NTLM theft

Reset est une box de difficulté hard orientée Active Directory. Le service SMB est accessible en écriture par le compte Guest, permettant à l’attaquant d’y déposer un fichier .lnk malveillant. Un utilisateur actif va accéder au partage SMB, déclenchant une authentification NTLM vers l’attaquant, permettant la capture d’un hash. Après avoir obtenu accès à un premier compte, l’attaquant peut effectuer une attaque AS-REP roasting, et ensuite exploiter plusieurs misconfigurations donnant accès à un compte privilégié. Ce compte possédant le droit AllowedToDelegate, permet d’obtenir un accès au DC en tant qu’Administrator.