From 3b3b2feb73f6cbc5dadfe84ff19e35aca0345ab5 Mon Sep 17 00:00:00 2001 From: Translator Date: Wed, 30 Jul 2025 04:11:55 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/azure-security/az-lateral-movement-clo --- .../az-cloud-sync.md | 18 +++++++++--------- 1 file changed, 9 insertions(+), 9 deletions(-) diff --git a/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-cloud-sync.md b/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-cloud-sync.md index 954334771..9162c10ca 100644 --- a/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-cloud-sync.md +++ b/src/pentesting-cloud/azure-security/az-lateral-movement-cloud-on-prem/az-cloud-sync.md @@ -6,7 +6,7 @@ **Cloud Sync** to w zasadzie nowy sposób Azure na **synchronizację użytkowników z AD do Entra ID**. -[Z dokumentacji:](https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync) Microsoft Entra Cloud Sync to nowa oferta od Microsoft, zaprojektowana w celu spełnienia i osiągnięcia celów związanych z hybrydową tożsamością w zakresie synchronizacji użytkowników, grup i kontaktów do Microsoft Entra ID. Osiąga to, używając agenta do provisioningu w chmurze Microsoft Entra zamiast aplikacji Microsoft Entra Connect. Może być jednak używane obok Microsoft Entra Connect Sync. +[Z dokumentacji:](https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/what-is-cloud-sync) Microsoft Entra Cloud Sync to nowa oferta od Microsoft, zaprojektowana w celu spełnienia i osiągnięcia celów związanych z tożsamością hybrydową w zakresie synchronizacji użytkowników, grup i kontaktów do Microsoft Entra ID. Osiąga to, używając agenta do provisioningu w chmurze Microsoft Entra zamiast aplikacji Microsoft Entra Connect. Może być jednak używane obok Microsoft Entra Connect Sync. ### Wygenerowane zasady @@ -19,13 +19,13 @@ Aby to działało, w Entra ID i lokalnym katalogu tworzone są pewne zasady: - W Entra ID tworzona jest również grupa **`AAD DC Administrators`** bez członków lub właścicieli. Ta grupa jest przydatna, jeśli używane są [`Microsoft Entra Domain Services`](./az-domain-services.md). -- W AD tworzony jest albo Konto Usługi **`provAgentgMSA`** z SamAccountName w formacie **`pGMSA_$@domain.com`** (`Get-ADServiceAccount -Filter * | Select Name,SamAccountName`), albo niestandardowe, z [**tym uprawnieniem jest wymagane**](https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/how-to-prerequisites?tabs=public-cloud#custom-gmsa-account). Zwykle tworzony jest domyślny. +- W AD tworzony jest albo Konto Usługi **`provAgentgMSA`** z SamAccountName w formacie **`pGMSA_$@domain.com`** (`Get-ADServiceAccount -Filter * | Select Name,SamAccountName`), albo niestandardowe z [**tymi uprawnieniami**](https://learn.microsoft.com/en-us/entra/identity/hybrid/cloud-sync/how-to-prerequisites?tabs=public-cloud#custom-gmsa-account). Zwykle tworzony jest domyślny. > [!WARNING] > Wśród innych uprawnień Konto Usługi **`provAgentgMSA`** ma uprawnienia DCSync, co pozwala **każdemu, kto je przejmie, na skompromitowanie całego katalogu**. Więcej informacji o [DCSync znajdziesz tutaj](https://book.hacktricks.wiki/en/windows-hardening/active-directory-methodology/dcsync.html). > [!NOTE] -> Domyślnie użytkownicy znanych grup uprzywilejowanych, takich jak Administratorzy Domeny, z atrybutem **`adminCount` do 1 nie są synchronizowani** z Entra ID z powodów bezpieczeństwa. Jednak inni użytkownicy, którzy są częścią grup uprzywilejowanych bez tego atrybutu lub którzy mają przypisane wysokie uprawnienia bezpośrednio **mogą być synchronizowani**. +> Domyślnie użytkownicy znanych grup uprzywilejowanych, takich jak Administratorzy Domeny, z atrybutem **`adminCount` równym 1, nie są synchronizowani** z Entra ID z powodów bezpieczeństwa. Jednak inni użytkownicy, którzy są częścią grup uprzywilejowanych bez tego atrybutu lub którzy mają przypisane wysokie uprawnienia bezpośrednio **mogą być synchronizowani**. ## Synchronizacja haseł @@ -35,7 +35,7 @@ Sekcja ta jest bardzo podobna do tej z: az-connect-sync.md {{#endref}} -- **Synchronizacja skrótów haseł** może być włączona, aby użytkownicy mogli **logować się do Entra ID używając swoich haseł z AD**. Ponadto, gdy hasło jest modyfikowane w AD, zostanie zaktualizowane w Entra ID. +- **Synchronizacja skrótów haseł** może być włączona, aby użytkownicy mogli **logować się do Entra ID za pomocą swoich haseł z AD**. Ponadto, gdy hasło jest modyfikowane w AD, zostanie zaktualizowane w Entra ID. - **Zapis hasła** może być również włączony, co pozwala użytkownikom na modyfikację swojego hasła w Entra ID, automatycznie synchronizując ich hasło w lokalnej domenie. Ale zgodnie z [aktualnymi dokumentami](https://learn.microsoft.com/en-us/entra/identity/authentication/tutorial-enable-sspr-writeback#configure-password-writeback), do tego potrzebne jest użycie agenta Connect, więc zapoznaj się z sekcją [Az Connect Sync](./az-connect-sync.md) w celu uzyskania dalszych informacji. - **Zapis grup**: Ta funkcja pozwala na synchronizację członkostwa grup z Entra ID z powrotem do lokalnego AD. Oznacza to, że jeśli użytkownik zostanie dodany do grupy w Entra ID, zostanie również dodany do odpowiadającej grupy w AD. @@ -81,13 +81,13 @@ https://book.hacktricks.wiki/en/windows-hardening/active-directory-methodology/i {{#endref}} > [!NOTE] -> Zauważ, że nie ma sposobu, aby przypisać role Azure lub EntraID do zsynchronizowanych użytkowników na podstawie ich atrybutów, na przykład w konfiguracjach Cloud Sync. Jednak aby automatycznie przyznać uprawnienia zsynchronizowanym użytkownikom, niektóre **grupy Entra ID z AD** mogą otrzymać uprawnienia, dzięki czemu zsynchronizowani użytkownicy w tych grupach również je otrzymują, lub **można użyć grup dynamicznych**, więc zawsze sprawdzaj zasady dynamiczne i potencjalne sposoby ich nadużycia: +> Zauważ, że nie ma sposobu, aby przypisać role Azure lub EntraID do zsynchronizowanych użytkowników na podstawie ich atrybutów, na przykład w konfiguracjach Cloud Sync. Jednak w celu automatycznego przyznawania uprawnień zsynchronizowanym użytkownikom niektóre **grupy Entra ID z AD** mogą otrzymać uprawnienia, dzięki czemu zsynchronizowani użytkownicy w tych grupach również je otrzymują, lub **można użyć grup dynamicznych**, więc zawsze sprawdzaj zasady dynamiczne i potencjalne sposoby ich nadużycia: {{#ref}} -../../az-privilege-escalation/az-entraid-privesc/dynamic-groups.md +../az-privilege-escalation/az-entraid-privesc/dynamic-groups.md {{#endref}} -Jeśli chodzi o persistencję, [ten post na blogu](https://tierzerosecurity.co.nz/2024/05/21/ms-entra-connect-sync-mothods.html) sugeruje, że możliwe jest użycie [**dnSpy**](https://github.com/dnSpy/dnSpy) do wprowadzenia backdoora do dll **`Microsoft.Online.Passwordsynchronisation.dll`** znajdującej się w **`C:\Program Files\Microsoft Azure AD Sync\Bin`**, która jest używana przez agenta Cloud Sync do przeprowadzania synchronizacji haseł, co powoduje eksfiltrację hashy haseł użytkowników synchronizowanych na zdalny serwer. Hashes są generowane wewnątrz klasy **`PasswordHashGenerator`**, a post na blogu sugeruje dodanie pewnego kodu, aby klasa wyglądała tak (zauważ użycie `use System.Net` i `WebClient` do eksfiltracji hashy haseł): +Jeśli chodzi o persistencję, [ten post na blogu](https://tierzerosecurity.co.nz/2024/05/21/ms-entra-connect-sync-mothods.html) sugeruje, że możliwe jest użycie [**dnSpy**](https://github.com/dnSpy/dnSpy) do wprowadzenia backdoora do dll **`Microsoft.Online.Passwordsynchronisation.dll`** znajdującej się w **`C:\Program Files\Microsoft Azure AD Sync\Bin`**, która jest używana przez agenta Cloud Sync do przeprowadzania synchronizacji haseł, co powoduje eksfiltrację hashy haseł użytkowników synchronizowanych do zdalnego serwera. Hashes są generowane wewnątrz klasy **`PasswordHashGenerator`** i post na blogu sugeruje dodanie pewnego kodu, aby klasa wyglądała tak (zauważ użycie `use System.Net` i `WebClient` do eksfiltracji hashy haseł): ```csharp using System; using System.Net; @@ -129,12 +129,12 @@ C:\Program Files (x86)\Microsoft SDKs\NuGetPackages\: Package 'System.Security.C - Jeśli **Password Writeback** jest włączone, możesz zmienić hasło niektórych użytkowników z Entra ID, a jeśli masz dostęp do sieci AD, połącz się z nimi. Aby uzyskać więcej informacji, sprawdź sekcję [Az Connect Sync](./az-connect-sync.md), ponieważ funkcja resetowania hasła jest konfigurowana za pomocą tego agenta. -- W tym momencie Cloud Sync również pozwala na **"Microsoft Entra ID do AD"**, ale po dłuższym czasie odkryłem, że NIE MOŻE synchronizować użytkowników EntraID do AD i że może synchronizować tylko użytkowników z EntraID, którzy zostali zsynchronizowani z hashem hasła i pochodzą z domeny, która należy do tego samego lasu domenowego, do którego synchronizujemy, jak można przeczytać w [https://learn.microsoft.com/en-us/entra/identity/hybrid/group-writeback-cloud-sync#supported-groups-and-scale-limits](https://learn.microsoft.com/en-us/entra/identity/hybrid/group-writeback-cloud-sync#supported-groups-and-scale-limits): +- W tej chwili Cloud Sync również pozwala na **"Microsoft Entra ID do AD"**, ale po dłuższym czasie odkryłem, że NIE MOŻE synchronizować użytkowników EntraID do AD i że może synchronizować tylko użytkowników z EntraID, którzy zostali zsynchronizowani z hashem hasła i pochodzą z domeny, która należy do tego samego lasu domenowego, co domena, do której synchronizujemy, jak można przeczytać w [https://learn.microsoft.com/en-us/entra/identity/hybrid/group-writeback-cloud-sync#supported-groups-and-scale-limits](https://learn.microsoft.com/en-us/entra/identity/hybrid/group-writeback-cloud-sync#supported-groups-and-scale-limits): > - Te grupy mogą zawierać tylko zsynchronizowanych użytkowników lokalnych i/lub dodatkowe grupy zabezpieczeń utworzone w chmurze. > - Lokalne konta użytkowników, które są synchronizowane i są członkami tej grupy zabezpieczeń utworzonej w chmurze, mogą pochodzić z tej samej domeny lub z różnych domen, ale wszystkie muszą pochodzić z tego samego lasu. -Tak więc powierzchnia ataku (i użyteczność) tej usługi jest znacznie ograniczona, ponieważ atakujący musiałby skompromitować początkowy AD, z którego użytkownicy są synchronizowani, aby skompromitować użytkownika w innej domenie (i obie muszą być w tym samym lesie najwyraźniej). +Tak więc powierzchnia ataku (i użyteczność) tej usługi jest znacznie ograniczona, ponieważ atakujący musiałby skompromitować początkowe AD, z którego użytkownicy są synchronizowani, aby skompromitować użytkownika w innej domenie (a obie muszą być w tym samym lesie najwyraźniej). ### Enumeration ```bash