leoloobeek/lapstoolkitTool zur Überprüfung und zum Angriff auf LAPS-Umgebungen
In PowerShell geschriebene Funktionen, die PowerView nutzen, um Active Directory-Umgebungen zu überprüfen und anzugreifen, in denen Microsofts Local Administrator Password Solution (LAPS) bereitgestellt wurde. Dazu gehören das Auffinden von Gruppen, die speziell von Sysadmins delegiert wurden, das Finden von Benutzern mit "All Extended Rights", die Passwörter einsehen können, und das Anzeigen aller Computer mit aktiviertem LAPS.
Bitte reichen Sie Issues oder Kommentare zu Problemen oder Leistungsverbesserungen ein. Dieses Projekt wurde mit Code aus einer älteren Version von PowerView erstellt.
Weitere Informationen zur Funktionsweise von LAPS finden Sie unter https://adsecurity.org/?p=1790.
Zeigt alle Computer mit aktiviertem LAPS, Passwortablauf und Passwort an, falls der Benutzer Zugriff hat.
Durchsucht alle OUs, um herauszufinden, welche AD-Gruppen das Attribut ms-Mcs-AdmPwd lesen können.
Durchläuft die ExtendedRights für jeden AD-Computer mit aktiviertem LAPS und sucht, welche Gruppe Lesezugriff hat und ob ein Benutzer "All Extended Rights" besitzt. Sysadmins ist möglicherweise nicht bewusst, dass Benutzer mit "All Extended Rights" Passwörter einsehen können und möglicherweise weniger geschützt sind als die Benutzer in den delegierten Gruppen. Ein Beispiel ist der Benutzer, der einen Computer zur Domäne hinzufügt und automatisch die Berechtigung "All Extended Rights" erhält. Da diese Funktion die ACLs für jeden AD-Computer analysiert, kann dies in einer größeren Domäne sehr lange dauern.
Besonderer Dank gilt Sean Metcalf (@pyrotek3), Will Schroeder (@harmj0y), Karl Fosaaen (@kfosaaen), Matt Graeber (@mattifestation) für Forschung und Code zu LAPS, AD-Berechtigungen und offensivem PowerShell.
