Наша цель — получить права суперпользователя на машине Checkpoint с учебной площадки Hack The Box. Уровень сложности задания — средний, операционная система — Windows.
warning
Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.
Разведка
Сканирование портов
Добавляем IP-адрес хоста в /:
10.129.95.118 checkpoint.htb
На этот раз, помимо IP-адреса машины, нам предоставляют учетные данные пользователя домена.
Запускаем сканирование портов.
Справка: сканирование портов
Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.
Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:
#!/bin/bashports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '' ',' | sed s/,$//)nmap -p$ports -A $1Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).
info
Подробнее про работу с Nmap читай в статье «Nmap с самого начала. Осваиваем разведку и сканирование сети».
Сканер нашел одиннадцать открытых портов:
- 88 — Kerberos;
- 135 — служба удаленного вызова процедур (Microsoft RPC);
- 139 — служба сеансов NetBIOS;
- 389 — LDAP;
- 445 — SMB;
- 464 — служба смены пароля Kerberos;
- 593 (HTTP-RPC-EPMAP) — используется в службах DCOM и Microsoft Exchange;
- 636 — LDAP с шифрованием SSL или TLS;
- 3268 (LDAP) — доступ к глобальному каталогу;
- 3269 (LDAPS) — глобальный каталог через защищенное соединение;
- 5985 — WinRM.
Имя хоста — DC01, домен — checkpoint.. В выводе Nmap также видно расхождение времени с DC примерно на семь часов, поэтому при работе с Kerberos используем faketime . Обновляем /, добавив имена DC.
10.129.95.118 checkpoint.htb DC01.checkpoint.htb DC01
Точка входа
Сначала проверяем выданные учетные данные с помощью NetExec.
nxc smb 10.129.95.118 -u alex.turner -p 'Checkpoint2024!'
Теперь проверим общие SMB-ресурсы.
nxc smb 10.129.95.118 -u alex.turner -p 'Checkpoint2024!' --shares
Кроме стандартных шар NETLOGON и SYSVOL, доступна для чтения DevDrop с пометкой «VS Code extensions share for approved .vsix packages compatible with VS Code engine 1.118.0», а к VMBackups доступа нет. Заглянем в DevDrop через smbclient-ng.
smbng -H 10.129.95.118 -d checkpoint.htb -u alex.turner -p 'Checkpoint2024!' --no-color
Продолжение доступно только участникам
Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».
Присоединяйся к сообществу «Xakep.ru»!
Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее
