PrivEsc Получение Domain Admin

[killthenetwork]

Приветствую, нужна помощь с получением Domain Admin. Вот что я делал:
Изначальные права - NT Authority\System.
1. Залетел в сеть
2. Сдампил мимикатзом получил хеш администратора
pass-the-hash прошел -- получил Administrator на одном из доменов
получил в итоге 3 доп. машины через psexec с учеткой админа(с учетом изначальной), на другие не пускает
Could not start service 8e376cb on LQ-VBR: 225
Либо
[-] could not upload file: 1326 - ERROR_LOGON_FAILURE
[-] Could not open service control manager on HQ-PDC: 5
Ошибка говорит сама за себя конечно, DC - LQ-PDC, к которой доступа как раз и нету. Пока понять не могу что делать дальше.
Возможно как то процесс найти domain админа, имя админа знаю.

 

[fcknfck 12]

1) Собери инфу о доменах, например Sharphound'ом
2) Посмотри находятся ли домены в трастах, и какой домен корневой.
3) Попробуй провалидировать пользователей доменов, которые тебе интересны, и поспреить пароли (kerbrute в помощь)
4) Проверь наличие некорректно настроенных сервисов и конфигураций в домене который тебе нужен, например уязвимые template'ы AD CS, делегирование и тд
5) Распростаненные уязвимости, например ZeroLogon, Proxyshell и тд

 

[killthenetwork]

1) Собери инфу о доменах, например Sharphound'ом
2) Посмотри находятся ли домены в трастах, и какой домен корневой.
3) Попробуй провалидировать пользователей доменов, которые тебе интересны, и поспреить пароли (kerbrute в помощь)
4) Проверь наличие некорректно настроенных сервисов и конфигураций в домене который тебе нужен, например уязвимые template'ы AD CS, делегирование и тд
5) Распростаненные уязвимости, например ZeroLogon, Proxyshell и тд

Кажется ответ сгенерирован гпт, а если нет, то скажу, почти попасть то смог на DC, но проблема что не пускает без админки на рдп. Как дальше - не понятно. Нужно также попасть на другую машину(более важную возможно), но там AV(EDR), как мне Malleable profile менять я не понимаю, как artifact kit менять - тоже, вроде поменял но ничего не изменилось.

 

[alexhook]

shell net group "Domain Admins" /domain - все ДА в домене
net domain_controllers
net dclist
shell nltest /dclist - Список DC
обфусцированым ps пробовать пробить другие компы с хеш-токеном

 

[fcknfck 12]

Кажется ответ сгенерирован гпт, а если нет, то скажу, почти попасть то смог на DC, но проблема что не пускает без админки на рдп. Как дальше - не понятно. Нужно также попасть на другую машину(более важную возможно), но там AV(EDR), как мне Malleable profile менять я не понимаю, как artifact kit менять - тоже, вроде поменял но ничего не изменилось.

Как ты определил кем был сгенерирован ответ, и был ли он сгенерирован?
конкретного ты ничего не спросил, что именно тебе нужно, лишь "Не могу понять что делать дальше". Я накинул что ты можешь делать дальше

 

[killthenetwork]

Тему можно закрыть, решение было простое: Собираем через блудхаунд инфу, обнаруживаем что одна группа позволяет присвоить себе другую группу, у которой прав побольше, через нее мы можем менять пароль, получить керберос тикет(хэшированный) на наших юзеров. Обнаруживаем что эти 3 пользователя с правами CanRDP, на нашу ДС, ну а дальше дело за малым.