Administrator

Information Gathering

Port and Service 

# nmap -p- -sVC --min-rate 1000 10.10.11.42
Nmap scan report for 10.10.11.42
Host is up (0.34s latency).
Not shown: 65510 closed tcp ports (reset)
PORT      STATE SERVICE       VERSION
21/tcp    open  ftp           Microsoft ftpd
| ftp-syst: 
|_  SYST: Windows_NT
53/tcp    open  domain        Simple DNS Plus
88/tcp    open  kerberos-sec  Microsoft Windows Kerberos (server time: 2025-04-23 17:48:53Z)
135/tcp   open  msrpc         Microsoft Windows RPC
139/tcp   open  netbios-ssn   Microsoft Windows netbios-ssn
389/tcp   open  ldap          Microsoft Windows Active Directory LDAP (Domain: administrator.htb0., Site: Default-First-Site-Name)
445/tcp   open  microsoft-ds?
464/tcp   open  kpasswd5?
593/tcp   open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
636/tcp   open  tcpwrapped
3268/tcp  open  ldap          Microsoft Windows Active Directory LDAP (Domain: administrator.htb0., Site: Default-First-Site-Name)
3269/tcp  open  tcpwrapped
5985/tcp  open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
9389/tcp  open  mc-nmf        .NET Message Framing
47001/tcp open  http          Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
49656/tcp open  ncacn_http    Microsoft Windows RPC over HTTP 1.0
49661/tcp open  msrpc         Microsoft Windows RPC
49664/tcp open  msrpc         Microsoft Windows RPC
49665/tcp open  msrpc         Microsoft Windows RPC
49666/tcp open  msrpc         Microsoft Windows RPC
49667/tcp open  msrpc         Microsoft Windows RPC
49669/tcp open  msrpc         Microsoft Windows RPC
49685/tcp open  msrpc         Microsoft Windows RPC
49688/tcp open  msrpc         Microsoft Windows RPC
53567/tcp open  msrpc         Microsoft Windows RPC
Service Info: Host: DC; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
| smb2-security-mode: 
|   3:1:1: 
|_    Message signing enabled and required
|_clock-skew: 6h59m59s
| smb2-time: 
|   date: 2025-04-23T17:49:50
|_  start_date: N/A

Bloodhound Collect

Initial Access - Michael to Benjamin

Olivia memiliki privilege GenericAll ke michael, michael memiliki privilege ForceChangePassword ke benjamin. disini saya mencoba untuk Change password kedua akun tersebut menggunakan net rpc

validasi

password telah berasil diubah.

Move to Emily

disini saya mencoba mengakses FTP dengan menggunakan akun benjamin dan menemukan file Backup.psafe3

download password safe:

disini membutuhkan Master Password, saya akan menggunakan pwsafe2john untuk mendapatkan password hash

kemudian saya melakukan crack hash tersebut menggunakan john

selanjutnya saya melakukan spraying password ke users dan mendapatkan akun emily

Move to Ethan

disini emily memiliki GenericWrite ke ethan, selanjutnya saya akan menggunakan targetedKerberoast.py

selanjutnya saya crack hashnya dengan hashcat

Move to Administrator

disini ethan memiliki DCSync privilege ke domain administrator.htb, disini saya akan menggunakan impacket-secretsdump untuk melakukan credential dumping

berhasil mendapatkan hash administrator, selanjutnya saya melakukan pass the hash dengan evil-winrm dan mendapatkan root.txt

PreviousEscapeNextCertified

Last updated