AD: movimiento lateral
Ya tienes credenciales (o un hash) de algún usuario. El movimiento lateral es usarlas para ejecutar en otros equipos, recoger MÁS credenciales allí, y repetir hasta llegar a un equipo donde haya un admin de dominio. Enumerar -> credenciales -> saltar -> re-enumerar.
👣Ejecutar en remoto con credenciales
Con una credencial válida (clave o hash) ejecutas en otros equipos:
| psexec | shell de SYSTEM por SMB (ruidoso pero fiable): impacket-psexec dominio/user:pass@IP. |
| wmiexec / smbexec / atexec | más sigilosos; ejecución por WMI / servicios / tareas. |
| evil-winrm | shell por WinRM (5985): evil-winrm -i IP -u user -p pass (o -H hash). |
| crackmapexec / netexec | ejecutar en MUCHOS equipos a la vez, y validar dónde vale cada credencial. |
| DCOM / WinRS | vías alternativas si SMB/WinRM están filtrados. |
🔀Reutilización de credenciales (el motor del lateral)
La clave: una credencial de un equipo suele valer en OTRO. Con netexec/crackmapexec haces spidering: pasas la credencial/hash por todos los equipos y ves dónde entra. Donde seas admin local, vuelcas más credenciales y repites.
Pass-the-Hash lo hace sin crackear: el hash NT ES la llave para NTLM.
💾Recoger más credenciales en cada salto
| secretsdump remoto | impacket-secretsdump dominio/user:pass@IP -> SAM + LSA + cached del equipo. |
| LSASS | si eres admin local, vuelca LSASS -> hashes/tickets de quien se haya logueado ahí (¡quizá un admin de dominio!). |
| DPAPI / ficheros | credenciales guardadas, configs, shares. |
| Sesiones de admins | BloodHound te dice en qué equipos hay admins logueados: ve a por esos. |
🔄NTLM relay (contexto)
Si puedes forzar que una cuenta (incluso de equipo) se autentique contra ti por NTLM, puedes relayearla a otro servicio donde tenga permiso (SMB, LDAP) y actuar como ella. Requiere ciertas condiciones (firma SMB desactivada, coerción tipo PetitPotam). Es potente pero situacional; en OSCP aparece menos que Kerberoast/PtH.