「打給賀，挖西飛飛，今天你要來點 Active Directory Security 嗎？」

接續前一個 User 相關的攻擊方式，以＄為結尾的內容

• Trust accounts
  • $ 字號結尾也有可能是 信任帳號
  • 當一個網域（A)跟另外一個網域(B)進行信任的時候
    • A 在 B 以 A$ 儲存 Trust Key
    • B 在 A 以 B$ 儲存 Trust Key
  • Powershell 指令
    • Get-ADUser -LDAPFilter "(SamAccountName=*$)" | select SamAccountName
      • 找到 SamAccountName 以 $ 結尾的帳號
  • 若竊取這些帳號的 key（NT hash or Kerberos key) 可取得跨領域inter-realm 的 Kerberos Ticket
• Group
  • 針對企業中如同我們之前提及企業為了管理方便會利用群組來進行控制，可以將員工加入群組統一管理
  • powershell
    • Get-ADGroup -Filter * | select SamAccountName
      • 查出群組名稱
  • 重要群組
    • 以攻擊者或檢測者來說 domain admins 的群組內有管理員的權限，因此可以去尋找該群組內的成員，並且嘗試取得成員權限，以利下一步攻擊
    • 指令
      • Get-ADGroup "Domain Admins" -Properties members,memberof
  • 與林相關的群組
    • Enterprise Admins 的成員具有林的管理員權限
      • 該群組是基於林的 root 網域群組

整理其他群組-DNSAdmins 權限提升

• DNSAdmins
  • CVE-2021-40469
  • 該群組的成員有權限可以管理 DNS 服務
    • 權限名稱
      • RIGHT_DS_WRITE_PROPERTY
      • RIGHT_DS_WRITE_PROPERTY_EXTENDED
    • 新增 DNS 區域
    • 管理 DNS
    • 啟動或停止 dns.exe (主要以 SYSTEM 執行)
    • 成員對 DNS 服務 object 有寫入權限
    • DNS 以 RPC 執行
      • RPC Interface UUID for DNS
        • 50ABC2A4-574D-40B3-9D66-EE4FD5FBA076
        • 可利用rpcdump.py DC名稱
          • 確認
            • Protocol
            • Provider
            • UUID
      • Named Pipe name
        • \PIPE\DNSSERVER
    • 可以設定 ServerLevelPluginDll 的值
      - 在註冊表路徑 HKLM\SYSTEM\CurrentControlSet\Services\DNS\Parameters\
      - 新增屬性名稱為 ServerLevelPluginDll
      - 可以指到任意 DLL 路徑
      - 重新啟動 dns 服務
      - 就會以 system 權限執行
  • DNS 提權
    • use exploit/windows/local/dnsadmin_serverlevelplugindll
• 如何緩解
  • 讓 DnsAdmins 為空成員
  • 取消可繼承的 ACE
  • 取消權限 RIGHT_DS_WRITE_PROPERTY_EXTENDED
    • 可以阻止攻擊者編寫註冊表載入任意 DLL
  • 不使用（已經不進行更新）
    • Windows Server 2008 R2
    • Windows Server 2008
  • 預設已經修復，修復方式是
    • 新增註冊表HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\DNS\InternalParameters
    • 僅允許管理員修改

參考資料

• Escalating Privileges with DNSAdmins Group
• DnsAdmin ServerLevelPluginDll Feature Abuse Privilege Escalation
• Micropatch For Remote Code Execution by DNS Administrators (CVE-2021-40469)