Az - PTA - Pass-through Authentication
Taarifa za Msingi
Kutoka kwenye nyaraka: Azure Active Directory (Azure AD) Pass-through Authentication inaruhusu watumiaji wako kuingia kwenye programu za ndani na za wingu kwa kutumia nywila zile zile. Kipengele hiki kinawapa watumiaji wako uzoefu bora - nywila moja kidogo ya kukumbuka, na hupunguza gharama za msaada wa IT kwa sababu watumiaji wako hawana uwezekano wa kusahau jinsi ya kuingia. Watumiaji wanapoingia kwa kutumia Azure AD, kipengele hiki kinathibitisha nywila za watumiaji moja kwa moja dhidi ya Active Directory yako ya ndani.
Katika PTA utambulisho unasawazishwa lakini nywila hazisawazishwi kama ilivyo kwenye PHS.
Uthibitishaji unathibitishwa katika AD ya ndani na mawasiliano na wingu hufanywa na wakala wa uthibitishaji anayeendesha kwenye seva ya ndani (haitaji kuwa kwenye DC ya ndani).
Mtiririko wa Uthibitishaji
Ili kuingia mtumiaji anapelekwa kwa Azure AD, ambapo anatuma jina la mtumiaji na nywila
Kitambulisho kinasimbwa na kuwekwa kwenye foleni katika Azure AD
Wakala wa uthibitishaji wa ndani anakusanya kitambulisho kutoka kwenye foleni na anakifungua. Wakala huyu anaitwa "Pass-through authentication agent" au PTA agent.
Wakala anathibitisha kitambulisho dhidi ya AD ya ndani na kutuma jibu kurudi kwa Azure AD ambayo, ikiwa jibu ni chanya, inakamilisha kuingia kwa mtumiaji.
Ikiwa mshambuliaji ataingilia PTA anaweza kuona kitambulisho chote kutoka kwenye foleni (katika maandishi wazi). Anaweza pia kuthibitisha kitambulisho chochote kwa AzureAD (shambulio sawa na Skeleton key).
Ndani -> wingu
Ikiwa una ufikiaji wa admin kwenye seva ya Azure AD Connect na wakala wa PTA unaoendesha, unaweza kutumia moduli ya AADInternals kuingiza mlango wa nyuma ambao utathibitisha nywila ZOTE zilizoingizwa (kwa hivyo nywila zote zitakuwa halali kwa uthibitishaji):
Ikiwa usakinishaji unashindwa, hii inaweza kuwa kutokana na kukosekana kwa Microsoft Visual C++ 2015 Redistributables.
Pia inawezekana kuona nywila wazi zilizotumwa kwa PTA agent kwa kutumia cmdlet ifuatayo kwenye mashine ambapo backdoor ya awali ilisakinishwa:
This backdoor will:
Create a hidden folder
C:\PTASpy
Copy a
PTASpy.dll
toC:\PTASpy
Injects
PTASpy.dll
toAzureADConnectAuthenticationAgentService
process
Wakati huduma ya AzureADConnectAuthenticationAgent inapoanzishwa tena, PTASpy inatolewa na inahitaji kusakinishwa tena.
Cloud -> On-Prem
Baada ya kupata GA privileges kwenye cloud, inawezekana kusajili PTA agent mpya kwa kuiweka kwenye mashine inayodhibitiwa na mshambuliaji. Mara baada ya agent kusakinishwa, tunaweza kurudia hatua za awali ili kuthibitisha kwa kutumia nenosiri lolote na pia, kupata nywila kwa maandishi wazi.
Seamless SSO
Inawezekana kutumia Seamless SSO na PTA, ambayo ni dhaifu kwa matumizi mengine mabaya. Angalia katika:
Az - Seamless SSOReferences
Last updated