PetitPotam
Coacción NTLM por MS-EFSRPC; clásico para relayar la cuenta de máquina del DC a ADCS.
Herramienta de coacción de autenticación que abusa del protocolo MS-EFSRPC (cifrado de ficheros): fuerza a un host, típicamente un controlador de dominio, a autenticarse contra una IP que controlas usando su cuenta de máquina. El clásico es relayar esa cuenta de máquina del DC al endpoint web de ADCS (ESC8) para obtener un certificado y, con él, un TGT del DC.
Familia Coacción y relay NTLM
Flags <lhost> <dc-ip>
Conceptos NTLM Relay, NTLMv2 coercion with SCF/URL (IconFile UNC), ADCS ESC9 (No Security Extension)
Cheatsheet Coerción y CVE de DC (NoPac, PetitPotam, PrintNightmare)
Instalación
pipx install impacketComandos útiles
Herramienta de referencia: aún no aparece en una máquina publicada del blog, pero forma parte del arsenal por su uso habitual.