Что можно сделать имея пароль от учетной записи компьютера?

[sect adept]

Здравствуйте. Пробил доменный хост через мс17, сдампил хэши.
Pth с хэшем локального админа не получилось выполнить и расшифровать.
В дампе увидел учетку, в названии которой в конце стоит знак доллара (bkadmin$).
Такой учетки в домене не нашел. От нее имеется хэш и пасс в чистом виде.
Что можно с этим сделать?

 

[pakhom]

попробуй подключиться к smb shares
smbclient -U <administrator_username> //<IP>/bkadmin$

 

[sect adept]

у меня во владениях только обычная доменная учетка и свой локальный админ на пробитой тачке. Чекал bkadmin в пользаках домена - нет такого

 

[Japok]

Попробуй запустить коллектор SharpHound.exe, и отрисовать граф в BloodHound. Думаю есть вероятность что наткнёшься на интересные ACL. Можешь так же попытаться подняться засчёт службы сертификатов (ESC1-ESC8), или всякие паблик сплойты (Zerologon,CVE-2022-26923,2021-42287 итд)

 

[el84]

Since you succesfully exploited ms017, you got code exec with SYSTEM context, If you got stucked because hashs cant be cracked there is an option. You can force passwords to be stored in plain text and dump it from lsass(widgest). The change you will need is the following:

 reg add HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest /f /v UseLogonCredential /t REG_DWORD /d 1

Then you just need to wait few time, maybe some days and dump lsass again. Hope it helps.

 

[Premium]

возможно, что bkadmin$ это не юзерский акк, а акк хоста bkadmin в домене. учитывая возраст пробитой тачки, еще возможно, что такого хоста уже нет в домене или он переименован. т.е. это все камень из которого не добыть воды.
хорошо бы, конечно, ломануть админский хешик. так что этот вектор не оставляй.

 

[sect adept]

Забыл про эту тему уже и забыл отписать как вышло... Вообщем просто получилось угнать токен ДА. Просто повезло, что на пробитой тачке через МС17 был токен ДА... Единственная тачка была уязвимая и такое)

 

[Premium]

Забыл про эту тему уже и забыл отписать как вышло... Вообщем просто получилось угнать токен ДА. Просто повезло, что на пробитой тачке через МС17 был токен ДА... Единственная тачка была уязвимая и такое)

через incognito.exe list_tokens -u ?

 

[sect adept]

через incognito.exe list_tokens -u ?

именно, но через метерпретер сессию, подгрузив модуль инкогнито