HackTheBox | Timelapse

HackTheBox | Timelapse

nmap扫描，开放88、389、445等常见Windows域环境下的端口，域名为timelapse.htb，主机名为DC01

开放了smb端口，所以先从smb入手。使用smbclient枚举，看到一些共享目录

进入其中的Shares路径，不需要密码就可以访问到

在Dev路径下看到一个压缩包，下载后解压发现需要密码

使用john进行破解，拿到密码为supremelegacy，解压压缩包得到文件legacyy_dev_auth.pfx

pfx文件是带有私钥的证书，可以使用openssl导出公私钥

参考文章《PFX文件提取公钥私钥》https://www.cnblogs.com/kungfupanda/archive/2018/05/09/9012168.html，尝试导出公私钥，发现需要输入密码，而之前获取到的压缩包的密码无效

同样使用john爆破，得到密码thuglegacy

再次导出公私钥

openssl pkcs12 -in legacyy_dev_auth.pfx -nodes -out server.pem
openssl rsa -in server.pem -out server.key
openssl x509 -in server.pem -out server.crt

在HelpDesk路径下看到一些文档，大概是写了密码管理的一些东西，因为比较长，所以没有仔细阅读

参考官方wp，在evil-winrm中使用公私钥文件进行登录，其中-c参数指定公钥，-k参数指定私钥。登录后拿到timelapse\legacyy权限

在powershell的历史命令中找到用户svc_deploy和密码E3R$Q62^12p7PLlC%KWaxuaV

使用获取的新用户登录

使用PrivescCheck.ps1进行提权信息收集，没有找到有用信息

检查当前用户所在组，其中存在一个特殊组LAPS_Readers

LAPS是Windows下的特殊工具，可以用来管理域内主机本地管理员密码。在之前使用SMB进行文件搜索的时候也看到了相关的操作手册。

根据文章《如何滥用LAPS窃取用户凭据》https://juejin.cn/post/6844903753653420039进行攻击

上传Powerview.ps1，但是没法导入模块

在官方的wp中使用到AdmPwd.ps1模块，但是没有找到下载；后来在大佬的wp中看到方法，https://0xdf.gitlab.io/2022/08/20/htb-timelapse.html#shell-as-svc_deploy，直接获取到管理员账户的密码（原本以为是机器账户DC01$，后来注意到SID为1000）。

Get-ADComputer DC01 -property 'ms-mcs-admpwd'

拿到管理员权限

后来发现过程中找到的脚本Get-LAPSPasswords.ps1也可以实现该功能，只是之前使用的时候按照别人文章里的内容加了太多参数。https://github.com/kfosaaen/Get-LAPSPasswords

快速定位文件