如何查找活动目录委派

阅读量371074

|评论1

|

发布时间 : 2019-01-21 10:30:01

x
译文声明

本文是翻译文章,文章原作者 notsosecure,文章来源:notsosecure.com

原文地址:https://www.notsosecure.com/hunting-the-delegation-access/

译文仅供参考,具体内容表达以及含义原文为准。

 

一、前言

活动目录(AD)委派(delegation)是一个非常有趣的话题,我们之前已经在一篇文章和某次研讨会中讨论过这方面内容。总而言之,活动目录可以将某些权限委派给非(域/森林/企业)管理员用户,以便管理员对特定AD区域执行管理任务。如果配置不当,那么攻击者也可以利用这种功能入侵AD。

先前我们只讨论了如何手动查找这类委派,大家可以阅读另一篇文章,了解其他一些工具在手动分析中的应用。在本文中,我们将介绍如何利用脚本,以(半)自动化的方式在网络中搜索这类委派。

 

二、实验环境

假设我们面临的是如下场景:

  • 具备某个低权限域用户访问权限,该账户有一些限制条件,比如AppLocker禁用此账户执行powershell。
  • 在加入域的某台主机上具备本地管理员访问权限。
  • 可以利用这个本地管理员权限运行未受限的powershell脚本,然而我们需要登录域才能在AD域上执行枚举操作。

为了完成任务,我们准备使用两种不同的方法:

  • 使用AD ACLScanner(半自动化方法)
  • 使用NSS提供的自定义Powershell脚本(全自动化方法)

 

三、ADACLScanner

这款工具由canix1开发,可以用于通用型ACL扫描,大家可以访问GitHub下载该工具。我们可以利用该工具来搜索AD委派配置情况。下面让我们以某个例子来演示整个操作过程:

运行powershell脚本后,ADACLScanner为我们提供了一个非常友好的GUI(很少有powershell脚本能提供这么友好的GUI)。

图1. ADACLScanner

假设我们接入的AD名为plum,地址为192.168.3.215,如下图所示:

图2. 连接AD

当我们点击第一列的“Connect”按钮时,就会弹出对话框提示输入域凭据,以便枚举目标节点。需要注意的是,这里可以使用低权限域用户的凭据。

图3. 请求域凭据

输入正确的域凭据后,我们就能看到可用的节点,如下图所示:

图4. 枚举AD节点

现在我们需要选中第一列节点,确保已勾掉“Inherited Permissions”复选框,然后点击“Run Scan”按钮开始扫描。在上图中,我们选中的是DC=plum,DC=local。扫描完成后就会生成扫描报告,如下图所示:

图5. ACL Scanner报告

如果我们选中“Resions”节点,再次扫描,那么最终报告有所不同。在报告中,我们可以发现Object列中代表我们扫描的目标节点,因此这里OU的值为Regions

图6. Regions OU的ACL报告

同样,如果我们扫描USA OU,可以看到如下报告,了解USA OU的委派权限信息。

图7. AD ACL Scanner对OU USA的扫描结果

这里比较麻烦的是我们需要手动搜索每个节点,分析每个条目,才能找到正确的委派信息。这个过程对小型网络来说问题不大,但如果面对的是大型网络,这将变成分析人员的噩梦。此时我们第二种方法就可以派上用场。

 

四、使用自定义Powershell脚本

大家可以先看一下我们团队定制的这个脚本的工作过程,请参考此处视频。如果想直接使用这个自动化脚本,可以访问此处下载。如果大家对脚本的具体实现非常感兴趣,接下来我们就一步一步来分析:

1、获取用户凭据

我们使用的是一个本地管理员用户(非域用户),因此每当我们尝试挂载AD驱动或者导入活动目录模块时,都会看到如下错误:

图8. 导入AD模块错误

为了解决这个问题,我们可以传入-WarningAction SilentlyContinue参数。

接下来具体看看脚本实现,第一部分代码如下:

Import-Module ActiveDirectory -WarningAction SilentlyContinue
# force use of specified credentials everywhere
$creds=Get-Credential
$PSDefaultParameterValues = @{"*-AD*:Credential"=$creds}
# GET DC Name
$dcname=(Get-ADDomainController).Name
New-PSDrive -Name AD -PSProvider ActiveDirectory -Server $dcname -Root //RootDSE/ -Credential $creds Set-Location AD:

由于我们没有使用域用户来执行操作,因此代码开头处我们使用-WarningAction SilentlyContinue参数导入ActiveDirectory模块,这样我们就能在不挂载AD驱动的情况下导入该模块。接下来我们尝试获取用户凭据,添加用户凭据后,我们为包含-AD的所有命令设置PSDefaultParameterValues。接下来我们使用Get-ADDomainController命令获取服务器名称,然后配合新获取的凭据来挂载AD驱动。

其实如果我们已经以域用户身份登录,就无需执行这些操作。然而我们还是考虑了最坏的情况,比如我们可能以本地管理员身份访问目标系统,因此不受powershell访问限制,但所使用的域用户凭据权限较低。

2、遍历整个OU

获取所有域名、组织单元(Organization Units)以及ADObject。

$OUs  = @(Get-ADDomain | Select-Object -ExpandProperty DistinguishedName)
$OUs += Get-ADOrganizationalUnit -Filter * | Select-Object -ExpandProperty DistinguishedName
$OUs += Get-ADObject -SearchBase (Get-ADDomain).DistinguishedName -SearchScope OneLevel -LDAPFilter '(objectClass=container)' | Select-Object -ExpandProperty DistinguishedName

这里代码第一行执行Get-ADDomain,获取DistinguishedName列,第二行执行Get-ADOrganizationalUnit(过滤器为*),获取这些对象的DistinguishedName,将其添加到OUs对象中。第三行获取匹配AD域DistinguishedName的AD对象,使用LdapFilter(过滤objectClass=container的对象),只筛选一层,然后再打印DistinguishedName列。

3、添加例外

$domain = (Get-ADDomain).Name
$groups_to_ignore = ( "$domain\Enterprise Admins", "$domain\Domain Admins")
# 'NT AUTHORITY\SYSTEM', 'S-1-5-32-548', 'NT AUTHORITY\SELF'

在这几行代码中我们排除了一些例外情况。我们首先获取域名,然后以此为基础添加待忽略的一些组。

4、提取相关的域用户/组权限

ForEach ($OU in $OUs) {
    $report += Get-Acl -Path "AD:$OU" |
     Select-Object -ExpandProperty Access | ? {$_.IdentityReference -match "$domain*" -and $_.IdentityReference -notin $groups_to_ignore} |
     Select-Object @{name='organizationalUnit';expression={$OU}}, `
                   @{name='objectTypeName';expression={if ($_.objectType.ToString() -eq '00000000-0000-0000-0000-000000000000') {'All'} Else {$schemaIDGUID.Item($_.objectType)}}}, `
                   @{name='inheritedObjectTypeName';expression={$schemaIDGUID.Item($_.inheritedObjectType)}}, `
                   *
}

在前文第二步骤中,我们将所有信息存储在$OUs中,现在我们使用ForEach循环来提取这些信息并进一步处理。

前三行通过ForEach循环获取$OUs中所有单位的ACL路径,确保其中有与目标域匹配的IdentityReference,同时不属于需排除的组中(例外组参考第4个步骤)。从第4行开始,代码提取了某些对象,如organizationalUnit(使用$OU表达式)、ObjectTypeName(如果对象类型不等于root GUID,则只根据对象类型的值提取SchemaIDGUID的详细信息)。

5、Inheritance == False

Inheritance为false是非常关键的一点。我们只需要筛选出满足该条件的那些行。

$filterrep= $report | Where-Object {-not $_.IsInherited}

这样就能确保输出结果中不包含继承的对象。

6、格式化输出结果

Write-Output ( $filterrep | Select-Object OrganizationalUnit,ObjectTypeName,ActiveDirectoryRights,IdentityReference | Format-Table | Out-String)

以上代码能以表格的形式格式化输出结果,列出在特定对象上未继承权限(即具备委派权限)的用户。默认情况下,委派权限会应用到整颗OU树上,因此如果上层OU具备该权限,那么除非显式移除权限,否则下层OU就会自动具备该权限。

图9. 自动化脚本处理结果

我们已经在最新的2019版高级基础设施黑客教程中介绍了这种技术(还包括其他有用的技术),我们也会为内部安全和SOC团队提供内部培训和CTF服务,帮助大家提高技术水平。

本文翻译自notsosecure.com 原文链接。如若转载请注明出处。
分享到:微信
+10赞
收藏
興趣使然的小胃
分享到:微信

发表评论

内容需知
  • 投稿须知
  • 转载须知
  • 官网QQ群8:819797106
  • 官网QQ群3:830462644(已满)
  • 官网QQ群2:814450983(已满)
  • 官网QQ群1:702511263(已满)
合作单位
  • 安全客
  • 安全客
Copyright © 北京奇虎科技有限公司 360网络攻防实验室 安全客 All Rights Reserved 京ICP备08010314号-66