DCSync
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente com as ferramentas da comunidade mais avançadas do mundo. Obtenha Acesso Hoje:
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
DCSync
A permissão DCSync implica ter essas permissões sobre o domínio em si: DS-Replication-Get-Changes, Replicating Directory Changes All e Replicating Directory Changes In Filtered Set.
Notas Importantes sobre DCSync:
O ataque DCSync simula o comportamento de um Controlador de Domínio e solicita que outros Controladores de Domínio repliquem informações usando o Protocolo Remoto de Serviço de Replicação de Diretório (MS-DRSR). Como o MS-DRSR é uma função válida e necessária do Active Directory, não pode ser desativado ou desligado.
Por padrão, apenas os grupos Domain Admins, Enterprise Admins, Administrators e Domain Controllers têm os privilégios necessários.
Se as senhas de qualquer conta forem armazenadas com criptografia reversível, uma opção está disponível no Mimikatz para retornar a senha em texto claro.
Enumeração
Verifique quem tem essas permissões usando powerview
:
Exploit Localmente
Exploit Remotamente
-just-dc
gera 3 arquivos:
um com os hashes NTLM
um com as chaves Kerberos
um com senhas em texto claro do NTDS para quaisquer contas configuradas com criptografia reversível habilitada. Você pode obter usuários com criptografia reversível com
Persistência
Se você for um administrador de domínio, pode conceder essas permissões a qualquer usuário com a ajuda do powerview
:
Então, você pode verificar se o usuário foi corretamente atribuído os 3 privilégios procurando-os na saída de (você deve conseguir ver os nomes dos privilégios dentro do campo "ObjectType"):
Mitigação
ID de Evento de Segurança 4662 (A Política de Auditoria para o objeto deve estar habilitada) – Uma operação foi realizada em um objeto
ID de Evento de Segurança 5136 (A Política de Auditoria para o objeto deve estar habilitada) – Um objeto de serviço de diretório foi modificado
ID de Evento de Segurança 4670 (A Política de Auditoria para o objeto deve estar habilitada) – As permissões em um objeto foram alteradas
Scanner de ACL do AD - Crie e compare relatórios de ACLs. https://github.com/canix1/ADACLScanner
Referências
Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP:
HackTricks Training GCP Red Team Expert (GRTE)
![](https://book.hacktricks.xyz/~gitbook/image?url=https%3A%2F%2F910640767-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FjzQiXe8oFAkPoN0MXcUG%252Fuploads%252Fgit-blob-78abb7891633b1e8147b4e743e4f00af375d3cd6%252Fimage%2520%2848%29.png%3Falt%3Dmedia&width=768&dpr=4&quality=100&sign=5de16767&sv=1)
Use Trickest para construir e automatizar fluxos de trabalho facilmente, impulsionados pelas ferramentas da comunidade mais avançadas do mundo. Obtenha Acesso Hoje:
Last updated