Содержание статьи
Наша цель — получить права суперпользователя на машине Pirate с учебной площадки Hack The Box. Уровень задания — сложный, операционная система — Windows.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не подключайся с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес машины в /:
10.129.244.95 pirate.htb
На этот раз, помимо IP-адреса машины, нам выдали учетные данные с правами пользователя домена.
Выданные креды: pentest/.
Запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.
Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).
Подробнее про работу с Nmap читай в статье «Nmap с самого начала. Осваиваем разведку и сканирование сети».
Сканер нашел 14 открытых портов:
- 80 — веб‑сервер Microsoft IIS 10.0;
- 88 — Kerberos;
- 135 — служба удаленного вызова процедур (Microsoft RPC);
- 139 — служба сеансов NetBIOS;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется службами DCOM и Microsoft Exchange;
- 636 — LDAP с шифрованием SSL/TLS;
- 2179 — Hyper-V VMConnect (vmrdp) — намек на виртуальные машины на контроллере домена;
- 3268 (LDAP) — доступ к глобальному каталогу;
- 3269 (LDAPS) — глобальный каталог через защищенное соединение;
- 5985 — WinRM;
- 9389 — веб‑службы AD DS.
В выводе Nmap также видно, что время расходится с DC примерно на семь часов, поэтому все Kerberos-операции будем оборачивать в faketime , иначе получим KRB_AP_ERR_SKEW.
Прописываем в / имена DC.
10.129.244.95 pirate.htb DC01.pirate.htb DC01
Первым делом проверяем выданные учетные данные с помощью NetExec.
nxc smb pirate.htb -u pentest -p 'p3nt3st2025!&'
Точка входа
У нас есть доменная учетная запись, а значит, мы можем собрать информацию о домене с помощью BloodHound. Для сбора данных будем использовать RustHound-CE.
Справка: BloodHound
Утилита BloodHound на основе теории графов выявляет скрытые и зачастую непреднамеренные взаимосвязи в среде Active Directory. Ее можно использовать, чтобы легко идентифицировать очень сложные пути атаки. Помимо самой утилиты, которая позволяет просматривать граф, существует часть, загружаемая на удаленный хост для сбора информации. Она бывает в версиях для разных ОС и на разных языках программирования.
faketime -f '+7h' ./rusthound-ce -d pirate.htb -u pentest -p 'p3nt3st2025!&' -i 10.129.244.95 -c All -z
К сожалению, BloodHound ничего интересного не показывает. Но у нас есть доменная учетная запись, а значит, мы можем проверить, нет ли учетных записей, уязвимых для атаки Pre2k. Это учетные записи компьютеров, созданные в доменах до Windows 2000, которые используют упрощенную аутентификацию: у таких учетных записей пароль часто совпадает с именем самой учетной записи без $.
faketime -f '+7h' nxc ldap pirate.htb -u pentest -p 'p3nt3st2025!&' -M pre2k
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
