Domain Privilege Escalation - LAPS

السلام عليكم ورحمة الله وبركاته

الحمد لله على جميع نِعمه علينا ما علمنا منها وما لم نعلم حمداً والصلاة والسلام على نبينا محمد اشرف الخلق والمرسلين, اما بعد:

مقدمة:

في هذي المقالة راح نشرح التكينك السابع لي الـDomain Privilege وهو الـ LAPS

قبل نبدا شرح التكنيك خلونا نعرف ايش هي فكرة الـLAPS او Local Administrator Password Solution ؟

فكرة الـLAPS انه يقوم ب ادارة الباسوردات الخاصة في الـLocal Administrators في الاجهزة ف كل باسورد له تاريخ انتهاء بحيث اذا انتهى يتم انشاء باسورد عشوائي لي الـLocal Administrators

ويتم حفظة كـClear Text في object يسمى ms-mcs-admpwd الخاص بالجهاز اللي لديه ميزة LAPS ولا يمكن لي اي شخص الاطلاع على الباسورد الا المستخدم او القروب اللي يملك صلاحية Read Property

على هذا الجهاز

في هذي المقالة راح نشوف ايش الاجهزة اللي لديها ميزة LAPS وايش هو المستخدم او القروب اللي عنده Read Property على هذا الجهاز عشان نتمكن من قراءة الباسورد الخاص في الـLocal Administrator

الشرح:

اول شي راح نسوي Load لي اداة PowerView عن طريق هذا الامر:

Import-Module .\PowerView.ps1

اول شي راح نشوف ايش الاجهزة اللي لديها ميزة LAPS عن طريق هذا الامر:

Find-InterestingDomainAcl -ResolveGUIDs | where{$_.ObjectAceType -match "ms-Mcs-AdmPwd"}

نلاحظ مع بعض ان الجهاز اللي اسمه IT-APPSRV01 اللي موجود في الـOrganazation unit اللي تسمى APPServer يحتوي على ميزة LAPS

وانه القروب اللي اسمه Local Admins عنده صلاحية Read Property

لكن المستخدم الخاص فيني اللي هو itemployee14 مو موجود في قروب Local Admins ف راح نبحث عن ACLs تسمح لي في اضافة المستخدم الخاص فيني في هذا القروب حتى اتمكن من قراءة الباسورد الخاص Local Administrator الموجود في جهاز IT-APPSRV01

راح ننفذ هذا الامر عشان نبحث عن ACLs تفيدنا:

Find-InterestingDomainAcl -ResolveGUIDs

نلاحظ مع بعض ان قروب ITEmployeesUsers اللي انا متواجد فيه يمتلك صلاحية Write Property على قروب Local Admins

الان اقدر اضيف نفسي في قروب Local Admins عن طريق هذا الامر:

Add-DomainGroupMember -Identity LocalAdmins -Members itemployee14

الان بعد ماضفت المستخدم الخاص فيني الى قروب Local Admins

راح اسوي اشغل جلسة PowerShell بصلاحية Administrator واسوي Load لي اداة Powerview

والان راح ننفذ هذا الامر عشان نتمكن من قراءة الباسورد الخاص في الـLocal Administrator المتواجد بجهاز IT-APPSRV01:

Get-NetComputer -identity IT-APPSRV01

زي مانلاحظ انه ظهر لنا الباسورد الخاص في الـLocal Administrator المتواجد بجهاز IT-APPSRV01 واللي هو O4+.5ZER2e2lj5

الان راح ننفذ هذا الامر عشان ندخل لجهاز IT-APPSRV01 عن طريق المستخدم Administrator بالباسورد اللي استخرجناه