Shadow Credentials
Last updated
Last updated
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Check the original post for all the information about this technique.
Якщо підсумувати: якщо ви можете записувати в атрибут msDS-KeyCredentialLink користувача/комп'ютера, ви можете отримати NT hash цього об'єкта.
У пості описано метод налаштування аутентифікаційних облікових даних з публічним-приватним ключем для отримання унікального Service Ticket, який містить NTLM hash цілі. Цей процес включає зашифрований NTLM_SUPPLEMENTAL_CREDENTIAL у Сертифікаті Атрибутів Привілеїв (PAC), який можна розшифрувати.
Щоб застосувати цю техніку, необхідно виконати певні умови:
Потрібен принаймні один контролер домену Windows Server 2016.
Контролер домену повинен мати встановлений цифровий сертифікат для аутентифікації сервера.
Active Directory повинна бути на функціональному рівні Windows Server 2016.
Потрібен обліковий запис з делегованими правами для зміни атрибута msDS-KeyCredentialLink цільового об'єкта.
Зловживання Key Trust для комп'ютерних об'єктів охоплює кроки, що виходять за межі отримання квитка на отримання квитка (TGT) та NTLM hash. Варіанти включають:
Створення RC4 silver ticket для дій від імені привілейованих користувачів на цільовому хості.
Використання TGT з S4U2Self для імперсонації привілейованих користувачів, що вимагає змін до Service Ticket для додавання класу служби до імені служби.
Значною перевагою зловживання Key Trust є його обмеження лише до приватного ключа, згенерованого атакуючим, що уникає делегування потенційно вразливим обліковим записам і не вимагає створення облікового запису комп'ютера, що може бути складно видалити.
### Whisker
Цей інструмент базується на DSInternals, надаючи C# інтерфейс для цієї атаки. Whisker та його Python аналог, pyWhisker, дозволяють маніпулювати атрибутом msDS-KeyCredentialLink, щоб отримати контроль над обліковими записами Active Directory. Ці інструменти підтримують різні операції, такі як додавання, перегляд, видалення та очищення облікових даних ключів з цільового об'єкта.
Функції Whisker включають:
Add: Генерує пару ключів і додає облікові дані ключа.
List: Відображає всі записи облікових даних ключів.
Remove: Видаляє вказані облікові дані ключа.
Clear: Стирає всі облікові дані ключів, що може порушити законне використання WHfB.
Він розширює функціональність Whisker для систем на базі UNIX, використовуючи Impacket та PyDSInternals для всебічних можливостей експлуатації, включаючи перелік, додавання та видалення KeyCredentials, а також імпорт та експорт їх у форматі JSON.
ShadowSpray має на меті використати дозволи GenericWrite/GenericAll, які можуть мати широкі групи користувачів над об'єктами домену, щоб широко застосувати ShadowCredentials. Це передбачає вхід до домену, перевірку функціонального рівня домену, перерахування об'єктів домену та спробу додати KeyCredentials для отримання TGT та розкриття NT хешу. Варіанти очищення та рекурсивні тактики експлуатації підвищують його корисність.
Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
