DCShadow
DCShadow
Registra un nuovo Domain Controller nell'AD e lo utilizza per inserire attributi (SIDHistory, SPN...) sugli oggetti specificati senza lasciare alcun log riguardo alle modifiche. Hai bisogno dei privilegi DA e devi essere all'interno del dominio radice. Nota che se utilizzi dati errati, compariranno log piuttosto brutti.
Per eseguire l'attacco hai bisogno di 2 istanze di mimikatz. Una di esse avvierà i server RPC con privilegi di sistema (devi indicare qui le modifiche che desideri effettuare), e l'altra istanza verrà utilizzata per inserire i valori:
Si noti che elevate::token non funzionerà nella sessione mimikatz1 poiché eleva i privilegi del thread, ma è necessario elevare i privilegi del processo.
È anche possibile selezionare un oggetto "LDAP": /object:CN=Amministratore,CN=Utenti,DC=JEFFLAB,DC=local
È possibile eseguire le modifiche da un DA o da un utente con queste autorizzazioni minime:
Nell'oggetto dominio:
DS-Install-Replica (Aggiungi/Rimuovi replica nel dominio)
DS-Replication-Manage-Topology (Gestisci la topologia di replica)
DS-Replication-Synchronize (Sincronizzazione di replica)
L'oggetto Siti (e i suoi figli) nel contenitore Configurazione:
CreateChild e DeleteChild
L'oggetto del computer registrato come DC:
WriteProperty (Non Write)
L'oggetto di destinazione:
WriteProperty (Non Write)
È possibile utilizzare Set-DCShadowPermissions per concedere questi privilegi a un utente non privilegiato (si noti che ciò lascerà alcuni log). Questo è molto più restrittivo rispetto ad avere privilegi DA.
Ad esempio: Set-DCShadowPermissions -FakeDC mcorp-student1 SAMAccountName root1user -Username student1 -Verbose Ciò significa che l'username student1 quando effettua l'accesso alla macchina mcorp-student1 ha i permessi DCShadow sull'oggetto root1user.
Utilizzo di DCShadow per creare backdoor
Shadowception - Concedere le autorizzazioni DCShadow utilizzando DCShadow (nessun log di autorizzazioni modificate)
Dobbiamo aggiungere le seguenti ACE con l'SID dell'utente alla fine:
Sull'oggetto del dominio:
(OA;;CR;1131f6ac-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)(OA;;CR;9923a32a-3607-11d2-b9be-0000f87a36b2;;UserSID)(OA;;CR;1131f6ab-9c07-11d1-f79f-00c04fc2dcd2;;UserSID)Sull'oggetto del computer dell'attaccante:
(A;;WP;;;UserSID)Sull'oggetto dell'utente di destinazione:
(A;;WP;;;UserSID)Sull'oggetto dei siti nel contenitore di configurazione:
(A;CI;CCDC;;;UserSID)
Per ottenere l'ACE corrente di un oggetto: (New-Object System.DirectoryServices.DirectoryEntry("LDAP://DC=moneycorp,DC=loca l")).psbase.ObjectSecurity.sddl
Si noti che in questo caso è necessario apportare diverse modifiche, non solo una. Quindi, nella sessione mimikatz1 (server RPC), utilizzare il parametro /stack con ogni modifica che si desidera apportare. In questo modo, sarà sufficiente eseguire /push una volta per eseguire tutte le modifiche bloccate nel server falso.
Last updated