En este caso
El caso en un vistazo
- Problema
- Preautenticación Kerberos deshabilitada y permisos delegados permiten encadenar accesos.
- Decisión
- Separar identidad, membresías y permisos para explicar qué derecho habilita cada salto.
- Evidencia
- La guía documenta AS-REP, WinRM, relaciones de grupo, WriteDacl y DCSync.
- Resultado
- Acceso como Administrator mediante Pass-the-Hash después de DCSync, según la guía.
- Límite
- Sin AS-REP original ni ACLs exportadas. DCSync no acredita pertenencia a Domain Admins ni un retest.
EXPEDIENTE · RETROSPECTIVA DE LABORATORIO
De la observación a la decisión
Abre una decisión para conectar su razonamiento con la sección concreta de la guía. Las alternativas son análisis editorial de este caso, no intentos adicionales ejecutados. No se recibió evidencia original independiente.
01Separar identidad de configuración Kerberos
Observación documentada
La guía enumera usuarios y documenta material AS-REP de svc-alfresco.
Hipótesis
Una cuenta sin preautenticación puede responder con material cifrado susceptible a cracking offline.
Decisión retrospectiva
Fundamentar la condición en la respuesta Kerberos, no en el nombre de la cuenta.
Alternativa de análisis
El nombre svc-alfresco puede orientar una hipótesis, pero no demuestra por sí solo una configuración insegura.
Resultado descrito
La guía describe recuperación de una contraseña mediante diccionario y acceso posterior por WinRM.
Qué no demuestra
No se recibió el AS-REP original; el material cifrado no es un hash unidireccional de contraseña.
02Leer relaciones de permisos antes de afirmar privilegios
Observación documentada
La documentación conecta membresías anidadas, control de Exchange Windows Permissions y WriteDacl sobre el dominio.
Hipótesis
El control del grupo podría permitir modificar la DACL y conceder derechos de replicación.
Decisión retrospectiva
Explicar qué relación habilita cada salto de la cadena en lugar de atribuirlo a un exploit genérico.
Alternativa de análisis
Confundir una membresía anidada con un permiso directo puede explicar mal la causa y orientar una mitigación incompleta.
Resultado descrito
La guía describe una cadena de permisos que habilita DCSync y material de autenticación de Administrator.
Qué no demuestra
No se recibieron ACLs exportadas ni el ZIP de recolección. La adaptación a BloodHound CE es editorial.
03Distinguir replicación de pertenencia administrativa
Observación documentada
La guía documenta material correspondiente al RID 500 y acceso con la identidad Administrator.
Hipótesis
Los derechos de replicación pueden exponer material utilizable de una cuenta privilegiada.
Decisión retrospectiva
Describir el resultado como acceso con esa identidad y mantener separada la membresía de grupos.
Alternativa de análisis
Afirmar que DCSync añade automáticamente a Domain Admins confundiría dos capacidades diferentes.
Resultado descrito
La documentación describe acceso como Administrator mediante Pass-the-Hash.
Qué no demuestra
No demuestra por sí solo membresía en Domain Admins ni eficacia de mitigaciones o retest actual.
Mapa del caso documentado
Membresías y permisos sobre el dominio
Síntesis editorial de las relaciones descritas en mi guía de Forest. MemberOf indica pertenencia; GenericAll y WriteDacl indican permisos sobre el objeto de destino. La adaptación a BloodHound CE es editorial.
01 svc-alfresco
La cuenta de servicio es el origen de la cadena documentada. La guía describe previamente material AS-REP, cracking offline y acceso por WinRM como saltos separados.
02 Service Accounts
A · MemberOf, desde el paso 01 al 02.
svc-alfresco pertenece a Service Accounts.
03 Privileged · IT Accounts
B · MemberOf, desde el paso 02 al 03.
Service Accounts pertenece a Privileged IT Accounts. Es una membresía anidada, no un permiso directo sobre el dominio.
04 Account Operators
C · MemberOf, desde el paso 03 al 04.
Privileged IT Accounts pertenece a Account Operators.
05 Exchange Windows · Permissions
D · GenericAll, desde el paso 04 al 05.
Account Operators tiene GenericAll sobre Exchange Windows Permissions. La guía describe añadir svc-alfresco a este grupo y verificar esa membresía.
06 htb.local · Objeto de dominio
E · WriteDacl, desde el paso 05 al 06.
Exchange Windows Permissions tiene WriteDacl sobre el dominio htb.local. Modificar su DACL permite conceder los derechos de replicación descritos en la guía.
Resultado descrito: Después de conceder derechos de replicación, la guía describe DCSync, obtención de material de autenticación de Administrator (RID 500) y acceso con esa identidad mediante Pass-the-Hash. DCSync no equivale a pertenecer a Domain Admins.
Límite del mapa: No se recibieron ACLs exportadas, AS-REP original, ZIP de recolección ni transcripción independiente. El grafo no acredita un nuevo pentest, remediación eficaz o retest actual.
Hipótesis y decisiones
Tres hipótesis, leídas como una cadena de identidades y permisos.
Identidad y preautenticación. Si la enumeración permite identificar cuentas, se puede comprobar cuál tiene deshabilitada la preautenticación Kerberos. El nombre svc-alfresco es una pista para priorizar, no una prueba: la condición se fundamenta en la respuesta concreta de preautenticación. Separé la identificación de cuentas de la configuración Kerberos.
Material cifrado y autenticación. El AS-REP es material cifrado susceptible a cracking offline, no un hash unidireccional de la contraseña. Una contraseña débil derivada de ese material puede permitir autenticarse y acceder por WinRM si la cuenta tiene autorización para el servicio. Distinguí el cracking offline de la autenticación en el dominio y comprobé después el acceso.
Relaciones y permisos. Las membresías anidadas y los permisos de grupo pueden permitir modificar la DACL del dominio y conceder derechos de replicación sin partir de una cuenta administrativa. Interpreté la escalada como una cadena de derechos concretos, no como una vulnerabilidad de software genérica.
Evidencia y resultado documentado
Enumeración y preautenticación. El capítulo de enumeración reporta 31 usuarios; el de AS-REP contrasta las cuentas y describe cuáles responden con la preautenticación bien configurada. Ver: enumeración · AS-REP.
Cracking y acceso. La guía documenta cracking offline con diccionario y, después, acceso por WinRM de la cuenta de servicio. El secreto resultante se omite. Ver: AS-REP · acceso por WinRM.
Cadena de permisos. La guía describe la cadena de membresías, el control de un grupo con WriteDacl sobre el dominio y la concesión de derechos de replicación. La línea que importa corresponde al RID 500 (Administrator). Ver: BloodHound · escalada.
Resultado. La guía describe obtención de material AS-REP de svc-alfresco, recuperación de su contraseña mediante diccionario, acceso por WinRM y una cadena de permisos que permite conceder DCSync. Documenta después material de autenticación de Administrator y acceso con esa identidad mediante Pass-the-Hash.
Mitigación y aprendizaje
Propuestas técnicas, no aplicadas ni verificadas en esta entrega.
- P1Exigir preautenticación Kerberos. Exigirla a las cuentas que no tengan una excepción justificada. Revisar las excepciones y usar secretos largos y únicos o cuentas de servicio administradas cuando la aplicación sea compatible. Rompe: obtención de material AS-REP sin autenticación y cracking sencillo.
- P1Revisar membresías y WriteDacl. Revisar membresías directas y anidadas, retirar el control de grupos privilegiados que no sea necesario y eliminar WriteDacl sobre el dominio de identidades que no deban administrar su seguridad. Rompe: control del grupo que permite modificar permisos del dominio.
- P1Restringir la replicación. Restringir los derechos de replicación a los controladores de dominio y a identidades explícitamente justificadas. Auditar cambios de ACL, altas en grupos y solicitudes de replicación desde equipos no esperados. Rompe: obtención de material de autenticación de cuentas privilegiadas.
- P2Limitar enumeración y WinRM. Limitar la información disponible de forma anónima y el acceso WinRM a las identidades y redes necesarias. Confirmar compatibilidad y reglas de administración antes de retirar acceso. Rompe: facilidad de enumeración y vía de acceso remoto de la cuenta de servicio.
Aprendizaje. La escalada en Active Directory puede depender de permisos legítimos mal delegados y de relaciones anidadas. Leer esas relaciones con precisión permite explicar qué derecho habilita cada salto y proponer una mitigación en el punto que corta la cadena.
Fuente: mi guía de Forest (enumeración, AS-REP, acceso y escalada). Resultado histórico documentado; las mitigaciones son propuestas, no verificadas.