Active Directory on 633k

Pirate（HTB Hard）

Fri, 28 Aug 2026 00:00:00 +0000

执行摘要

Pirate 是 Active Directory 域环境。入口为低权限域用户 pentest。通过 Pre-Windows 2000 计算机账户默认密码读取 gMSA，WinRM 立足 DC01 后进入仅内网的 WEB01。WEB01 的 LSA 泄露 a.white 明文，该用户可强制重置 a.white_adm。a.white_adm 拥有到 HTTP/WEB01 的约束委派（协议转换）以及 IT 组的 WriteSPN。将 HTTP/WEB01.pirate.htb 劫持到 DC01$ 后，S4U2Proxy 票可改写成 CIFS/DC01，最终拿到域管。

Puppy（HTB Medium）

Mon, 04 Aug 2025 00:00:00 +0000

Puppy（HTB Medium）

基本信息

IP：10.10.11.70
域名：puppy.htb
初始凭据：levi.james / KingofAkron2025!（平台提供）

信息收集

echo '10.10.11.70 puppy.htb dc.puppy.htb' | sudo tee -a /etc/hosts
nmap -sC -sV -Pn -p- 10.10.11.70

典型域控端口：88 / 135 / 139 / 389 / 445 / 464 / 593 / 636 / 3268 / 3269 / 5985。

Infiltrator（HTB Insane）

Mon, 07 Oct 2024 00:00:00 +0000

Infiltrator（HTB Insane）

基本信息

IP：10.10.11.31
VPN：10.10.16.3
域名：infiltrator.htb / dc01.infiltrator.htb

信息收集

vim /etc/hosts
rustscan -a 10.10.11.31 -- -sCTV
nmap -sC -sV -Pn -T4 10.10.11.31

53/tcp   open  domain
80/tcp   open  http          Microsoft IIS httpd 10.0
88/tcp   open  kerberos-sec
135/tcp  open  msrpc
139/tcp  open  netbios-ssn
389/tcp  open  ldap          Domain: infiltrator.htb
445/tcp  open  microsoft-ds?
464/tcp  open  kpasswd5?
593/tcp  open  ncacn_http
636/tcp  open  ssl/ldap
3268/tcp open  ldap
3269/tcp open  ssl/ldap
3389/tcp open  ms-wbt-server
5985/tcp open  http
9389/tcp open  mc-nmf

RDP NTLM：DNS_Computer_Name: dc01.infiltrator.htb。HTTP / SMB 匿名没有直接利用点。网页人名：

Cicada（HTB Easy）

Fri, 04 Oct 2024 00:00:00 +0000

Cicada（HTB Easy）

基本信息

IP：10.10.11.35
VPN：10.10.16.16
域名：cicada.htb

信息收集

vim /etc/hosts
nmap -sC -sV -Pn -T4 -p- -oN Allports.nmap 10.10.11.35

Host script results:
| smb2-security-mode:
|   3:1.1:
|_    Message signing enabled and required
|_clock-skew: 6h48m43s
| smb2-time:
|   date: 2024-10-03T12:00:17
|_  start_date: N/A

rustscan -a 10.10.11.35 -- -sCTV

53/tcp    open  domain        syn-ack Simple DNS Plus
88/tcp    open  kerberos-sec  syn-ack Microsoft Windows Kerberos
135/tcp   open  msrpc         syn-ack Microsoft Windows RPC
139/tcp   open  netbios-ssn   syn-ack Microsoft Windows netbios-ssn
389/tcp   open  ldap          syn-ack Microsoft Windows Active Directory LDAP (Domain: cicada.htb0.)
445/tcp   open  microsoft-ds? syn-ack
464/tcp   open  kpasswd5?     syn-ack
593/tcp   open  ncacn_http    syn-ack Microsoft Windows RPC over HTTP 1.0
636/tcp   open  ssl/ldap      syn-ack Microsoft Windows Active Directory LDAP
3268/tcp  open  ldap          syn-ack Microsoft Windows Active Directory LDAP
3269/tcp  open  ssl/ldap      syn-ack Microsoft Windows Active Directory LDAP
5985/tcp  open  http          syn-ack Microsoft HTTPAPI httpd 2.0 (SSDP/UPnP)

445 开放，先用 CVE-2020-0796（SMBGhost）验证：