Puppy (2025)
Содержание:
В описании машины была предоставлена учетная запись levi.james. При сборе бладхаунда было обнаружено, что данная УЗ состоит в группе HR, которая имеет права GenericWrite на группу DEVELOPERS. После добавления пользователя в группу, шара DEV становится доступна для чтения. В ней был обнаружен файл kdbx, который был сбручен с помощью утилиты keepass4brute. Таким образом была получена УЗ ant.edwards. Она состоит в группе SENIOR DEVS, которая имеет права GenericAll на пользователя ADAM.SILVER. Данная УЗ была отключена, чтобы её включить использовался ldap_shell. После подключения через winrm на диске C:\ была обнаружена директория Backups, в которой содержался zip-архив. В нём был найден пароль от УЗ steph.cooper. У данного пользователя был зашифрованный blob-данных DPAPI. Расшифровав его локально, был получен доступ к УЗ steph.cooper_adm, которая состоит в группе "Administrators".
Разведка:
Сканирование портов:
Внесение изменений в файл /etc/hosts:
В описании машины были даны следующие данные levi.james / KingofAkron2025! их валидность можно проверить с помощью nxc:
Также была обнаружена шара DEV. К ней на данный момент нет доступа:
С помощью следующей команды можно собрать bloodhound для изучения структуры `AD`:
Получение первоначального доступа (adam.silver)
В bloodhound можно обнаружить, что пользователь levi.james состоит в группе [email protected], которая имеет права GenericWrite на группу Developers:
Таким образом, УЗ может добавить сама себя в эту группу:
И после этого получить доступ к шаре DEV:
Подключиться к директории можно с помощью impacket-smbclient:
В ней был обнаружен файл recovery.kdbx. Сбрутить его с помощью john или hashcat не получится:
В качестве альтернативы можно использовать утилиту keepass4brute:
Таким образом был получен пароль для файла recovery.kdbx. В нём содержатся названия УЗ и их пароли:
Имена пользователей:
Пароли пользователей:
Все юзернеймы AD и пароли можно проспрэить с помощью утилиты nxc:
Так была получена УЗ ant.edwards. Она состоит в группе Senior Devs, которая имеет права GenericAll на пользователя AD adam.silver:
С помощью net rpc пароль пользователя был изменён:
Сама УЗ отключена в Active Directory. Её можно включить с помощью ldap_shell:
А затем подключиться через winrm:
Повышение привилегий (steph.cooper)
После получения новой УЗ требуется снова собрать bloodhound:
На диске C:\ есть директория Backups, где лежит zip-архив:
Его можно скачать с помощью команды download в evil-winrm:
Далее обнаружить пароль:
Также его проспрэить:
Он подходит к пользователю steph.cooper и с помощью него можно подключиться по winrm:
Повышение привилегий (steph.cooper_adm)
В выводе winpeas.exe можно обнаружить, что у пользователя steph.cooper есть зашифрованный DPAPI blob-данных:
Тип логона через winrm (Network, 3) не позволяет работать с DPAPI. Для работы с DPAPI требуется тип логона, при котором создается интерактивный профиль пользователя и загружается мастер-ключ шифрования ( Interactive или RemoteInteractive).
Поэтому можно выкачать мастерключ и blob-данных к себе на машину и расшифровать данные локально:
При копировании файлы всё также остаются скрытыми:
Чтобы их скачать, требуется выдать стандартные атрибуты файлов:
Затем можно расшифровать мастерключ и blob-данных:
Таким образом был получен новый пароль, который можно заспрэить:
Он подошел к УЗ steph.cooper_adm, которая входит в группу администраторов:
Далее можно подключиться через winrm:
И забрать флаг:
Last updated
Was this helpful?