ESC5 — техника повышения привилегий через мисконфиг AD

Мы уже многократно рассказывали про повышение привилегий в Windows. В этот раз, на примере уязвимой виртуальной машины Coder с пло­щад­ки Hack The Box, будем использовать тех­нику ESC5 для повыше­ния при­виле­гий через мис­конфиг служ­бы сер­тифика­ции Active Directory.

Еще по теме: Повышение привилегий Windows с помощью C++

ESC5 — повышение привилегий через мисконфиг AD

Те­перь получим информа­цию о поль­зовате­ле. Нас инте­ресу­ют активные при­виле­гии и груп­пы, в которых он сос­тоит.

И поль­зователь сос­тоит в груп­пах Certificate Service DCOM Access и PKI Admins, а это дает нам пра­во на регис­тра­цию шаб­лонов сер­тифика­тов в служ­бе сер­тифика­ции Active Directory (AD CS) и на выпуск сер­тифика­тов. Эти усло­вия поз­воля­ют нам повысить при­виле­гии в домене. При­меня­емая нами тех­ника называ­ется ESC5.

Да­вай зарегис­три­руем заранее уяз­вимый шаб­лон сер­тифика­та, для которо­го при­мени­ма тех­ника повыше­ния при­виле­гий ESC1. Взять его мож­но на GitHub. А регис­три­ровать шаб­лон будем с помощью ADCSTemplate для груп­пы PKI Admins.

Те­перь исполь­зуем Certipy, что­бы получить дан­ные о цен­тре сер­тифика­ции и сущес­тву­ющих шаб­лонах.

Ви­дим соз­данный нами шаб­лон сер­тифика­та и можем зап­росить выпуск сер­тифика­та для поль­зовате­ля Administrator.

Те­перь у нас есть сер­тификат, раз­реша­ющий аутен­тифика­цию поль­зовате­ля. По это­му сер­тифика­ту можем получить NTLM-хеш пароля поль­зовате­ля и выпол­нить ата­ку path the hash. Но есть малень­кий нюанс — нуж­но син­хро­низи­ровать вре­мя с уда­лен­ным сер­вером, исполь­зуя коман­ду ntpdate.

Те­перь воз­вра­щаем вре­мя сво­ей машины обратно и под­клю­чаем­ся к сер­веру по WMI с получен­ным хешем.

ПОЛЕЗНЫЕ ССЫЛКИ:

• Автоматизация повышения привилегий Windows
• Повышение привилегий через сброс пароля [IDOR]
• Повышение привилегий в Windows с помощью WinPEAS