Часто для захвата домена используется PKINIT, который позволяет получить
TGT (или его NT-хэш). Сам же PKINIT представляет из себя механизм для предварительной аутентификации в Kerberos, который использует сертификаты X.509 в аутентификации KDC для клиентов и наоборот (хотя иногда позволяет клиенту получить билет, не выполняя аутентификацию). Однако,
DC не всегда поддерживает PKINIT. Это может быть связано с отсутствием Smart Card Logon. И тут нам уже поможет LDAP, позволяющий аутентифицироваться с помощью клиентского сертификата и выполнять различные действия. Для таких случаев ребята написали тулзу PassTheCert 🎧PassTheCert позволяет выполнять различные вектора атак
Предоставление пользователю прав
DCSync Модификация атрибута
msDS-AllowedToActOnBehalfOfOtherIdentity Добавление компьютера в домен, что полезно для выполнения
RBCD-атак. Сброс пароля учетной записи. Но без прав
User-Force-Change-Password это не сработаетЯ рассматривал использование данной тулзы в последнем случае
python3 passthecert.py -dc-ip 10.10.10.X -action modify_user -crt user.crt -key user.key -domain corp.com -target aboba -new-pass