Windows Built-in Groups

Backup Operators

  • Após o pouso em uma máquina, podemos usar o comando whoami /groupspara exibir nossas associações de grupo atuais.

  • Podemos usar esta prova de conceitoarrow-up-right para explorar a vulnerabilidade SeBackupPrivilegee copiar este arquivo. Primeiro, vamos importar as bibliotecas em uma sessão do PowerShell.

  • No Windows, se um usuário tiver a permissão "Fazer backup de arquivos e diretóriosarrow-up-right", ele receberá o privilégioarrow-up-rightSE_BACKUP_NAME. Esse privilégio está desativado por padrão, mas, quando ativado, permite que o usuário acesse diretórios/arquivos que não lhe pertencem ou para os quais não tem permissão .

Import-Module .\SeBackupPrivilegeUtils.dll
Import-Module .\SeBackupPrivilegeCmdLets.dll
  • Verificando se o privilégio SeBackupPrivilege está ativado

whoami /priv #or 
Get-SeBackupPrivilege

Habilitando o privilégio SeBackup

  • Se o privilégio estiver desativado, podemos ativá-lo com Set-SeBackupPrivilege

Set-SeBackupPrivilege
Get-SeBackupPrivilege
  • Se o privilégio for ativado com sucesso, esse privilégio pode ser usado para copiar qualquer arquivo protegido

Copy-FileSeBackupPrivilege 'C:\Confidential\2021 Contract.txt' .\Contract.txt

Atacando um Controlador de Domínio - Copiando o NTDS.dit

  • Este grupo também permite o login local em um controlador de domínio. O banco de dados do Active Directory NTDS.dité um alvo muito atraente, pois contém os hashes NTLM de todos os objetos de usuário e computador no domínio.

  • Como o NTDS.ditarquivo está bloqueado por padrão, podemos usar o utilitário diskshadowarrow-up-right do Windows para criar uma cópia de sombra da Cunidade e expô-la como Euma unidade.

Copiando NTDS.dit localmente

  • Em seguida, podemos usar o Copy-FileSeBackupPrivilegecmdlet para ignorar a ACL e copiar o NTDS.dit localmente.

Fazendo backup dos hives de registro SAM e SYSTEM

  • Esse privilégio também nos permite fazer backup dos hives de registro SAM e SYSTEM, dos quais podemos extrair credenciais de contas locais offline usando uma ferramenta como o Impacket.secretsdump.py

  • Extraindo credenciais do NTDS.dit

  • Extraindo hashes usando o SecretsDump

  • Copiando arquivos com o Robocopy

Last updated