Account Operators To DA

السلام عليكم ورحمة الله وبركاته

الحمد لله على جميع نِعمه علينا ما علمنا منها وما لم نعلم حمداً والصلاة والسلام على نبينا محمد اشرف الخلق والمرسلين, اما بعد:

مقدمة:

ماهو قروب الـAccount Operators ؟

 

اعضاء قروب Account Operators يمكنهم التعديل على اعضاء قروب اخر او تغيير الباسورد الخاص بالأعضاء المتواجدين في القروبات الأخرى لكن بشرط يجب ان لا يكون المستخدم Administrator او احد هذي القروبات  Server Operators, Account Operators, Backup Operators, Print Operators ف بالتالي اعضاء قروب Account Operators ماعندهم طريق واضح يوصلهم الى Domain Admins او Domain Controller  الا ان يتم استغلال قروب اخر يملك صلاحيات معينه مثلا على الـDomain Controller او قروب الـDomain Admins .

الشرح:

في الاول انا داخل بالمستخدم jehad وراح ننفذ هالأمر ونشوف هل المستخدم jehad ضمن قروب Account Operators او لا:

 

زي مانلاحظ في الصورة ان المستخدم jehad ضمن قروب Account Operators

بما انه مافي طريق واضح يوصلنا الى الـDomain Controller او Domain Admins ف راح نبحث عن قروب يملك DACLs على الـDomain Controller او الـDomain Admins عن طريق هذا الامر:
 

زي مانلاحظ ان قروب newAdmins يمتكلون Write Property في بإمكاننا إستغلال تكنيك Resource Bassed Constrained Delegation (RBCD) وطبعا هذا التكنيك تم شرحه مسبقا

الان راح اضيف المستخدم الخاص بنا اللي هو jehad الى قروب newAdmins  عن طريق هذا الأمر:
 

add-domaingroupmember -Identity "newAdmins" -Member "jehad"

الان بعد ان تم اضافة المستخدم jehad الى قروب newAdmins الان راح نستغل تكنيك RBCD حتى نوصل لي الـDomain Controller

راح نستخدم اداة  SharpAllowedToAct لانها تسوي Automate لي التكنيك
 

الان راح نستخدم اداة Rubeus حتى ننشأ باسورد بنفس الباسورد اللي تم وضعه في الامر الخاص بأداة SharpAllowedToAct عن طريق هذا الامر:

 

Invoke-Rubeus -Command "hash /password:Tim!213$ /user:attack1$ /domain:vulnerable.local"

الان راح ننفذ هذا الامر حتى نستغل الـLdap بما ان راح نطبق التكنيك على الـDomain Controller

 

الان راح نستخدم Mimikatz حتى نسوي Dcsync ونستخرج NTLM الخاص في الـDomain Admin عن طريق هذا الامر:
 

.\mimikatz.exe "lsadump::dcsync /user:Administrator /domain:vulnerable.local" "exit"

وصلنا لنهاية المقالة

شاكر لكم 😊