Enumeración desde dentro

La tentación de novato es volcar la lista completa de usuarios y grupos y sentirse con información. Pero una lista no dice nada: lo que abre caminos son las relaciones. Que un grupo pertenezca a otro, que una cuenta tenga derecho de reescribir a otra, que un servidor confíe en un servicio: eso es lo que un atacante encadena. Herramientas de mapeo de relaciones de dominio —como BloodHound en su edición Community, incluida en la máquina de ataque del laboratorio— existen justamente para pasar de la lista a la gráfica de quién llega a quién.

En Marisma, enumerar bien no es tener el volcado más largo; es tener la relación que conecta tu cuenta sin privilegios con una cuenta que mande.

Entre los objetos del directorio, las cuentas con un servicio registrado saltan porque ese registro es público para cualquier cuenta autenticada. Una cuenta con un servicio asociado es candidata a un abuso de Kerberos que se ve en el módulo siguiente, así que localizarlas es parte del mapa. En Marisma aparecen dos: svc-respaldo, del servicio de copias, y svc-sql, de la base de datos. Las dos tienen servicio registrado; todavía no sabes cuál tiene una contraseña que ceda.

Anotar las cuentas de servicio y para qué sirven —sin abusar de nada aún— es lo que deja la enumeración lista para decidir el vector en la fase que sigue.

Enumerando los permisos de objeto sobre objeto, aparece uno que llama la atención: el grupo Gestores-Copias tiene derecho de reescritura sobre el grupo Operadores-SRV, y ese segundo grupo da administración local sobre el servidor de la empresa. Ninguno de los dos es un grupo de administración del dominio, así que a primera vista parecen inofensivos. El criterio es fijarse no en el nombre del grupo sino en lo que su permiso permite hacer: reescribir un grupo significa poder meter a quien quieras dentro.

Ese permiso que «no encaja» —un grupo de rutina con derecho de reescritura sobre otro con acceso a un servidor— es justo la clase de relación que se sigue, no la que se ignora por el nombre aburrido.

Igual que en cualquier reconocimiento, cada dato de la enumeración vale por la decisión que cambia. Saber cuántas estaciones hay no cambia nada; saber que una cuenta de servicio con contraseña vieja pertenece a un grupo con derecho de reescritura sobre otro que administra el servidor cambia todo el plan. Recolectar de más engorda el informe y esconde lo que importa entre ruido; recolectar de menos deja fuera el eslabón que conectaba la cadena.

Cerrar la enumeración es entregar a la fase siguiente una cadena candidata —de tu cuenta a una posición de poder— con cada eslabón justificado, no un volcado sin ordenar.