Signed

Executive summary — Signed is a domain controller that exposes only MSSQL externally (Kerberos and SMB are filtered inbound), so the entire chain has to be solved through that single service. A low-privilege SQL login is used to coerce the DC itself into authenticating against an attacker-controlled SMB, capturing the MSSQL service account's NetNTLMv2 hash. Once that's cracked, a fully offline-forged Silver Ticket (no Kerberos contact needed, precisely because port 88 is blocked) grants sysadmin privileges on the database. The final escalation is the most technically interesting part: xp_cmdshell's token has SeImpersonatePrivilege deliberately stripped, and recovering it means exploiting the fact that a loopback network logon retains privileges the process token had already lost.

Only port 1433 responds from outside; neither Kerberos (88) nor SMB (445) are reachable. That rules out any technique relying on requesting a TGT from the KDC in real time — any Kerberos ticket will have to be forged offline and presented straight to the service.

Resumen ejecutivo — Signed es un controlador de dominio que expone únicamente MSSQL al exterior (Kerberos y SMB están filtrados de entrada), así que toda la cadena tiene que resolverse a través de ese único servicio. Un login SQL de bajo privilegio se usa para coaccionar al propio DC a autenticarse contra un SMB propio, capturando el hash NetNTLMv2 de la cuenta de servicio de MSSQL. Con ese hash crackeado, un Silver Ticket forjado completamente offline (sin necesitar Kerberos, precisamente porque el puerto 88 está bloqueado) da privilegios sysadmin en la base de datos. La escalada final es la más interesante técnicamente: el token de xp_cmdshell tiene SeImpersonatePrivilege eliminado a propósito, y hay que recuperarlo explotando el hecho de que un logon de red por loopback conserva privilegios que el token del proceso ya había perdido.

Solo el puerto 1433 responde desde fuera; ni Kerberos (88) ni SMB (445) están accesibles. Esto descarta de entrada cualquier técnica que dependa de pedir un TGT al KDC en tiempo real — cualquier ticket Kerberos tendrá que forjarse offline y presentarse directamente al servicio.