articles si vous voulez vraiment comprendre ce qui se passe ici. Honnêtement, je n'en comprends moi-même que la moitié (et c'est optimiste).
Je ne maîtrise pas bien C#, j'ai donc appris à communiquer avec un domaine en C# en lisant le code source de SharpSploit et SharpView.
Get-RBCD-Threaded interroge tous les utilisateurs, groupes (à l'exception des groupes privilégiés comme « Domain Admins » et « BUILTIN\Administrators ») et objets ordinateur Active Directory de votre domaine actuel et compile une liste de leurs SID. Il interroge ensuite AD pour toutes les DACL sur les objets ordinateur du domaine. Chaque ACE dans les DACL est vérifiée pour voir si l'un des SID d'utilisateur/groupe/ordinateur possède les privilèges « GenericAll », « GenericWrite », « WriteOwner » ou « WriteDacl » sur l'objet ordinateur, ou si les SID ont les permissions « WriteProp » sur l'attribut ms-DS-Allowed-To-Act-On-Behalf-Of-Other-Identity (GUID : 3f78c3e5-f79a-46bd-a0b8-9d18116ddc79). Si c'est le cas, alors, mon ami, vous êtes sur la voie d'une attaque par délégation contrainte basée sur les ressources !
Compiler dans Visual Studio. Cet outil utilise Parallel.ForEach pour accélérer la recherche dans les objets DACL, donc .NET v4 est requis au minimum.
-u|-username=, Nom d'utilisateur pour s'authentifier
-p|-password=, Mot de passe de l'utilisateur
-d|-domain=, Nom de domaine pleinement qualifié pour s'authentifier
-s|-searchforest, Découvrir les domaines et forêts via les relations d'approbation. Énumérer tous les domaines et forêts
-pwdlastset=, Filtrer les ordinateurs en fonction de pwdLastSet pour supprimer les objets ordinateurs obsolètes. Si vous définissez cette valeur à 90, les objets ordinateurs dont la date pwdLastSet date de plus de 90 jours seront filtrés
-i|-insecure, Forcer une connexion LDAP non sécurisée si LDAPS pose des problèmes de connexion.
-o|-outputfile=, Exporter vers un fichier CSV. Fournir le chemin complet et le nom du fichier.
-h|-?|-help, Afficher les options d'aide
Vous pouvez maintenant spécifier le nom d'utilisateur, le mot de passe et le domaine pour l'authentification. Si les options u/p/d sont vides, Get-RBCD-Threaded tentera de s'authentifier au domaine dans le contexte utilisateur actuel.
-o exportera vers un fichier CSV. Fournissez le chemin complet et le nom du fichier pour enregistrer la sortie.
La recherche par défaut spécifie que le port 636 soit utilisé pour forcer LDAPS. Cela peut poser problème. Si vous obtenez une erreur indiquant que le serveur n'est pas disponible ou similaire, essayez le drapeau « -i » pour retirer le port 636 de la chaîne de connexion.
« pwdLastSet » a été ajouté comme option de filtrage. Dans les grands environnements, vous pouvez obtenir beaucoup d'objets ordinateurs obsolètes qui n'existent plus en tant qu'objet « destination » dans l'ACL, et qui ne peuvent pas vraiment être utilisés pour l'attaque RBCD (du moins à ma connaissance). Définissez pwdLastSet à un nombre de jours. Exemple : « -pwdlastset=90 » filtrera tous les objets ordinateurs de vos résultats dont la date pwdLastSet est supérieure ou égale à 90 jours par rapport à la date et l'heure actuelles.
Testé dans un environnement avec plus de 20 000 utilisateurs, groupes et ordinateurs (plus de 60 000 objets au total). Get-RBCD-Threaded a pris environ 60 secondes pour terminer. En comparaison, mes commandes PowerView bricolées dans ce gist pour effectuer une recherche similaire ont tourné pendant plusieurs heures sans jamais se terminer.
Cet outil n'effectuera pas l'attaque par délégation pour vous. Vous devrez lire les blogs d'Elad Shamir et harmj0y pour comprendre comment faire. Cela vous aidera seulement à trouver des cibles potentielles pour l'attaque RBCD.
Exemple d'utilisation depuis mon laboratoire AD :
Cet outil ne fait rien de plus que d'interroger Active Directory via des requêtes LDAP, ce qui peut être difficile à détecter. Les flux réseau (Netflow) pourraient éventuellement être utilisés pour détecter un grand nombre de requêtes LDAP / trafic vers un seul système.
L'autre moyen possible de détection est l'utilisation de comptes leurres. L'idée serait de créer un objet ordinateur sur lequel un utilisateur / groupe a des droits d'écriture. L'attaque RBCD repose sur la modification d'un objet ordinateur puis la délégation de tickets Kerberos vers celui-ci. Les points de détection possibles pour l'objet ordinateur leurre pourraient être :
J'ai créé cet outil pour m'aider lors de tests d'intrusion. Cependant, les défenseurs / équipes bleues / administrateurs système peuvent facilement l'utiliser pour trouver des faiblesses dans leurs environnements et (espérons-le) les corriger.
