https://633k.org/tags/ntlm-relay/ Recent content in NTLM Relay on 633k Hugo zh-CN Fri, 28 Aug 2026 00:00:00 +0000 https://633k.org/posts/pirate/ Fri, 28 Aug 2026 00:00:00 +0000 https://633k.org/posts/pirate/ <hr> <h2 id="执行摘要">执行摘要</h2> <p>Pirate 是 Active Directory 域环境。入口为低权限域用户 <code>pentest</code>。通过 Pre-Windows 2000 计算机账户默认密码读取 gMSA，WinRM 立足 DC01 后进入仅内网的 WEB01。WEB01 的 LSA 泄露 <code>a.white</code> 明文，该用户可强制重置 <code>a.white_adm</code>。<code>a.white_adm</code> 拥有到 <code>HTTP/WEB01</code> 的约束委派（协议转换）以及 IT 组的 WriteSPN。将 <code>HTTP/WEB01.pirate.htb</code> 劫持到 DC01$ 后，S4U2Proxy 票可改写成 <code>CIFS/DC01</code>，最终拿到域管。</p>