GCBTech Active Directory — Improved and Explained Guide

Enter-PSSession gcbtech-dc
# Abrir el RDP en el firewall:
netsh advfirewall firewall set rule group="remote desktop" new enable=Yes
# Si sigue sin conectar, habilitar también el servicio RDP:
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0

# Alternativa PowerShell (PowerView, desde el DC):
. .\PowerView.ps1
Remove-DomainObjectAcl -TargetIdentity 'OU=JumpMachines,DC=gcbtech,DC=local' -PrincipalIdentity examuser -Rights ReadLAPSPassword

# Sacar a examuser del grupo (en el DC):
Remove-ADGroupMember -Identity JumpMachines -Members examuser -Confirm:$false

# Forzar rotación LAPS de GCBTECH-ADMIN (LAPS clásico): marcar la contraseña como expirada…
Set-ADComputer gcbtech-admin -Replace @{'ms-mcs-admpwdexpirationtime'='0'}
# …y en la propia máquina forzar la directiva para que genere la nueva:
gpupdate /force

Set-ADComputer -Identity gcbtech-exam -PrincipalsAllowedToDelegateToAccount $null

# Rotar la contraseña de la cuenta de equipo (correr EN GCBTECH-ADMIN como admin):
Reset-ComputerMachinePassword -Server gcbtech-dc.gcbtech.local

# Cambiar la contraseña de techadmin (correr en el DC):
Set-ADAccountPassword -Identity techadmin -Reset -NewPassword (ConvertTo-SecureString 'Nu3v4!Cl4v3-Fu3rt3' -AsPlainText -Force)

Enter-PSSession -ComputerName gcbtech-dc.gcbtech.local
net localgroup administrators /del gcbinfra\fileserveradmin

# En GCBINFRA-DC — nueva contraseña fuerte para fileserveradmin:
Set-ADAccountPassword -Identity fileserveradmin -Reset -NewPassword (ConvertTo-SecureString 'Nu3v4!FileServer-2024' -AsPlainText -Force)

# Y para el Administrator del dominio (la suya salió en el historial):
Set-ADAccountPassword -Identity Administrator -Reset -NewPassword (ConvertTo-SecureString 'Nu3v4!Infra-Admin-2024' -AsPlainText -Force)

Enter-PSSession gcbinfra-file.gcbinfra.local
cd C:\Users\fileserveradmin\AppData\Roaming\Microsoft\Windows\Powershell
rm .\PSReadLine\ConsoleHost_history.txt

# Alternativa PowerShell (como admin en GCBINFRA-FILE):
New-SmbShare -Name 'files' -Path 'C:\files' -ReadAccess 'gcbtech\techadmin'
# Si el share ya existiera, conceder acceso en el existente:
Grant-SmbShareAccess -Name 'files' -AccountName 'gcbtech\techadmin' -AccessRight Read -Force

# Verificar como techadmin (contraseña de creds.txt: T0Access0therForest):
net view \\gcbinfra-file.gcbinfra.local      # lista los shares visibles
dir \\gcbinfra-file.gcbinfra.local\files     # debe listar el contenido

# Alternativa PowerShell (como admin en GCBTECH-SQL):
New-SmbShare -Name 'data' -Path 'C:\data' -ReadAccess 'gcbinfra\fileserveradmin'

# Verificar como fileserveradmin:
net view \\gcbtech-sql.gcbtech.local
dir \\gcbtech-sql.gcbtech.local\data

New-PSSessionConfigurationFile -Path demo.pssc

Author           = 'sqladmin'
SessionType      = 'RestrictedRemoteServer'
RoleDefinitions  = @{ 'gcbtech\sqladmin' = @{ VisibleCmdlets = 'Get-Process' } }

# Copiar demo.pssc (aquí vía HTTP con un servidor de archivos; vale cualquier método):
iwr http://172.16.100.1/demo.pssc -OutFile C:\Users\Public\demo.pssc

# En la PSSession de GCBTECH-SQL — registrar el endpoint:
Register-PSSessionConfiguration -Name process -Path 'C:\Users\Public\demo.pssc'

# Desde GCBTECH-EXAM vía SMBexec — reiniciar WinRM (así lo hace la guía):
. .\Invoke-SMBExec.ps1
Invoke-SMBExec -Target gcbtech-sql -Username sqladmin -Domain gcbtech.local -Hash 41eb70e78aef6778c507773770fcf780 -Command 'Restart-service WINRM'
Invoke-SMBExec -Target gcbtech-sql -Username sqladmin -Domain gcbtech.local -Hash 41eb70e78aef6778c507773770fcf780 -Command 'powershell disable-psremoting'
Invoke-SMBExec -Target gcbtech-sql -Username sqladmin -Domain gcbtech.local -Hash 41eb70e78aef6778c507773770fcf780 -Command 'powershell enable-psremoting'

Enter-PSSession gcbtech-sql -ConfigurationName process
Get-Process          # ✓ funciona y lista procesos
Get-Service          # ✗ error: no está en la lista blanca
Get-Command          # muestra solo lo permitido (la "carta del menú")

net localgroup administrators /del examuser

Enter-PSSession gcbtech-admin
net localgroup administrators /del examuser
net localgroup administrators /del techadmin

Enter-PSSession gcbinfra-file.gcbinfra.local
net localgroup administrators /del gcbinfra\fileserveradmin

# Quitar a sqladmin del grupo admin de GCBTECH-SQL:
net localgroup administrators /del sqladmin

# Desactivar RDP (en cada máquina donde lo abriste en D1–D3):
netsh advfirewall firewall set rule group="remote desktop" new enable=No
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 1

# Administrator local de GCBTECH-ADMIN  → rotado por LAPS en D1
# GCBTECH-ADMIN$ (cuenta de equipo)     → Reset-ComputerMachinePassword en D2
# TECHADMIN                             → Set-ADAccountPassword en D2
# sqladmin                              → ¡falta! (en el DC):
Set-ADAccountPassword -Identity sqladmin -Reset -NewPassword (ConvertTo-SecureString 'Nu3v4!Sql-2024' -AsPlainText -Force)
# fileserveradmin                       → restaurada en D3
# gcbinfra\Administrator                → restaurada en D3

# En GCBTECH-ADMIN:
Set-MpPreference -DisableRealTimeMonitoring $false

# En GCBTECH-ADMIN y GCBTECH-SQL (C:\Users\Public):
del C:\Users\Public\mimikatz.exe, C:\Users\Public\Rubeus.exe, C:\Users\Public\psexec-int.exe

# Como examuser, recolectar de nuevo:
Invoke-BloodHound -CollectionMethod all

# En BloodHound GUI: examinar la ruta de examuser hacia Domain Admin.
# Debe estar ROTA (sin aristas LAPS / RBCD / GenericAll transitables).