Preferencias de directiva de grupo (GPP)
Subtécnica de T1552 Credenciales sin proteger ↗
Descifrar la cpassword de los XML de GPP en SYSVOL, cifrada con una clave que Microsoft publicó.
Cómo aparece en Hack The Box
Cualquier usuario del dominio lee SYSVOL: busca Groups.xml (y Services.xml, ScheduledTasks.xml) y descifra con gpp-decrypt. Clásico de máquinas antiguas como Active.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
- Cross-Site Scripting (XSS)
- CSRF
- Inyección SQL
- SSRF
- Credenciales guardadas / DPAPI
- ADCS (certificados)
- Captura y relay NTLM
- Pass-the-hash / ticket
- Password spraying y usuarios válidos
- Credenciales en ficheros
- Servicios internos y port forwarding
- Volcado de SAM/LSA/LSASS
- Abuso de ACLs (BloodHound)
- GPP y abuso de GPO
- Cracking de hashes
Guías
- Contraseñas en Active Directory: GPP (Groups.xml), LAPS y gMSA 3 min de lectura Tres sitios donde el propio dominio guarda contraseñas que puedes leer: cpassword en Groups.xml, la contraseña LAPS del administrador local y el hash de las cuentas gMSA.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
NetExec (nxc) › Kerberos y credenciales
Contraseñas de GPP en SYSVOL
nxc smb 10.10.11.20 -u usuario -p 'Password123!' -M gpp_passwordNingún comando coincide.