PowerShell MachineAccountQuota и инструменты для эксплуатации DNS

Вики

• https://github.com/Kevin-Robertson/Powermad/wiki

Запись в блоге

• Beyond LLMNR/NBNS Spoofing - Exploiting Active Directory-Integrated DNS

Функции

• Функции MachineAccountQuota
• Функции DNS
• Функции динамических обновлений
• Функции ADIDNS
• Прочие функции

Функции MachineAccountQuota

Атрибут ms-DS-MachineAccountQuota по умолчанию в Active Directory позволяет всем пользователям домена добавлять до 10 учётных записей компьютеров в домен. Powermad включает набор функций для эксплуатации ms-DS-MachineAccountQuota без фактического присоединения системы к AD.

Get-MachineAccountAttribute

Эта функция может возвращать значения, заполненные в атрибуте учётной записи компьютера.

Пример:

• Получить значение атрибута 'description' для учётной записи компьютера с именем 'test'.
  Get-MachineAccountAttribute -MachineAccount test -Attribute discription

Get-MachineAccountCreator

Эта функция использует свойство ms-DS-CreatorSID учётных записей компьютеров для возврата списка имён пользователей или SID и связанной с ними учётной записи компьютера. Свойство ms-DS-CreatorSID заполняется только в том случае, если учётная запись компьютера была создана непривилегированным пользователем.

Пример:

• Получить список всех заполненных атрибутов ms-DS-CreatorSID.
  Get-MachineAccountCreator

Disable-MachineAccount

Эта функция может отключить учётную запись компьютера, добавленную с помощью New-MachineAccount. Эту функцию следует использовать с тем же пользователем, который создал учётную запись компьютера.

Пример:

• Отключить учётную запись компьютера с именем test.
  Disable-MachineAccount -MachineAccount test

Enable-MachineAccount

Эта функция может включить учётную запись компьютера, которая была отключена с помощью Disable-MachineAccount. Эту функцию следует использовать с тем же пользователем, который создал учётную запись компьютера.

Пример:

• Включить учётную запись компьютера с именем test.
  Enable-MachineAccount -MachineAccount test

New-MachineAccount

Эта функция может добавить новую учётную запись компьютера напрямую через LDAP-запрос добавления к контроллеру домена, не влияя на статус присоединения хост-системы к Active Directory.

LDAP-запрос добавления моделируется по образцу запроса добавления, используемого при присоединении системы к домену. Устанавливаются следующие атрибуты (в основном проверяемые контроллером домена):

• objectClass = Computer
• SamAccountName = Имя учётной записи компьютера с завершающим $
• userAccountControl = 4096
• DnsHostName = FQDN
• ServicePrincipalName = 2 SPN HOST и 2 SPN RestrictedKrbHost, использующие как FQDN, так и имя учётной записи
• unicodePwd = указанный пароль

Новая учётная запись компьютера может использоваться для таких задач, как использование привилегий, предоставленных группе «Компьютеры домена», или в качестве дополнительной учётной записи для перечисления домена, эксплуатации DNS и т. д. По умолчанию учётные записи компьютеров не имеют разрешения на локальный вход. Вы можете использовать инструменты/клиенты, которые принимают сетевые учётные данные напрямую, или через использование 'runas /netonly', или с помощью Invoke-UserImpersonation/Invoke-RevertToSelf от @harmj0y, входящих в PowerView.

• https://github.com/PowerShellMafia/PowerSploit/tree/dev/Recon

Учётные записи компьютеров, созданные стандартными пользователями, будут иметь атрибут mS-DS-CreatorSID, заполненный SID стандартного пользователя.

Обратите внимание, что ms-DS-MachineAccountQuota не даёт аутентифицированным пользователям возможности удалять добавленные учётные записи компьютеров из AD. Для удаления учётной записи потребуется получить повышенные привилегии, если вы хотите избежать передачи этой задачи вашему клиенту.

Примеры:

• Добавить новую учётную запись компьютера.
  New-MachineAccount -MachineAccount test

• Использовать добавленную учётную запись с runas /netonly.
  runas /netonly /user:domain\test$ powershell

Remove-MachineAccount

Эта функция удаляет учётную запись компьютера с привилегированной учётной записью.

Пример:

• Удалить учётную запись компьютера с именем test, используя учётные данные администратора домена.
  Remove-MachineAccount -MachineAccount test -Credential $domainadmin

Set-MachineAccountAttribute

Эта функция может заполнять некоторые атрибуты для учётной записи, добавленной через New-MachineAccount, если у пользователя есть права на запись. Эту функцию следует использовать с тем же пользователем, который создал учётную запись компьютера.

Вот список некоторых атрибутов, для которых обычно включён доступ на запись:

• AccountDisabled
• description
• displayName
• DnsHostName
• ServicePrincipalName
• userParameters
• userAccountControl
• msDS-AdditionalDnsHostName
• msDS-AllowedToActOnBehalfOfOtherIdentity
• SamAccountName

Примеры:

• Удалить завершающий символ '$' из атрибута SamAccountName.
  Set-MachineAccountAttribute -MachineName test -Attribute SamAccountName -Value test

• Использовать изменённую учётную запись с runas /netonly.
  runas /netonly /user:domain\test powershell

Invoke-AgentSmith

Эта функция использует New-MachineAccount для рекурсивного создания как можно большего числа учётных записей компьютеров из одной непривилегированной учётной записи через MachineAccountQuota. Подробности см. в следующей записи блога:

• https://blog.netspi.com/machineaccountquota-transitive-quota

Функции DNS

По умолчанию аутентифицированные пользователи имеют разрешение «Создание всех дочерних объектов» в зоне DNS, интегрированной в Active Directory (ADIDNS). Большинство записей, которые в данный момент не существуют в зоне AD, могут быть добавлены/удалены.

Функции динамических обновлений

Invoke-DNSUpdate

Эту функцию можно использовать для добавления/удаления динамических DNS-записей, если на контроллере домена настроен параметр безопасных динамических обновлений (включён по умолчанию). В настоящее время поддерживаются записи A, AAAA, CNAME, MX, PTR, SRV и TXT. Invoke-DNSUpdate моделируется по образцу инструмента nsupdate от BIND при использовании опций '-g' или 'gsstsig'.

Примеры:

• Добавить A-запись.
  Invoke-DNSUpdate -DNSType A -DNSName www -DNSData 192.168.100.125

• Удалить A-запись.
  Invoke-DNSUpdate -DNSType A -DNSName www.test.local

• Добавить SRV-запись.
  Invoke-DNSUpdate -DNSType SRV -DNSName _autodiscover._tcp.test.local -DNSData system.test.local -DNSPriority 100 -DNSWeight 80 -DNSPort 443

Функции ADIDNS

Disable-ADIDNSNode

Эта функция может поместить узел ADIDNS в состояние «надгробия» (tombstone).

Пример:

• Поместить запись-шаблон (wildcard) в состояние «надгробия».
  `Disable-ADIDNSNode -Node *

Enable-ADIDNSNode

Эта функция может превратить узел, находящийся в состоянии «надгробия», обратно в действительную запись.

Пример:

• Включить запись-шаблон.
  Enable-ADIDNSNode -Node *

Get-ADIDNSNodeAttribute

Эта функция может возвращать значения, заполненные в атрибуте узла DNS.

Пример:

• Получить значение атрибута dnsRecord для узла с именем test.
  Get-ADIDNSNodeAttribute -Node test -Attribute dnsRecord

Get-ADIDNSNodeOwner

Эта функция может возвращать владельца узла ADIDNS.

Пример:

• Получить владельца узла с именем test. Get-ADIDNSNodeOwner -Node test

Get-ADIDNSPermission

Эта функция получает DACL узла или зоны ADIDNS.