Содержание статьи
Наша конечная цель — получение прав суперпользователя на машине EscapeTwo с учебной площадки Hack The Box. Уровень задания — легкий.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /
:
10.10.11.51 escapetwo.htb
На этот раз, помимо IP-адреса машины, нам предоставляют учетные данные с правами пользователя домена.

Первым делом запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Он позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации выбирается следующий шаг к получению точки входа.
Наиболее известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи следующего скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '' ',' | sed s/,$//)nmap -p$ports -A $1
Он действует в два этапа. На первом производится обычное быстрое сканирование, на втором — более тщательное сканирование, с использованием имеющихся скриптов (опция -A
).

Сканер нашел 13 открытых портов:
- 88 — Kerberos;
- 135 — служба удаленного вызова процедур (Microsoft RPC);
- 139 — служба сеансов NetBIOS, NetLogon;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется в службах DCOM и MS Exchange;
- 636 — LDAP с шифрованием SSL или TLS;
- 1433 — Microsoft SQL;
- 3268 (LDAP) — для доступа к Global Catalog от клиента к контроллеру;
- 3269 (LDAPS) — для доступа к Global Catalog от клиента к контроллеру через защищенное соединение;
- 5985 — служба удаленного управления WinRM;
- 9389 — веб‑службы AD DS.
Валидируем учетные данные с помощью утилиты NetExec.
nxc smb 10.10.11.51 -u rose -p KxEPkKe6R8su

Учетные данные верны, а значит, начнем собирать информацию из домена.
Точка входа
Первым делом с помощью NetExec получим список пользователей (параметр --users
). Иногда в описании учетных записей можно найти полезную информацию.
nxc ldap 10.10.11.51 -u rose -p KxEPkKe6R8su --users

Теперь проверим общие SMB-ресурсы (параметр --shares
).
nxc smb 10.10.11.51 -u rose -p KxEPkKe6R8su --shares

Для чтения доступен недефолтный каталог Accounting
. Подключаемся с помощью скрипта impacket-smbclient и проверяем файлы.
smbclient.py 'sequel.htb/rose:KxEPkKe6R8su'@10.10.11.51

В каталоге два файла XLSX, скачиваем их на свой компьютер. Однако при попытке открыть любую из таблиц получаем ошибку кодировки. Видимо, файлы битые.

Но XLSX — это обычный ZIP, так что можем поменять им расширение и распаковать архиватором. А потом в распакованных файлах поищем строки вроде secret
, pass
, login
.

В папке accounts
есть какие‑то пароли, поэтому открываем XML-файл accounts/
через браузер и выписываем учетные данные.

Среди найденных учеток есть sa
— логин администратора Microsoft SQL. Именно эту СУБД мы видели при сканировании портов.
Точка опоры
Проверяем доступ к Microsoft SQL с помощью NetExec.
nxc mssql 10.10.11.51 -u sa -p 'MSSQLP@ssw0rd!' --local-auth

У нас есть доступ от имени администратора базы данных, а значит, мы можем получить сессию на хосте. Подключаемся к СУБД с помощью mssqlclient, входящего в Impacket, активируем процедуру enable_xp_cmdshell
и для теста выполняем команду whoami
.
mssqlclient.py 'squel.htb/sa:MSSQLP@ssw0rd!'@10.10.11.51
enable_xp_cmdshell
xp_cmdshell whoami

Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее