Содержание статьи
По пути добудем пароль из общего SMB-каталога, через shadow credentials заберем учетную запись с доступом по WinRM, а затем воспользуемся перехватом загрузки DLL в запланированной задаче, чтобы продвинуться до пользователя, способного провернуть атаку на инфраструктуру обновлений.
Наша цель — получить права суперпользователя на машине Logging с учебной площадки Hack The Box. Уровень сложности задания — средний, операционная система — Windows.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /:
10.129.41.57 logging.htb
На этот раз нам предоставляют не только IP машины, но и какие‑то учетные данные.
Запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.
Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).
Подробнее про работу с Nmap читай в статье «Nmap с самого начала. Осваиваем разведку и сканирование сети».
Сканер нашел 12 открытых портов:
- 88 — Kerberos;
- 135 — Microsoft RPC;
- 139 — служба сеансов NetBIOS, NetLogon;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется службами DCOM и Microsoft Exchange;
- 636 — LDAPS;
- 3268 (LDAP) — доступ к Global Catalog с клиента к контроллеру домена;
- 3269 (LDAPS) — доступ к Global Catalog с клиента к контроллеру домена через защищенное соединение;
- 3389 — служба удаленного рабочего стола;
- 5985 — WinRM.
Точка входа
Проверим полученные учетные данные с помощью NetExec.
nxc smb 10.129.245.130 -u 'wallace.everette' -p 'Welcome2026@'
Продолжение доступно только участникам
Вариант 1. Присоединись к сообществу «Xakep.ru», чтобы читать все материалы на сайте
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
Вариант 2. Открой один материал
Заинтересовала статья, но нет возможности стать членом клуба «Xakep.ru»? Тогда этот вариант для тебя! Обрати внимание: этот способ подходит только для статей, опубликованных более двух месяцев назад.
Я уже участник «Xakep.ru»
