HTB Checkpoint. Захватываем служебную учетку AD через dMSA

1 час назад 4

Годовая подписка на Xakep.ru

Все статьи, PDF-архив, скидки и другие бонусы

6000₽ в год
Подписаться
Ежеквартальный «Хакер» #4

Печатный выпуск за август–ноябрь 2026 года

2000₽
Заказать
Ежеквартальный «Хакер» #3

Печатный выпуск за май–июль 2026 года

2000₽
Заказать
Спецвыпуск «Хакера» #4

Избранные материалы 2021–2022 годов на бумаге

2000₽
Заказать

Если в домене разрешено создавать делегированные управляемые учетные записи служб, механизм миграции старых сервисных аккаунтов можно превратить в короткий путь к их секретам. В статье разберем этот трюк на практике, затем через dMSA заберем хеш служебной учетки и доберемся до данных админа в дампе памяти VM.

Наша цель — получить права суперпользователя на машине Checkpoint с учебной площадки Hack The Box. Уровень сложности задания — средний, операционная система — Windows.

warning

Подключаться к машинам с HTB рекомендуется с применением средств анонимизации и виртуализации. Не делай этого с компьютеров, где есть важные для тебя данные, так как ты окажешься в общей сети с другими участниками.

Разведка

Сканирование портов

Добавляем IP-адрес хоста в /etc/hosts:

10.129.95.118 checkpoint.htb

На этот раз, помимо IP-адреса машины, нам предоставляют учетные данные пользователя домена.

Запускаем сканирование портов.

Справка: сканирование портов

Сканирование портов — стандартный первый шаг при любой атаке. Оно позволяет атакующему узнать, какие службы на хосте принимают соединение. На основе этой информации он выбирает следующий шаг к получению точки входа.

Самый известный инструмент для сканирования — это Nmap. Улучшить результаты его работы ты можешь при помощи такого скрипта:

#!/bin/bash

ports=$(nmap -p- --min-rate=500 $1 | grep ^[0-9] | cut -d '/' -f 1 | tr '

' ',' | sed s/,$//)

nmap -p$ports -A $1

Он действует в два этапа. На первом выполняется обычное быстрое сканирование, на втором — более тщательное, с использованием встроенных скриптов (опция -A).

Сканер нашел одиннадцать открытых портов:

88 — Kerberos;
135 — служба удаленного вызова процедур (Microsoft RPC);
139 — служба сеансов NetBIOS;
389 — LDAP;
445 — SMB;
464 — служба смены пароля Kerberos;
593 (HTTP-RPC-EPMAP) — используется в службах DCOM и Microsoft Exchange;
636 — LDAP с шифрованием SSL или TLS;
3268 (LDAP) — доступ к глобальному каталогу;
3269 (LDAPS) — глобальный каталог через защищенное соединение;
5985 — WinRM.

Имя хоста — DC01, домен — checkpoint.htb. В выводе Nmap также видно расхождение времени с DC примерно на семь часов, поэтому при работе с Kerberos используем faketime -f '+7h'. Обновляем /etc/hosts, добавив имена DC.

10.129.95.118 checkpoint.htb DC01.checkpoint.htb DC01

Точка входа

Сначала проверяем выданные учетные данные с помощью NetExec.

nxc smb 10.129.95.118 -u alex.turner -p 'Checkpoint2024!'

Теперь проверим общие SMB-ресурсы.

nxc smb 10.129.95.118 -u alex.turner -p 'Checkpoint2024!' --shares

Кроме стандартных шар NETLOGON и SYSVOL, доступна для чтения DevDrop с пометкой «VS Code extensions share for approved .vsix packages compatible with VS Code engine 1.118.0», а к VMBackups доступа нет. Заглянем в DevDrop через smbclient-ng.

smbng -H 10.129.95.118 -d checkpoint.htb -u alex.turner -p 'Checkpoint2024!' --no-color

Продолжение доступно только участникам

Материалы из последних выпусков становятся доступны по отдельности только через два месяца после публикации. Чтобы продолжить чтение, необходимо стать участником сообщества «Xakep.ru».

Присоединяйся к сообществу «Xakep.ru»!

Членство в сообществе в течение указанного срока откроет тебе доступ ко ВСЕМ материалам «Хакера», позволит скачивать выпуски в PDF, отключит рекламу на сайте и увеличит личную накопительную скидку! Подробнее

Я уже участник «Xakep.ru»

Источник