Последнюю версию инструмента можно скачать на странице релизов GitHub, либо установить её с помощью следующей команды go:
go install github.com/TheManticoreProject/Delegations@latest
Использование
Первый позиционный аргумент программы — это режим:
⏺️add — добавление объекту делегирования;
⏺️audit — проверка существующих делегирований;
⏺️clear — возврат прав после команды add;
⏺️find — поиск возможных видов делегирования в домене;
⏺️monitor — отслеживание изменений в режиме реального времени;
⏺️remove — удаление видов делегирования.
Далее для режимов add, remove и find вторым позиционным аргументом является тип делегирования: constrained, unconstrained, rbcd.
Для режима audit все типы делегирования проверяются сразу, дополнительные позиционные аргументы не требуются, только параметры:
Delegations audit --domain <string> --username <string> [--password <string>] [--hashes <string>] [--debug] --dc-ip <string> [--ldap-port <tcp port>] [--use-ldaps] [--use-kerberos]
Добавляем к объекту ограниченное делегирование на узел PC02.MANTICORE.local.
./Delegations add constrained --distinguished-name "CN=PC01,CN=Computers,DC=MANTICORE,DC=local" --dc-ip "192.168.56.101" -d "MANTICORE.local" -u "Administrator" -p 'Admin123!' --allowed-to-delegate-to "HOST/PC02.MANTICORE.local"
Кроме того, после добавления делегирования можно вернуть в исходное состояние с помощью режима clear.
./Delegations clear constrained --distinguished-name "CN=PC01,CN=Computers,DC=MANTICORE,DC=local" --dc-ip "192.168.56.101" -d "MANTICORE.local" -u "Administrator" -p 'Admin123!'
Режим поиска позволяет найти все виды делегирования.
./Delegations find unconstrained --distinguished-name "CN=PC01,CN=Computers,DC=MANTICORE,DC=local" --dc-ip "192.168.56.101" -d "MANTICORE.local" -u "Administrator" -p 'Admin123!'
С помощью режима remove можно удалить делегирование из объекта, тем самым сделав его эксплуатацию невозможной.
./Delegations remove rbcd --distinguished-name "CN=PC01,CN=Computers,DC=MANTICORE,DC=local" --dc-ip "192.168.56.101" -d "MANTICORE.local" -u "Administrator" -p 'Admin123!'