Solved TryHackMe Reset CTF | Step-by-Step Walkthrough #1 for Beginners #tryhackme #cybersecurity

這場直播實踐了 Active Directory 滲透測試中最關鍵的初期階段——如何在完全無認證的狀態下系統地獲取目標信息並打開缺口。講者選擇了 TryHackMe 上的高難度 AD 實驗室作為演示場景。

流程的第一步是環境準備。講者連接到 TryHackMe 提供的 VPN，然後對目標 IP 進行標準 nmap 掃描。掃描結果揭示了 SMB 服務開放在 139 和 445 端口，以及 Kerberos 服務在 88 端口。更重要的是，nmap 自動從 SMB banner 中提取了域名信息——thm.corp 和 stack.htm.corp，確認了這是一個 Active Directory 環境。為了正確解析域名，講者在 /etc/hosts 文件中手動添加了目標 IP 和域名的映射關係。

第二步是利用 SMB null session 進行匿名枚舉。講者使用 nxc 工具，以空用戶名和空密碼嘗試連接 445 端口。連接成功——這是 Active Directory 環境中的常見設置。通過匿名登錄，講者發現了兩個可訪問的共享：data（包含業務相關數據）和 IPC$（系統默認的 IPC 通信共享）。

在完全無憑證的狀態下，講者執行了 Kerberos pre-auth 攻擊。使用 Impacket 工具集中的 GetNPUsers.py 腳本，針對之前枚舉出的 42 個用戶列表進行批量攻擊。該攻擊利用 Kerberos 協議的一個設計特性：某些配置不需要預身份驗證的用戶賬戶會向任何人返回包含密碼哈希的 AS-REP 響應，即使攻擊者沒有任何認證信息。結果中，至少 3 個用戶的哈希被成功提取並保存到文件。

講者隨後使用 Hashcat 對獲得的哈希進行並行破解。通過 hashid 工具識別出這些是 Kerberos 類型的哈希，講者指定相應的 Hashcat 模塊並使用 rockyou.txt 作為密碼字典進行暴力破解。由於系統配置有 32GB RAM，Hashcat 能夠並行處理多個哈希。約 29 秒後，第一個用戶的密碼被成功恢復。

獲得第一個有效憑證後，講者沒有繼續盲目破解其他哈希，而是立即更新攻擊策略。使用新恢復的用戶名和密碼，講者重新連接到 SMB 的 data 共享。使用這個認證身份，講者能夠訪問之前無法讀取的文件。在共享文件夾中，講者找到了多個 PDF 文件，其中至少一個文件包含了另一個用戶的認證信息（用戶名 lily 和對應的密碼）。這展示了真實環境中的一個常見風險——敏感認證信息被不安全地存儲在共享文件系統中。

講者隨後嘗試使用發現的新憑證（lily 用戶）進行遠程桌面登錄（RDP）以獲得初始系統存取。然而，連接過程中遇到了問題——可能是因為該用戶不具備遠程登錄權限、網絡配置問題或其他訪問控制限制。這反映了 Active Directory 滲透中的一個現實：獲得憑證不等於自動獲得特權，還需要進一步測試該用戶的實際權限和可訪問的資源。

講者還強調了參考資源的重要性，特別是推薦了 GitHub 上 "Orange Cyber Defense" 團隊維護的 Active Directory Pentesting Mindmap。這份資源詳細列舉了 Active Directory 環境中所有已知的攻擊向量、枚舉技術和特權提升方法。講者指出，按照這份 mindmap 中的流程進行滲透測試可以確保不遺漏任何關鍵步驟。