Machines HackTheBox

Eighteen

MSSQL impersonation pour extraire un hash Flask depuis une DB interne, crack et spray WinRM, puis BadSuccessor pour hériter des credentials Administrator via un dMSA.

Layover

Assumed breach RDP sur un jumpbox LXD, jonction d'un WiFi ouvert puis sniffing passif (groupe wireshark) pour capter des creds en clair, RCE authentifiée sur Craft CMS 5.9.8 (GHSA-9c4j-cjw3-r3xx) via le pivot, déchiffrement d'un mot de passe SMTP avec la security key, et enfin LPE CUPS 2.4.16 (CVE-2026-34990) par race condition vers sudoers.

Abducted

CVE-2026-4480 : injection de commande dans le print subsystem Samba via le pipe spoolss, sans credentials. Mot de passe rclone décodé et réutilisé, puis force user + wide links SMB pour planter une clé SSH. Privesc via drop-in systemd et polkit.

Signed

Capture NTLM via xp_dirtree, crack d'un compte MSSQL et Silver Ticket pour reprendre la main sur la machine.

Overwatch

SMB guest, linked server MSSQL, capture de credentials par DNS et exécution PowerShell dans un service SOAP.

Pirate

Cinq techniques AD enchaînées : Pre2k sur MS01$, extraction gMSA, RBCD via NTLM relay, S4U2Proxy sur WEB01 pour récupérer a.white, puis WriteSPN + altservice pour obtenir un ticket CIFS/DC01 en tant qu'Administrator.

PingPong

Dual-forest AD Insane : ESC13 (OID issuance policy) pour injecter un SID de groupe dans le PAC et obtenir WinRM, tunnel Ligolo-ng vers DC2, ownership cross-forest pour lire le blob gMSA, RBCD S4U2Proxy vers MSSQL, GodPotato SYSTEM, VSS ntds.dit, puis ESC4+ESC1 cross-forest sur un template ADCS pour devenir Administrator.