windows-coerced-authentication-methods

---

Este repositorio contiene una lista de muchos métodos para forzar a una máquina Windows a autenticarse contra una máquina controlada por un atacante.

Todos estos métodos pueden ser invocados por un usuario estándar del dominio para forzar a la cuenta de máquina del equipo Windows objetivo (normalmente un controlador de dominio) a autenticarse contra un destino arbitrario. La causa raíz de esta "vulnerabilidad/característica" en cada uno de estos métodos es que las máquinas Windows se autentican automáticamente contra otras máquinas al intentar acceder a rutas UNC (como \\192.168.2.1\SYSVOL\file.txt).

Actualmente hay 15 funciones operativas en 5 protocolos.

---

[!NOTE] 🎉 Muchos métodos nuevos están aún por probar; si quieres probarlos: possible-working-calls Esta lista se clasificará con el tiempo; aunque automatizo la mayor parte del trabajo y autogenero pruebas de concepto en Python para cada llamada, se tarda tiempo en probar estas más de 240 llamadas RPC.

---

Protocolos y métodos

• [MS-DFSNM]: Sistema de archivos distribuido (DFS): Protocolo de administración de espacios de nombres

  • Llamada remota a NetrDfsAddStdRoot (opnum 12)/README.md)
  • Llamada remota a NetrDfsRemoveStdRoot (opnum 13)/README.md)

• [MS-EFSR]: Protocolo remoto del sistema de archivos cifrado (EFSRPC)

  • Llamada remota a EfsRpcOpenFileRaw (opnum 0)/README.md)
  • Llamada remota a EfsRpcEncryptFileSrv (opnum 4)/README.md)
  • Llamada remota a EfsRpcDecryptFileSrv (opnum 5)/README.md)
  • Llamada remota a EfsRpcQueryUsersOnFile (opnum 6)/README.md)
  • Llamada remota a EfsRpcQueryRecoveryAgents (opnum 7)/README.md)
  • Llamada remota a EfsRpcFileKeyInfo (opnum 12)/README.md)

Protección contra autenticaciones forzadas

Microsoft no considera las autenticaciones forzadas como una vulnerabilidad de seguridad. Desde su punto de vista, solo la retransmisión de autenticaciones emitidas a partir de una autenticación forzada constituye una vulnerabilidad de seguridad. Para prevenir ataques de retransmisión NTLM en redes con NTLM habilitado, los administradores de dominio deben asegurarse de que los servicios que permiten la autenticación NTLM utilicen protecciones como Extended Protection for Authentication (EPA) o funciones de firma como SMB signing. Las mitigaciones contra las retransmisiones NTLM se describen en estos boletines:

• 24 de julio de 2021 KB5005413: Mitigación de ataques de retransmisión NTLM en Servicios de certificados de Active Directory (AD CS)
• 8 de diciembre de 2009 MSA974926: Ataques de retransmisión de credenciales en la autenticación integrada de Windows
• 12 de agosto de 2009 Protección ampliada para la autenticación
• 11 de agosto de 2009 MSA973811: Protección ampliada para la autenticación

Contribuciones

No dudes en abrir una pull request para añadir nuevos métodos.