Этот инструмент позволяет злоупотреблять локальными или удаленными серверами SCCM для развертывания вредоносных приложений на управляемых ими хостах. Для использования этого инструмента ваш текущий процесс должен иметь права администратора на сервере SCCM.
Обычно при развертывании SCCM сервер управления и первичный сервер находятся на одном хосте, и в этом случае хост, возвращенный командой locate, можно использовать в качестве первичного сервера.
Если это не так, вам потребуется скомпрометировать хост управления, возвращенный командой locate, чтобы затем снова запустить locate на этом хосте и получить имя первичного сервера. Как только у вас будет это имя и доступ администратора, вы готовы к работе!
Для получения дополнительной информации об использовании инструмента обратитесь к блогу ниже.
*
Огромная благодарность PowerSCCM ( на котором все это основано; эта работа была бы невозможна без трудов @harmj0y, @jaredcatkinson, @enigma0x3, @mattifestation.
* Скомпрометируйте клиент, используйте locate для поиска сервера управления
* Скомпрометируйте сервер управления, используйте locate для поиска первичного сервера
* Используйте Inspect на первичном сервере, чтобы просмотреть, кого вы можете атаковать
* Создайте новую группу устройств для машин, на которые вы хотите переместиться латерально
The full story
This article is one source in a clustered incident — the cluster page carries the summary, timeline and every other outlet covering it.
