Az AD Connect - Hybrid Identity
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Integrasie tussen On-premises Active Directory (AD) en Azure AD word gefasiliteer deur Azure AD Connect, wat verskeie metodes bied wat Single Sign-on (SSO) ondersteun. Elke metode, terwyl nuttig, bied potensiële sekuriteitskwesbaarhede wat benut kan word om cloud of on-premises omgewings te kompromitteer:
Pass-Through Authentication (PTA):
Moglike kompromie van die agent op die on-prem AD, wat die validasie van gebruikerswagwoorde vir Azure verbindings (on-prem na Cloud) toelaat.
Die haalbaarheid om 'n nuwe agent te registreer om authentikasies in 'n nuwe ligging (Cloud na on-prem) te valideer.
Password Hash Sync (PHS):
Potensiële ekstraksie van duidelike teks wagwoorde van bevoorregte gebruikers uit die AD, insluitend geloofsbriewe van 'n hoogs bevoorregte, outomaties gegenereerde AzureAD gebruiker.
Federation:
Diefstal van die private sleutel wat vir SAML-handtekening gebruik word, wat die nabootsing van on-prem en cloud identiteite moontlik maak.
Seamless SSO:
Diefstal van die AZUREADSSOACC gebruiker se wagwoord, wat gebruik word vir die ondertekening van Kerberos silwer kaartjies, wat die nabootsing van enige cloud gebruiker toelaat.
Cloud Kerberos Trust:
Moglikheid om van Global Admin na on-prem Domain Admin te eskaleer deur AzureAD gebruiker gebruikersname en SIDs te manipuleer en TGTs van AzureAD aan te vra.
Default Applications:
Kompromitering van 'n Application Administrator rekening of die on-premise Sync Account laat die wysiging van gidsinstellings, groep lidmaatskappe, gebruikersrekeninge, SharePoint webwerwe, en OneDrive lêers toe.
Vir elke integrasiemetode word gebruikerssynchronisasie uitgevoer, en 'n MSOL_<installationidentifier> rekening word in die on-prem AD geskep. Opmerklik is dat beide PHS en PTA metodes Seamless SSO fasiliteer, wat outomatiese aanmelding vir Azure AD rekenaars wat by die on-prem domein aangesluit is, moontlik maak.
Om die installasie van Azure AD Connect te verifieer, kan die volgende PowerShell-opdrag, wat die AzureADConnectHealthSync module gebruik (wat standaard saam met Azure AD Connect geïnstalleer word), gebruik word:
Leer & oefen AWS Hacking:HackTricks Opleiding AWS Red Team Expert (ARTE) Leer & oefen GCP Hacking: HackTricks Opleiding GCP Red Team Expert (GRTE)
