Haze

Executive summary — Haze is a Domain Controller where the "textbook" path is a carefully built trap: an unauthenticated Splunk instance leaks credentials that kick off a flawless ACL chain — gMSA, taking ownership of a group, Shadow Credentials — ending at an expired domain certificate and a PKINIT that was never going to work. The real route ignores that chain entirely and loops back to the same Splunk instance that opened the door: its admin account is crackable and its service runs with SeImpersonatePrivilege, the exact combination needed to land on SYSTEM.

Resumen ejecutivo — Haze es un Domain Controller donde el camino "de libro" es una trampa cuidadosamente montada: una app Splunk expuesta sin autenticar filtra credenciales que arrancan una cadena de ACLs impecable — gMSA, toma de propiedad de un grupo, Shadow Credentials — que termina en un certificado de dominio caducado y un PKINIT que nunca va a funcionar. La vía real ignora esa cadena y vuelve al mismo Splunk que abrió la puerta: su cuenta de administración es crackeable y su servicio corre con SeImpersonatePrivilege, la combinación exacta para llegar a SYSTEM.