Hard on 633k

Pirate（HTB Hard）

Fri, 28 Aug 2026 00:00:00 +0000

执行摘要

Pirate 是 Active Directory 域环境。入口为低权限域用户 pentest。通过 Pre-Windows 2000 计算机账户默认密码读取 gMSA，WinRM 立足 DC01 后进入仅内网的 WEB01。WEB01 的 LSA 泄露 a.white 明文，该用户可强制重置 a.white_adm。a.white_adm 拥有到 HTTP/WEB01 的约束委派（协议转换）以及 IT 组的 WriteSPN。将 HTTP/WEB01.pirate.htb 劫持到 DC01$ 后，S4U2Proxy 票可改写成 CIFS/DC01，最终拿到域管。

Caption（HTB Hard）

Wed, 27 Aug 2025 00:00:00 +0000

Caption（HTB Hard）

基本信息

IP：10.10.11.33
VPN：10.10.16.4
域名：caption.htb

信息收集

vim /etc/hosts

10.10.11.33    caption.htb

nmap -sT --min-rate 10000 -p- 10.10.11.33 --unprivileged

PORT     STATE SERVICE
22/tcp   open  ssh
80/tcp   open  http
8080/tcp open  http-proxy

nmap -sT -sV -sC -O -p 22,80,8080 10.10.11.33

PORT     STATE SERVICE    VERSION
22/tcp   open  ssh        OpenSSH 8.9p1 Ubuntu 3ubuntu0.10 (Ubuntu Linux; protocol 2.0)
80/tcp   open  http-proxy HAProxy http proxy 2.0.0 or later
|_http-title: Caption Portal Login
|_http-server-header: Werkzeug/3.0.1 Python/3.10.12
8080/tcp open  http       Jetty
|_http-title: GitBucket

80 是登录页，8080 是 GitBucket。

Yummy（HTB Hard）

Fri, 11 Oct 2024 00:00:00 +0000

Yummy（HTB Hard）

基本信息

IP：10.10.11.36
VPN：10.10.16.3
域名：yummy.htb

信息收集

修改 /etc/hosts 后扫描：

rustscan -a 10.10.11.36 -- -sCTV
nmap -sC -sV -Pn -T4 10.10.11.36

22/tcp open  ssh     OpenSSH 9.6p1 Ubuntu 3ubuntu13.5
80/tcp open  http    Caddy httpd
|_http-title: Yummy

前端用 JWT。预订套餐有下载功能，重放失败（有 token）。拦截后改下载路径做目录穿越：

Resource（HTB Hard）

Wed, 02 Oct 2024 00:00:00 +0000

Resource（HTB Hard）

基本信息

IP：10.10.11.27
VPN：10.10.16.7
域名：itrc.ssg.htb

信息收集

vim /etc/hosts

10.10.11.27 itrc.ssg.htb

nmap -n -vv --open -T4 -p- -oN AllPorts.nmap 10.10.11.27

80/tcp
22/tcp
2222/tcp

http://itrc.ssg.htb 有登录/注册。SQL 注入无果，注册后可上传 zip。?page=ticket&id=10 可能越权；?page=admin 能进，有 ping 窗口但命令执行失败。

Lantern（HTB Hard）

Wed, 25 Sep 2024 00:00:00 +0000

Lantern（HTB Hard）

基本信息

IP：10.10.11.29
VPN：10.10.16.15
域名：lantern.htb

信息收集

vim /etc/hosts

10.10.11.29    lantern.htb

nmap -sC -sV -Pn -T4 10.10.11.29

22/tcp   open  ssh     OpenSSH 8.9p1 Ubuntu 3ubuntu0.10
80/tcp   open  http    Skipper Proxy
3000/tcp open  ppp?

/vacancies 有表单（可能 XSS）。3000 是 Blazor 管理后台。Skipper Proxy SSRF：EDB-51111，请求头 X-Skipper-Proxy。