Если в домене разрешено создавать делегированные управляемые учетные записи служб, процесс миграции старых сервисных аккаунтов становится уязвимостью. Через управляемую учетную запись можно получить хеш служебной учетки и добраться до данных администратора из дампа памяти виртуальной машины.
Задача — получить права администратора на машине Checkpoint, уровень сложности средний, операционная система Windows.
Разведка
Сканирование портов
Добавляем IP-адрес хоста в /etc/hosts:
10.129.95.118 checkpoint.htb
В задании предоставляют учетные данные пользователя домена. Запускаем сканирование портов.
На машине открыты одиннадцать портов:
- 88 — Kerberos
- 135 — служба удаленного вызова процедур (Microsoft RPC)
- 139 — служба сеансов NetBIOS
- 389 — LDAP
- 445 — SMB
- 464 — служба смены пароля Kerberos
- 593 — HTTP-RPC-EPMAP, используется в DCOM и Microsoft Exchange
- 636 — LDAP с шифрованием SSL или TLS
- 3268 — LDAP доступ к глобальному каталогу
- 3269 — глобальный каталог через защищенное соединение
- 5985 — WinRM
Имя хоста — DC01, домен — checkpoint.htb. При сканировании видно расхождение времени с контроллером домена примерно на семь часов, поэтому при работе с Kerberos используем параметр faketime -f '+7h'. Обновляем /etc/hosts, добавив имена контроллера домена:
10.129.95.118 checkpoint.htb DC01.checkpoint.htb DC01
Точка входа
Проверяем выданные учетные данные с помощью NetExec. Затем проверяем доступные SMB-ресурсы.
Кроме стандартных шар NETLOGON и SYSVOL доступна для чтения DevDrop с описанием «VS Code extensions share for approved .vsix packages compatible with VS Code engine 1.118.0». К VMBackups доступа нет. Смотрим содержимое DevDrop.
