Impacket findDelegation.py
LDAP を検索し、ドメイン内の非制約委任、制約付き委任、RBCD の設定を一覧にします。
| 項目 | 内容 |
|---|---|
| 実装 | examples/findDelegation.py |
| カテゴリ | Active Directory / LDAP / アカウント管理 |
| 規模 | 283 行 |
| 配布 | setup.py の scripts=examples/*.py によりスクリプトとしてインストール |
CLI と入力
Section titled “CLI と入力”オプションの最新の定義は python examples/findDelegation.py -h で確認できます。
| 引数 | 説明 |
|---|---|
target | domain[/username[:password]] |
-target-domain | Domain to query/request if different than the domain of the user. Allows for retrieving delegation info across trusts. |
-ts | Adds timestamp to every logging output |
-debug | Turn DEBUG output ON |
-user | Requests data for specific user |
-disabled | Query disabled users too |
-hashes | NTLM hashes, format is LMHASH:NTHASH |
-no-pass | don’t ask for password (useful for -k) |
-k | Use Kerberos authentication. Grabs credentials from ccache file (KRB5CCNAME) based on target parameters. If valid credentials cannot be found, it will use the ones specified in the command line |
-aesKey | AES key to use for Kerberos Authentication (128 or 256 bits) |
-dc-ip | IP Address of the domain controller. If ommited it use the domain part (FQDN) specified in the target parameter. Ignoredif -target-domain is specified. |
-dc-host | Hostname of the domain controller to use. If ommited, the domain part (FQDN) specified in the account parameter will be used |
-ldaps / -use-ldaps | Use LDAPS instead of LDAP |
詳細な処理フロー
Section titled “詳細な処理フロー”対象ドメインへ bind し、user/computer の UAC、msDS-AllowedToDelegateTo、RBCD security descriptor を検索します。SID と SPN を解決し、account type、delegation type、対象 SPN を表にします。
仕組みの詳細
Section titled “仕組みの詳細”delegation は単一属性では表現されません。このコマンドは account の
userAccountControl、msDS-AllowedToDelegateTo、そして
msDS-AllowedToActOnBehalfOfOtherIdentity を組み合わせ、unconstrained、
constrained、protocol transition 付き constrained、RBCD を分類します。
したがって、単に SPN を列挙するのではなく「誰が、どの service または account
に対して delegation 可能か」という関係へ変換する処理です。
通常の constrained delegation は委任元 account に対象 SPN が格納されます。
RBCD は逆に、委任先 computer の security descriptor に許可された SID が
格納されます。run() は RBCD の binary descriptor を ldaptypes で解析し、
各 ACE の SID を directory object 名へ引き直します。この向きの違いを
保ったまま同じ表へ正規化するのが実装の中心です。
SID や SPN の解決に失敗しても、関係そのものが存在しないとは限りません。
削除済み object、別 domain の SID、読み取り権限不足では raw SID だけが残る
ことがあります。checkIfSPNExists() や名前解決を変更するときは、表示名の
補完失敗によって元の delegation record を捨てないようにします。
主要な実装要素
Section titled “主要な実装要素”| シンボル | 位置 | 責務を追う入口 |
|---|---|---|
FindDelegation | 58 | __init__()、printTable()、run() |
checkIfSPNExists() | 36 | モジュール関数 |
Impacket 内部
Section titled “Impacket 内部”| モジュール | 使用する主な名前 |
|---|---|
impacket | version |
impacket.dcerpc.v5.samr | UF_ACCOUNTDISABLE, UF_TRUSTED_FOR_DELEGATION, UF_TRUSTED_TO_AUTHENTICATE_FOR_DELEGATION |
impacket.examples | logger |
impacket.examples.utils | ldap_login, parse_identity |
impacket.ldap | ldap, ldapasn1, ldaptypes |
出力・副作用・必要権限
Section titled “出力・副作用・必要権限”- 照会や認証の試行が中心です。実行回数が多いと監査ログやアカウントロック、対象の負荷に影響します。
失敗経路と後始末
Section titled “失敗経路と後始末”- 失敗時は、名前解決、接続、認証、サービスの状態、権限のどこで止まったかを、プロトコルのステータスから切り分けます。
実装を変更するとき
Section titled “実装を変更するとき”ldap / ldapasn1 / ldaptypes、SAMR の delegation flag、ldap_login に依存します。checkIfSPNExists() と FindDelegation.run() が検索と分類を担当します。cross-domain の -target-domain では、認証ドメインと検索 base の違いを維持してください。
- 構文:
python -m py_compile examples/findDelegation.py - CLI:
python examples/findDelegation.py -h - 関連テスト:
tests/SMB_RPC/test_ldap.py - 関連テスト:
tests/dcerpc/test_samr.py