AD ACL Enum¶

Introducción¶

PowerView es una herramienta de PowerShell para obtener conocimiento situacional de la red en dominios de Windows. Contiene un conjunto de reemplazos en PowerShell para varios comandos de Windows "net *", que utilizan hooks de AD de PowerShell y funciones subyacentes de la API de Win32 para realizar funcionalidades útiles de dominio de Windows.

Comandos de PowerView¶

Find-InterestingDomainAcl¶

Encuentra ACLs de objetos en el dominio actual (o especificado) con derechos de modificación establecidos en objetos no integrados.

Import-Module .\PowerView.ps1
Find-InterestingDomainAcl

Ejemplo:¶

Encuentra ACLs interesantes en el dominio actual.
```
Find-InterestingDomainAcl
```

Targeted Enum¶

$sid = Convert-NameToSid USER
Get-DomainObjectACL -Identity * | ? {$_.SecurityIdentifier -eq $sid}

Mapeo de Valor GUID¶

Example:
- $guid= "00299570-246d-11d0-a768-00aa006e0529"
- Get-ADObject -SearchBase "CN=Extended-Rights,$((Get-ADRootDSE).ConfigurationNamingContext)" -Filter {ObjectClass -like 'ControlAccessRight'} -Properties * |Select Name,DisplayName,DistinguishedName,rightsGuid| ?{$_.rightsGuid -eq $guid} | fl
- -ResolverGUID flag
  - Get-DomainObjectACL -ResolveGUIDs -Identity * | ? {$_.SecurityIdentifier -eq $sid}

Creación de lista de usuarios del dominio AD¶

Get-ADUser -Filter * | Select-Object -ExpandProperty SamAccountName > ad_users.txt

Chequeo de cada usuario¶

foreach($line in [System.IO.File]::ReadLines("C:\Users\SOME-USER\Desktop\ad_users.txt")) {get-acl "AD:\$(Get-ADUser $line)" | Select-Object Path -ExpandProperty Access | Where-Object {$_.IdentityReference -match 'DOMAIN\\USER'}}

Ejemplo:¶

Enumerando derechos del usuario "damundsen"

$sid2 = Convert-NameToSid damundsen
Get-DomainObjectACL -ResolveGUIDs -Identity * | ? {$_.SecurityIdentifier -eq $sid2} -Verbose

AceType               : AccessAllowed
ObjectDN              : CN=Help Desk Level 1,OU=Security Groups,OU=Corp,DC=INLANEFREIGHT,DC=LOCAL
ActiveDirectoryRights : ListChildren, ReadProperty, GenericWrite
OpaqueLength          : 0
ObjectSID             : S-1-5-21-3842939050-3880317879-2865463114-4022
InheritanceFlags      : ContainerInherit
BinaryLength          : 36
IsInherited           : False
IsCallback            : False
PropagationFlags      : None
SecurityIdentifier    : S-1-5-21-3842939050-3880317879-2865463114-1176
AccessMask            : 131132
AuditFlags            : None
AceFlags              : ContainerInherit
AceQualifier          : AccessAllowed

Este usuario tiene GenericWrite sobre el grupo Help Desk Level 1, esto significa que podemos agregar a cualquier usuario a este grupo con este usuario y también que si podemos agregar un usuario a este grupo va a tomar los privilegios de GenericWrite.
Podemos chequear si este grupo está "anidado" a otro grupo.

Get-DomainGroup -Identity "Help Desk Level 1" | select memberof

memberof                                                                      
--------                                                                      
CN=Information Technology,OU=Security Groups,OU=Corp,DC=INLANEFREIGHT,DC=LOCAL

Bloodhound¶

También se puede hacer todo esto mucho más fácil con Bloodhound en vez de con Powershell.

Funciones adicionales de PowerView¶

Export-PowerViewCSV¶

Exporta objetos a un archivo CSV de manera segura para hilos. - Get-DomainUser | Export-PowerViewCSV -Path "users.csv"

Get-DomainSPNTicket¶

Solicita un ticket de servicio Kerberos para un SPN especificado. - Get-DomainSPNTicket -SPN "HTTP/web.testlab.local" - Get-DomainUser -SPN | Get-DomainSPNTicket -OutputFormat Hashcat

Get-DomainTrust¶

Retorna todas las relaciones de confianza de dominio para el dominio actual o un dominio especificado. - Get-DomainTrust

Get-ForestTrust¶

Retorna todas las relaciones de confianza de bosque para el bosque actual o un bosque especificado. - Get-ForestTrust

Get-PathAcl¶

Enumera las ACL para una ruta de archivo especificada. - Get-PathAcl "\\SERVER\Share"

Find-DomainUserLocation¶

Encuentra máquinas de dominio donde usuarios específicos están conectados. - Find-DomainUserLocation -UserName "jdoe"

Find-DomainShare¶

Encuentra comparticiones accesibles en máquinas de dominio. - Find-DomainShare

Get-DomainGroupMember¶

Retorna los miembros de un grupo de dominio específico. - Get-DomainGroupMember -Identity "Domain Admins"