SID History
Descripción
Este ataque permite el compromiso de un dominio principal una vez que el dominio secundario ha sido comprometido.
Dentro de un mismo bosque de Active Directory, la propiedad sIDHistory
se respeta cuando no existe la protección de filtrado SID, por lo tanto, si un usuario en un dominio secundario tiene en su sIDHistory
establecido el grupo Enterprise Admins (que solo existe en el dominio principal), se lo trata como miembro de este grupo, lo que permite el acceso administrativo a todo el bosque.
Es decir, podemos crear un Golden Ticket desde el dominio secundario comprometido para comprometer el dominio principal.
Linux/Unix
1) Obtención de hash NT de usuario KRBTGT de dominio secundario utilizando Impacket (secretsdump).
2) Obtención de SID del dominio secundario utilizando Impacket (lookupsid).
3) Obtención de SID del grupo "Enterprise Admins" del dominio principal utilizando Impacket (lookupsid).
SID grupo "Enterprise Admins":
Domain SID-Enterprise Admins RID
4) Creación de Golden Ticket con Impacket (ticketer).
5) Configuración de la variable de entorno KRB5CCNAME con Golden Ticket.
6) Obtención de shell utilizando Impacket (psexec).
7) Escala de privilegios desde el dominio secundario al dominio principal de forma automatizada utilizando Impacket (raiseChild).
Windows
1) Obtención de hash NT de usuario KRBTGT de dominio secundario utilizando Mimikatz.
2) Obtención de SID del dominio secundario (actual) utilizando PowerView.
3) Obtención de SID del grupo "Enterprise Admins" del dominio principal.
4) Creación de Golden Ticket con Mimikatz.
4.1) Inyectar Golden Ticket en la sesión actual.
Verificar inyección de Golden Ticket en la sesión actual.
4.2) Exportar Golden Ticket.
Importar Golden Ticket en sesión con Rubeus.
5) Creación de Golden Ticket con Rubeus.
5.1) Inyectar Golden Ticket en la sesión actual.
Verificar inyección de Golden Ticket en la sesión actual.
Última actualización