Forest (2026)
Тэги:
AS-REP Roasting
GenericAll -> Group
WriteDacl -> Domain
Разведка
Сканирование портов:
Первоначальный доступ - svc-alfresco (Null Session: AS-REP Roasting)
Во время тестирования был обнаружен Null session (анонимная сессия) для подключения к SMB и LDAP:
Была найдена УЗ svc-alfresco, которая имеет специальный UAC флаг Не требовать предварительной аутентификации Kerberos. В таком случае можно проэксплуатировать AS-REP Roasting, используя impacket-GetNPUsers:
С помощью утилиты hashcat был сбручен krb5asrep-хеш:
И подтверждена валидность данных с помощью nxc:
УЗ svc-alfresco также состоит в группе REMOTE MANAGEMENT USERS, поэтому у неё есть доступ к хосту через winrm:
Повышение привилегий - Administrator (GenericAll на группу, WriteDacl на домен, DCSync)
Сбор информации для bloodhound:
УЗ svc-aflresco состоит в группах SERVICE ACCOUNTS -> PRIVILEGED IT ACCOUNTS -> ACCOUNT OPERATORS. Последняя группа имеет ACL GenericAll на группу EXCHANGE WINDOWS PERMISSIONS, которая в свою очередь, имеет WriteDacl на домен htb.local:
В Bloodhound существуют подсказки для эксплуатации ACL'ов. Пример для GenericAll на группу:
Проверить группы, в которых состоит пользователь на текущий момент, можно с помощью следующей команды:
Далее можно использовать bloodyAD, чтобы проэксплуатировать GenericAll (добавление пользователя в группу EXCHANGE WINDOWS PERMISSIONS) и WriteDacl (добавление возможности DCSync пользователю):
После добавления ACL и эксплуатации DCSync, можно использовать Pass The Hash, чтобы подключиться к хосту от имени администратора:
Last updated