1. Crea un account macchina

Questa macchina verrà registrata come domain controller per la durata della replica e verrà deregistrata al termine.

[!WARNING] adcomputer.py è stato modificato per impostare msDS-SupportedEncryptionTypes a 0x1f. Gli ultimi test sembrano generare una violazione di vincolo.

root@kitploit:~

[+] Impacket Library Installation Path: /workspace/adpersist/venv/lib/python3.11/site-packages/impacket
Traceback (most recent call last):
 File "/workspace/adpersist/venv/bin/addcomputer.py", line 248, in run_ldaps
   raise Exception(str(ldapConn.result))
Exception: {'result': 19, 'description': 'constraintViolation', 'dn': '', 'message': '0000207C: AtrErr: DSID-03153410, #1:\n\t0: 0000207C: DSID-03153410, problem 1005 (CONSTRAINT_ATT_TYPE), data 0, Att 907ab (msDS-SupportedEncryptionTypes)\n\x00', 'referrals': None, 'type': 'addResponse'}
[-] {'result': 19, 'description': 'constraintViolation', 'dn': '', 'message': '0000207C: AtrErr: DSID-03153410, #1:\n\t0: 0000207C: DSID-03153410, problem 1005 (CONSTRAINT_ATT_TYPE), data 0, Att 907ab (msDS-SupportedEncryptionTypes)\n\x00', 'referrals': None, 'type': 'addResponse'}

Per ora, usa lo script addcomputer.py standard di Impacket e modifica msDS-SupportedEncryptionTypes manualmente tramite ADSI edit.

2. Voce DNS per la macchina

È necessario affinché il DC legittimo sappia come raggiungere il DC rogue ed evitare errori ERROR_DS_DNS_LOOKUP_FAILURE.

[!TIP] Se per qualche motivo il comando non funziona, aggiungi manualmente la voce DNS tramite gli strumenti DNS sul domain controller.

3. Credenziali del DC rogue

Quando abbiamo iniziato a sviluppare questo strumento, usavamo credenziali hardcoded in un file .env, caricate nella funzione gss_kerberos_ap_req nel file dcshadow/utils/server/RpcServer.py.

Questo necessita chiaramente di un miglioramento. La password dell'account del DC rogue potrebbe essere passata come argomento CLI e calcolare le chiavi Kerberos. Krbrelayx lo fa già, così come dacledit.py; serve solo copia e incolla.

Per ora devi esportare le chiavi Kerberos come variabili d'ambiente.

Dovrebbe apparire così:

Queste chiavi possono essere recuperate tramite un attacco DCSync.

4. DCShadow (file JSON)

[!TIP] In questo caso, un file repl.json viene usato per specificare gli oggetti e gli attributi target. In alternativa, lo strumento supporta opzioni in linea (ad es., --object, --attribute e --value).

Errori comuni

DRSReplicaAdd: timed out

Se DRSReplicaAdd va in timeout, probabilmente si tratta di un problema di rete/firewall sulla macchina che esegue dcshadow.py (il DC rogue), che probabilmente non consente il traffico in ingresso sulla porta 135/TCP (epmapper) e 1337/TCP (o porta dinamica se implementata in futuro, per drsuapi).

DRSReplicaAdd: rpc_s_access_denied

Dovresti eseguire Wireshark sul domain controller legittimo, ma la causa più probabile è che stai tentando di eseguire questo strumento su una macchina Windows: quando il DC legittimo chiede all'epmapper del tuo DC rogue la porta dell'endpoint drsuapi, la risposta è vuota perché è l'epmapper della tua stessa macchina Windows a rispondere, non quello personalizzato.

Crediti

Questo progetto non sarebbe stato possibile senza l'enorme aiuto di Alessandro Iandoli "MrAle98", un ricercatore di talento incontrato durante lo sviluppo. Grazie Alessandro!

I crediti vanno a Benjamin Delpy e Vincent Letoux per la scoperta iniziale, i talk e l'implementazione in Mimikatz.

Vorrei ringraziare anche Volker, che ha partecipato alle prime fasi dello sviluppo.

Grazie a Dramelac per l'aiuto nel passare da PoC a progetto modulare, una base per un futuro framework, se mai dovesse arrivarci.