GIUDA

Obtén un TGS en nombre de otro usuario sin contraseña

Escenario: eres administrador local y hay un usuario con sesión iniciada al que quieres suplantar!

Cadena: SeTcbPrivilege te permite leer el almacenamiento LSA, extraer la CLAVE DE SESIÓN del TGT y forjar una solicitud pidiendo un TGS; debes usar LUID en lugar de nombre de usuario.

Objetivo: De administrador local a administrador de dominio con TGS de Kerberos

Requerido: administrador local y un administrador de dominio con sesión iniciada (o desconectado). En esta guía el usuario administrador de dominio es CALIPENDULA\fagiolo

1. pide a GIUDA un shell como SYSTEM

2. GIUDA -runaslsass o

3. GIUDA -runaspid:PID (un PID de NT AUTHORITY\SYSTEM, enuméralo por ti mismo) necesitas un PID que se ejecute con SeTcpPrivilege, busca bien y prueba también con el PID de WINLOGON!

4. pide a GIUDA que muestre TODOS los LUID de los usuarios con sesión iniciada

5. GIUDA -askluids

6. toma el LUID que quieras suplantar y pide a GIUDA que obtenga el msdsspn que quieras

7. usa PSSession para iniciar sesión en el controlador de dominio

Opcional

Opcionalmente puedes pedir GUARDAR el TGS y pasarlo después o en otra máquina (también en Linux, pero solo si el USUARIO no requiere PREAUTH, porque solo tienes un TGS sin TGT)

8. pide el TGS con la opción -save. GIUDA guardará un archivo llamado TICKET.KIRBI para que puedas copiarlo

Agradecimientos

Un gran agradecimiento a Erwan22, ha creado un conjunto muy potente de unidades Pascal para AD. ¡Gracias Erwan22, eres realmente genial!