English  ·  Ελληνικά

Αναγνώριση

Το box σου δίνει ένα αρχικό credential — pentest : p3nt3st2025!& — οπότε αυτό είναι assumed-breach: κανένα exploit για την μπροστινή πόρτα, μόνο ένα authenticated foothold μέσα στο domain. Μια γρήγορη σάρωση είναι σχολικό βιβλίο domain controller: Kerberos, LDAP, το global catalog, SMB, και WinRM. Server 2019, domain pirate.htb, hostname DC01.

Πρόσθεσε τα ονόματα στο /etc/hosts (pirate.htb, dc01.pirate.htb) — το Kerberos κάνει resolve service principals με βάση το hostname, οπότε το να δουλεύεις μόνο με IP σπάει τη στιγμή που αγγίζεις ένα ticket.

Foothold — ένας λογαριασμός machine pre-Windows 2000

Η καταμέτρηση αντικειμένων computer μέσω LDAP αναδεικνύει περισσότερα από τους δύο hosts που θα περίμενες:

Δύο λογαριασμοί machine — MS01$ και EXCH01$ — κουβαλούν τη σημαία Pre-Windows 2000. Όταν ένας admin προδημιουργεί ένα αντικείμενο computer για έναν host που δεν έχει κάνει join στο domain ακόμα, το αρχικό του password ορίζεται στο πεζό sAMAccountName χωρίς το τελικό dollar sign. Αν ο host δεν κάνει ποτέ join (lastLogon = 0), εκείνο το bootstrap password είναι ακόμα ζωντανό. Το module pre2k του netexec σημαίνει ακριβώς αυτό:

Οπότε το password του MS01$ θα έπρεπε να είναι ms01. Δεν μπορείς να το δοκιμάσεις με κανονικό logon όμως — οι λογαριασμοί machine αρνούνται interactive/NTLM authentication (STATUS_NOLOGON_WORKSTATION_TRUST_ACCOUNT). Όλα από εδώ και πέρα είναι μόνο-Kerberos. Πιάσε ένα TGT για να αποδείξεις το password και να το κουβαλήσεις στο επόμενο βήμα:

gMSA — διαβάζοντας ένα managed password → WinRM στον DC

Ένα group Managed Service Account έχει ένα password 240-bytes που το AD περιστρέφει μόνο του και ποτέ δεν δείχνει σε admin. Η παγίδα: κάθε principal που είναι λισταρισμένος στο msDS-GroupMSAMembership του gMSA (το σύνολο "principals allowed to retrieve managed password") μπορεί να διαβάσει το blob μέσω LDAP και να παράγει το hash NT από αυτό. Το φρέσκο-κατακτημένο μας MS01$ είναι τέτοιο principal. Το bloodyAD το διαβάζει και επιστρέφει το hash απευθείας:

Εκείνο το hash NT είναι ένα πλήρες credential για τον gMSA_ADFS_prod$ — και ο λογαριασμός τυχαίνει να είναι στο Remote Management Users, οπότε μπορεί να κάνει login μέσω WinRM. Το netexec επιβεβαιώνει exec επιπέδου-admin, και το evil-winrm ρίχνει ένα shell στον DC:

Πρώτο πράγμα μέσα: ipconfig. Ο DC είναι dual-homed.

Υπάρχει ένα 192.168.100.0/24 πίσω από τον DC, και από το προηγούμενο LDAP dump ξέρουμε ότι το WEB01$ ζει εκεί — 192.168.100.2, απευθείας απρόσιτο. Τα flags δεν είναι στα αναγνώσιμα desktops του DC, οπότε ο επόμενος στόχος είναι εκείνος ο εσωτερικός host. Ώρα για pivot.

Pivoting στο εσωτερικό δίκτυο (από macOS)

Το tunnel της οικίας γι' αυτό είναι το ligolo, αλλά το TUN + interactive console του είναι δύσκολο να γίνει script σε macOS, οπότε χρησιμοποίησα αντ' αυτού chisel reverse SOCKS — εντελώς non-interactive, δεν χρειάζεται root για το ίδιο το proxy. Τρέξε τον server στο box επίθεσης, στήσε τον client πάνω στον DC μέσω του shell WinRM, και κάλεσε πίσω:

Με το SOCKS πάνω στο 127.0.0.1:1080, το WEB01 είναι προσβάσιμο — 445, 135, 5985 και μια υπηρεσία HTTP στη 80. Μια σημείωση για συνάδελφους χρήστες Mac: το netexec σπάει κάτω από proxychains (οι multiprocessing workers του δεν κληρονομούν το hook DYLD_INSERT_LIBRARIES), αλλά τα single-process scripts Impacket κάνουν proxy μια χαρά. Οπότε η καταμέτρηση και κάθε βήμα σχετικό-με-relay παρακάτω τρέχουν σαν proxychains4 <impacket-tool>.

WEB01 — NTLM relay → RBCD → ένας χρήστης domain

Το gMSA μπορεί να κάνει authenticate στο WEB01 αλλά δεν είναι τοπικός admin εκεί (rpc_s_access_denied σε ένα secrets dump). Αυτό που το WEB01 έχει πραγματικά είναι απενεργοποιημένο SMB signing — το πράσινο φως για ένα NTLM relay. Το σχέδιο:

1. Κάνε coerce το WEB01$ να κάνει authenticate σε εμάς (PrinterBug / MS-RPRN).
2. Κάνε relay εκείνο το auth του λογαριασμού machine στο LDAP του DC.
3. Χρησιμοποίησέ το για να γράψεις resource-based constrained delegation στο WEB01$, εμπιστευόμενο έναν λογαριασμό computer που ελέγχουμε.
4. Κάνε S4U στον εαυτό μας ένα ticket Administrator στο WEB01 και κάνε dump τα secrets του.

Πρώτα, δημιούργησε τον λογαριασμό computer μέσα από τον οποίο θα κάνουμε delegate — κάθε authenticated χρήστης μπορεί, μέχρι το ms-DS-MachineAccountQuota (default 10):

Ξεκίνα το relay να δείχνει στο LDAP, λέγοντάς του να ρυθμίσει delegation για τον νέο μας λογαριασμό. Το --remove-mic είναι το κόλπο drop-the-MIC που αφήνει ένα relay SMB→LDAP να περάσει ακόμα και με παρόν ένα MIC· το LDAP του DC δεν επιβάλλει signing, οπότε προσγειώνεται. Το binding του server SMB στη 445 χρειάζεται root:

Τώρα η coercion. Το RpcRemoteFindFirstPrinterChangeNotificationEx του PrinterBug κάνει το spooler του στόχου να κάνει authenticate πίσω σε οποιονδήποτε host ονομάσουμε. Στέλνουμε το RPC στο WEB01 μέσω του tunnel SOCKS και δείχνουμε το callback στη δική μας IP VPN:

Δούλεψε — το callback του spooler έφτασε τη διεύθυνση VPN μου (routed έξω μέσω του DC), και το relay έκανε τη δουλειά του:

Το RBCD είναι ορισμένο. Τώρα S4U2Self+S4U2Proxy σαν hackpuntes$ για να πάρουμε ένα ticket cifs/WEB01 σαν Administrator, μετά κάνε dump τα secrets του WEB01 μέσα από το tunnel:

Το βραβείο είναι στα LSA secrets: ένα autologon DefaultPassword για έναν πραγματικό χρήστη domain, τον a.white, καθισμένο σε cleartext. Αυτός είναι ο λογαριασμός του οποίου το desktop κρατά το user flag — διάβασέ το κατευθείαν από το WEB01 με το ticket Administrator που ήδη έχουμε:

Πλάγιο — ForceChangePassword σε λογαριασμό delegation

Πίσω στο domain με πραγματικά credentials χρήστη. Ο a.white κρατά ένα δικαίωμα ForceChangePassword πάνω στον a.white_adm — τη δυνατότητα να κάνει reset το password εκείνου του λογαριασμού χωρίς να ξέρει το παλιό. Ο DC είναι απευθείας προσβάσιμος, οπότε δεν χρειάζεται tunnel εδώ:

Γιατί έχει σημασία ο a.white_adm γίνεται ξεκάθαρο τη στιγμή που κοιτάς το config delegation του:

Το constrained delegation με protocol transition (η σημαία TRUSTED_TO_AUTH_FOR_DELEGATION του λογαριασμού) σημαίνει ότι ο a.white_adm μπορεί να καλέσει S4U2Self για να φτιάξει ένα χρησιμοποιήσιμο ticket για οποιονδήποτε χρήστη, μετά S4U2Proxy για να το προωθήσει στην υπηρεσία που ονομάζεται στο msDS-AllowedToDelegateTo — εδώ, το http/WEB01.pirate.htb. Στα χαρτιά αυτό μας επιτρέπει μόνο να χτυπήσουμε μια υπηρεσία web στο WEB01, που ήδη κατέχουμε. Το κόλπο είναι σε τι πραγματικά δείχνει "το SPN".

Root — SPN-jacking constrained delegation πάνω στον DC

Όταν το KDC εκδίδει ένα ticket S4U2Proxy για το http/WEB01.pirate.htb, κρυπτογραφεί εκείνο το ticket με το μακροπρόθεσμο κλειδί όποιου λογαριασμού κατέχει αυτή τη στιγμή εκείνο το SPN. Τώρα αυτό είναι το WEB01$. Αλλά τα SPNs είναι απλά multi-valued attributes, πρέπει να είναι μοναδικά στο forest, και — κρίσιμο — ο a.white_adm μπορεί να γράψει servicePrincipalName και στο WEB01$ και στο DC01$. Οπότε μετακίνησε το SPN: διάγραψε το http/WEB01.pirate.htb από το WEB01$, πρόσθεσέ το στο DC01$. Τώρα το ίδιο request S4U2Proxy αποδίδει ένα ticket κρυπτογραφημένο με το κλειδί του DC.

Έκανα τη μετακίνηση χειρουργικά με ldapmodify ώστε τα άλλα 24 SPNs του DC να μείνουν ανέγγιχτα (η σειρά έχει σημασία — διάγραψε πριν προσθέσεις, αλλιώς ο περιορισμός μοναδικότητας το απορρίπτει):

Τώρα το κέρδος. Ζήτησε το delegated ticket για το http/WEB01.pirate.htb κάνοντας impersonate τον administrator — επιστρέφει σφραγισμένο με το κλειδί του DC01$ — και χρησιμοποίησε το -altservice για να ξαναγράψεις το όνομα υπηρεσίας στο ticket σε cifs/DC01. Αυτή η αντικατάσταση sname είναι νόμιμη γιατί και οι δύο κλάσεις υπηρεσίας σερβίρονται από το ίδιο κλειδί λογαριασμού, και μετατρέπει ένα ticket "web" σε ένα ticket SMB προς τον domain controller:

Αυτό είναι ένα ticket Administrator προς την ίδια την υπηρεσία cifs του DC — game over. Διάβασε το root flag, και κάνε DCSync για να κάνεις το domain compromise ξεκάθαρο:

Σημειώσεις operator — τρέχοντας αυτό από macOS

Τίποτα από το tradecraft δεν αλλάζει σε Mac, αλλά μερικές αιχμηρές άκρες αξίζει να καταγραφούν:

• Clock skew Kerberos. Ο DC έτρεχε +7ω μπροστά. Το faketime -f '+7h' <tool> μετατοπίζει το ρολόι μιας μόνο διαδικασίας χωρίς να αγγίζει το σύστημα — πιο καθαρό από το ntpdate, που θέλει root και τραβά ολόκληρο το box σου μακριά από την πραγματική ώρα. Το bloodyAD αυτοδιορθώνεται, οπότε δεν χρειάζεται wrapper.
• Οι λογαριασμοί machine και gMSA αρνούνται logon NTLM (STATUS_NOLOGON_WORKSTATION_TRUST_ACCOUNT) — ένα λάθος password και μια άρνηση πολιτικής μοιάζουν σχεδόν ίδια, οπότε επιβεβαίωσε με ένα TGT (getTGT.py), που είναι το auth path που πραγματικά δουλεύει.
• Τα proxychains + netexec δεν ταιριάζουν σε macOS: οι multiprocessing workers του netexec δεν κληρονομούν το preload DYLD_INSERT_LIBRARIES, οπότε τίποτα δεν γίνεται hooked. Τα single-process scripts Impacket κάνουν proxy μια χαρά, γι' αυτό τα βήματα σχετικά-με-relay είναι όλα Impacket.
• faketime + proxychains μαζί σημαίνει δύο dylibs στο DYLD_INSERT_LIBRARIES ταυτόχρονα — όρισε τη μεταβλητή χειροκίνητα με και τα δύο paths αντί να φωλιάζεις τους δύο wrappers, αλλιώς ο ένας γράφει πάνω στον άλλο.
• Το callback του relay βρήκε τον δρόμο σπίτι. Το WEB01 κάθεται σε ένα segment μόνο-εσωτερικό, αλλά το callback του spooler του στην IP VPN μου routed έξω μέσω του dual-homed DC — οπότε δεν χρειάστηκε reverse port-forward στη 445, που είναι το κομμάτι που κανονικά είναι επίπονο να κάνεις tunnel.

Γιατί Δούλεψε

Βασικές εντολές