Атака Shadow Credentials при прохождении HTB Outdated

Hack The Box

В предыдущей статье, в рамках прохождения Hack The Box Outdated, мы познакомились с инструментом BloodHound. Сегодня продолжим и рассмотрим атаку Shadow Credentials.

Еще по теме: Защита от обнаружения при атаке на Active Directory

Атака Shadow Credentials при прохождении HTB Outdated

Эта тех­ника поз­воля­ет ата­кующе­му зав­ладеть учет­ной записью поль­зовате­ля или компь­юте­ра, если он может изме­нить атри­бут msDS-KeyCredentialLink целево­го объ­екта и добавить к нему аль­тер­натив­ные учет­ные дан­ные, такие как сер­тификат. Сде­лать это мож­но с помощью ути­литы Whisker.

До­бав­ление аль­тер­натив­ных учет­ных дан­ных
До­бав­ление аль­тер­натив­ных учет­ных дан­ных

Сер­тификат добав­лен, пароль показан, но так­же показа­на и сле­дующая коман­да, которой мы зап­росим тикет и хеш пароля поль­зовате­ля.

NTLM-хеш поль­зовате­ля
NTLM-хеш поль­зовате­ля

 

С получен­ным хешем мож­но авто­ризо­вать­ся через служ­бу WinRM и запус­тить новый демон Havoc.

Сес­сии Havoc
Сес­сии Havoc

Флаг поль­зовате­ля
Флаг поль­зовате­ля

В следующей статье продолжим прохождение HTB Outdated и рассмотрим инструмент SharpWSUS для создания вредоносного обновления Windows.

ПОЛЕЗНЫЕ ССЫЛКИ:

Дима (Kozhuh)

Эксперт в кибербезопасности. Работал в ведущих компаниях занимающихся защитой и аналитикой компьютерных угроз.

Добавить комментарий