🪟Attacktive Directory
Olá, viajante! Neste artigo, trago um write-up do desafio Attacktive Directory.
Contexto
Temos o seguinte alvo: um Controlador de Domínio (DC) com o endereço IP 10.10.209.6. O desafio em si também já nos fornece o domínio.
Tipo: Controlador de Domínio (DC)
IP: 10.10.209.6
Domínio: spookysec.local
Reconhecimento
Para começarmos o reconhecimento, podemos coletar diversas informações através da ferramenta Enum4linux.
enum4linux 10.10.209.6[...]
Domain Name: THM-AD
Domain Sid: S-1-5-21-3591857110-2884097990-301047963
[...]1. What tool will allow us to enumerate port 139/445? [enum4linux]
2. What is the NetBIOS-Domain Name of the machine? [THM-AD]
3. What invalid TLD do people commonly use for their Active Directory Domain? [.LOCAL]
Enumeração de usuários
Para a próxima tarefa, devemos realizar a enumeração de usuários do domínio através da ferramenta Kerbrute (que compõe o conjunto de classes python Impacket), utilizando os dicionários de usuários e senhas providos pelo próprio desafio.
Através da flag -h, você pode ver as opções válidas e necessárias para descobrir os usuários.
Executando a enumeração de usuários:
4. What command within Kerbrute will allow us to enumerate valid usernames? [userenum]
5. What notable account is discovered? [svc-admin]
6. What is the other notable account is discovered? [backup]
Exploração
Agora que já possuímos vários usuários válidos no domínio, podemos utilizar um ataque de força-bruta. Nesse caso, utilizaremos um ataque chamado ASREPRoasting.
Um ataque ASREPRoasting ocorre quando uma conta de usuário tem o privilégio "Does not require Pre-Authentication" definido. Isso significa que a conta não precisa fornecer uma identificação válida antes de solicitar um ticket Kerberos para a conta de usuário em questão.
Para esse tipo de ataque, utilizaremos outra classe do conjunto Impacket, chamado GetNPUsers, que nos permitirá saber as contas suscetíveis a ASREPRoasting presentes no KDC (Key Distribution Center). O único requisito para consultar as contas é um conjunto válido de usuários (que já enumeramos via Kerbrute).
7. We have two user accounts that we could potentially query a ticket from. Which user account can you query a ticket from with no password? [svc-admin]
Descobrimos um usuário válido e suscetível a ASREPRoasting. Agora, para quebrar a hash utilizando o dicionário de senhas que salvamos previamente, precisamos descobrir qual o tipo de hash que acabamos de encontrar. Para isso, podemos consultar na lista de hashes do Hashcat.
Como existem muitos tipos de hashes Kerberos 5 na lista do Hashcat, devemos analisar minuciosamente o formato da hash para descobrirmos qual modo utilizar em sua quebra.
GetNPUsers.py8. Looking at the Hashcat Examples Wiki page, what type of Kerberos hash did we retrieve from the KDC? [Kerberos 5 AS-REP etype 23]
9. What mode is the hash? [18200]
Agora podemos tentar quebrar a hash utilizando o Hashcat.
10. Now crack the hash with the modified password list provided, what is the user accounts password? [management2005]
Temos uma credencial válida. Utilizando essa credencial, precisamos agora enumerar os shares do servidor, utilizando a clássica ferramenta SMBClient.
11. What utility can we use to map remote SMB shares? [smbclient]
Executando a seguinte linha de comando, podemos listar os shares ativos:
12. Which option will list shares? [-L]
13. How many remote shares is the server listing? [6]
14. There is one particular share that we have access to that contains a text file. Which share is it? [backup]
Acessando o share backup com as credenciais que encontramos, conseguimos descobrir um arquivo.
15. What is the content of the file? [YmFja3VwQHNwb29reXNlYy5sb2NhbDpiYWNrdXAyNTE3ODYw]
O conteúdo do arquivo parece ser um Base64. Decodificando via linha de comando no Linux, obtivemos o seguinte resultado:
16. Decoding the contents of the file, what is the full contents? [backup@spookysec.local:backup2517860]
Escalação de Privilégio
Agora que já possuímos acesso ao servidor, podemos tentar elevar nosso privilégio. Pra isso, utilizaremos a ferramenta secretsdump.py, também compondo o conjunto Impacket. Se conseguirmos coletar hashes, podemos tentar elevar privilégios utilizando o método Pass the Hash.
17. What method allowed us to dump NTDS.DIT? [DRSUAPI]
18. What is the Administrators NTLM hash? [0e0363213e37b94221497260b0bcb4fc]
19. What method of attack could allow us to authenticate as the user without the password? [Pass the Hash]
A vigésima flag aparentemente nos indica a utilizar a ferramenta Evil-WinRM, que se aproveita justamente da falha Pass the Hash.
20. Using a tool called Evil-WinRM what option will allow us to use a hash? [-H]
Para cumprir a última parte do desafio, precisamos apenas coletar os arquivos de texto presentes na pasta Desktop de cada usuário indicado. Você consegue fazer isso sozinho. :)
Last updated