Az - PHS - Password Hash Sync
Podstawowe informacje
Z dokumentacji: Password hash synchronization to jedna z metod logowania używana do osiągnięcia hybrydowej tożsamości. Azure AD Connect synchronizuje hash, hasha hasła użytkownika z lokalnej instancji Active Directory do chmurowej instancji Azure AD.
Jest to najczęściej stosowana metoda przez firmy do synchronizacji lokalnego AD z Azure AD.
Wszystkie użytkownicy i hash haszy haseł są synchronizowane z lokalnego AD do Azure AD. Jednakże, hasła w postaci jawnej ani oryginalne hasze nie są wysyłane do Azure AD. Ponadto, wbudowane grupy zabezpieczeń (jak administratorzy domeny...) nie są synchronizowane do Azure AD.
Synchronizacja haszy odbywa się co 2 minuty. Jednakże, domyślnie, wygaśnięcie hasła i wygaśnięcie konta nie są synchronizowane w Azure AD. Tak więc, użytkownik, którego lokalne hasło wygasło (nie zostało zmienione) może nadal uzyskiwać dostęp do zasobów Azure używając starego hasła.
Gdy lokalny użytkownik chce uzyskać dostęp do zasobu Azure, uwierzytelnianie odbywa się w Azure AD.
PHS jest wymagane dla funkcji takich jak Identity Protection i AAD Domain Services.
Pivoting
Gdy PHS jest skonfigurowane, niektóre uprzywilejowane konta są automatycznie tworzone:
Konto
MSOL_<installationID>
jest automatycznie tworzone w lokalnym AD. To konto ma przypisaną rolę Directory Synchronization Accounts (zobacz dokumentację), co oznacza, że ma uprawnienia replikacji (DCSync) w lokalnym AD.Konto
Sync_<name of on-prem ADConnect Server>_installationID
jest tworzone w Azure AD. To konto może resetować hasło DOWOLNEGO użytkownika (zsynchronizowanego lub tylko w chmurze) w Azure AD.
Hasła dwóch poprzednich uprzywilejowanych kont są przechowywane na serwerze SQL na serwerze, gdzie Azure AD Connect jest zainstalowany. Administratorzy mogą wyodrębnić hasła tych uprzywilejowanych użytkowników w postaci jawnej.
Baza danych znajduje się w C:\Program Files\Microsoft Azure AD Sync\Data\ADSync.mdf
.
Możliwe jest wyodrębnienie konfiguracji z jednej z tabel, z których jedna jest zaszyfrowana:
SELECT private_configuration_xml, encrypted_configuration FROM mms_management_agent;
Zaszyfrowana konfiguracja jest zaszyfrowana za pomocą DPAPI i zawiera hasła użytkownika MSOL_*
w lokalnym AD oraz hasło Sync_* w AzureAD. Dlatego, kompromitując te dane, możliwe jest privesc do AD i do AzureAD.
Możesz znaleźć pełny przegląd, jak te dane uwierzytelniające są przechowywane i odszyfrowywane w tej prezentacji.
Znalezienie serwera Azure AD connect
Jeśli serwer, na którym zainstalowany jest Azure AD connect jest dołączony do domeny (zalecane w dokumentacji), możliwe jest jego znalezienie za pomocą:
Wykorzystywanie MSOL_*
Wprowadzenie
W tej sekcji omówimy, jak można wykorzystać MSOL_* do przeprowadzenia ruchu lateralnego w środowisku hybrydowym Azure AD.
Wymagania
Uprawnienia administracyjne do Azure AD
Dostęp do konta z uprawnieniami MSOL_*
Kroki
Zidentyfikuj konta MSOL_*: Użyj narzędzi takich jak PowerShell, aby zidentyfikować konta MSOL_* w środowisku.
Uzyskaj dostęp do konta MSOL_*: Wykorzystaj techniki takie jak phishing lub brute force, aby uzyskać dostęp do konta MSOL_*.
Wykorzystaj uprawnienia konta MSOL_*: Użyj uzyskanych uprawnień do przeprowadzenia ruchu lateralnego i eskalacji uprawnień w środowisku.
Przykład
Powyższe polecenie PowerShell identyfikuje wszystkie konta MSOL_* w domenie.
Podsumowanie
Wykorzystanie kont MSOL_* może być skuteczną metodą na przeprowadzenie ruchu lateralnego w środowisku hybrydowym Azure AD.
Możesz również użyć adconnectdump aby uzyskać te poświadczenia.
Wykorzystywanie Sync_*
Kompromitując konto Sync_*
możliwe jest zresetowanie hasła dowolnego użytkownika (w tym Globalnych Administratorów)
Jest również możliwe zmodyfikowanie haseł tylko użytkowników chmurowych (nawet jeśli jest to nieoczekiwane)
Możliwe jest również zrzucenie hasła tego użytkownika.
Inną opcją byłoby przypisanie uprzywilejowanych uprawnień do głównego serwisu, co użytkownik Sync ma uprawnienia do zrobienia, a następnie dostęp do tego głównego serwisu jako sposób na privesc.
Seamless SSO
Możliwe jest użycie Seamless SSO z PHS, które jest podatne na inne nadużycia. Sprawdź to w:
Az - Seamless SSOReferences
Last updated