AD: escalada de dominio
El tramo final: de un usuario con permisos interesantes a Domain Admin o al control total del dominio. Aquí viven el abuso de ACLs, DCSync, el abuso de GPO y delegaciones, y (avanzado) los ataques a ADCS. BloodHound te marca el camino; aquí entiendes cómo recorrer cada tramo.
🔑Abuso de ACLs (lo que más marca BloodHound)
Si tu usuario (o un grupo tuyo) tiene ciertos permisos sobre otro objeto, lo controlas:
| GenericAll / GenericWrite | control casi total sobre el objeto: cambiar su clave, añadir SPN (kerberoast dirigido), etc. |
| ForceChangePassword | cambiar la contraseña de otro usuario sin saber la suya -> te apoderas de su cuenta. |
| WriteDACL | reescribir los permisos del objeto -> darte GenericAll -> controlarlo. |
| WriteOwner | hacerte dueño -> luego WriteDACL -> control. |
| AddMember | meterte en un grupo privilegiado (p.ej. Domain Admins). |
BloodHound te da la cadena exacta (abuso tras abuso) hasta Domain Admin. Sigue sus flechas.
📥DCSync
Si tu cuenta tiene el permiso de replicación (DS-Replication-Get-Changes, típico de Domain Admins o mal delegado), puedes pedirle al DC los hashes de CUALQUIER cuenta, incluido krbtgt y el Administrador del dominio, como si fueras otro DC.
impacket-secretsdump -just-dc dominio/user:pass@DC (o mimikatz lsadump::dcsync).⚙Abuso de GPO y delegaciones
| GPO abuse | si puedes editar una GPO enlazada a equipos/usuarios, empujas una tarea/script como SYSTEM a todos ellos (SharpGPOAbuse). |
| Unconstrained delegation | un equipo con esta delegación guarda los TGT de quien se conecta; si un DA se conecta, le robas el TGT. |
| Constrained delegation | abusar de S4U para suplantar a un usuario contra un servicio permitido. |
| RBCD (Resource-Based) | si puedes escribir el atributo msDS-AllowedToActOnBehalfOf de un equipo, te fabricas acceso como cualquier usuario a él. |
🔓ADCS (avanzado): ESC1-ESC8
Si el dominio usa Active Directory Certificate Services mal configurado, hay vías muy potentes (a menudo de usuario normal a Domain Admin):
| ESC1 | plantilla que deja pedir un certificado especificando OTRO usuario (SAN) -> te autenticas como él (incl. DA). |
| ESC8 | relay NTLM al endpoint web de la CA -> certificado para la cuenta del DC. |
| Herramienta | certipy find detecta plantillas vulnerables; certipy req/auth las explota. |
| Resto (ESC2-7) | variantes de plantillas/permisos mal puestos; certipy las enumera. |
ADCS es avanzado pero cada vez más común. En el lab AD-LAB-ADCS lo practicarás aislado.