Lab นี้คืออะไร?
Zephyr เป็น Pro Lab ระดับ Red Team Operator Level I ของ HackTheBox ที่จำลองสภาพแวดล้อมองค์กรขนาดใหญ่แบบ real-world เต็มรูปแบบ ไม่ใช่แค่ “เจาะเครื่องเดียว” แต่เป็นการ compromise ทั้ง enterprise ตั้งแต่ต้นจนจบ
สิ่งที่ทำให้ Zephyr แตกต่างจาก lab ทั่วไปคือ ความซับซ้อนของ network ที่ประกอบด้วย 2 forest และ child domain รวมถึง machines หลายสิบเครื่องที่ต้อง navigate ผ่านกัน
Environment Overview
Lab ประกอบด้วย 3 domains หลัก:
Domain I — Entry point ขององค์กรหลัก มี web server, mail server และ Windows infrastructure ทั่วไป
Domain II— Forest ที่สองซึ่งเชื่อมต่อกับ painters.htb ผ่าน bidirectional forest trust จำลองบริษัทที่ถูก acquire มา ประกอบด้วย monitoring systems, database servers และ certificate authority
Domain II — Child domain ของ มี internal infrastructure ที่ซ่อนอยู่ลึกสุดใน lab
Techniques ที่ต้องใช้
Zephyr บังคับให้คุณใช้ techniques หลายระดับจริงๆ ไม่ใช่แค่ทำตามท่าปกติ
Initial Access & Web: fileupload
Active Directory Attacks: Kerberoasting, Pass-the-Hash,Delegation, RBCD, Shadow Credentials, DCSync และ Local Enum**
Privilege Escalation: ACL abuse, Service misconfiguration, Role Abuse
Lateral Movement: WinRM, credential reuse across machines, SQL Server linked server attacks และ Chrome password extraction
Advanced Kerberos: Golden Ticket
Infrastructure: Double pivot ข้าม multiple network segments
ประสบการณ์จริงจากการทำ
สิ่งที่ทำให้ Zephyr โดดเด่นคือ ทุก technique เชื่อมโยงกัน ไม่มีส่วนไหนที่ทำแบบ isolated credential จาก phase แรกนำไปสู่การเข้าถึงใน phase ถัดไป เหมือน domino ที่ล้มต่อกันไปเรื่อยๆ
สิ่งที่ยากที่สุดในส่วนตัว:
Inter-Forest Golden Ticket คือ technique ที่ไม่เคยเจอมาก่อนเลย การทำความเข้าใจว่า SID Filtering ทำงานต่างกันระหว่าง Forest Trust และ Parent-Child Trust ต้องใช้เวลาศึกษาพอสมควร แต่พอเข้าใจแล้วมัน click ทันที
การเข้าใจการทำงานของ kerberos เพื่อที่จะสามารถ สร้างตั๋ว ขอตั๋ว** ใช้ค่อนข้างเยอะ รวมถึงช่องโหว่ของ Ms-Sql เอง ที่จะพาเราไปต่ออีกโดเมน
Minor Issues:
มีบ้างที่ Kerberos tickets ต้องลองหลายรอบถึงจะ work ซึ่งน่าจะเกิดจาก concurrent players จำนวนมาก แต่ไม่ได้กระทบ experience โดยรวม
เหมาะกับใคร?
Zephyr เหมาะกับคนที่:
- ผ่าน AD basics มาแล้ว (AD เบื้องต้น, Kerberoasting, Pass-the-Hash)
- อยากเข้าใจ enterprise environment จริงๆ ไม่ใช่แค่ single machine
- กำลังเตรียมตัวสำหรับ OSCP, CRTO หรือ PNPT
- ต้องการ expose ตัวเองกับ advanced Kerberos attacks
ถ้าเพิ่งเริ่ม AD แนะนำให้ทำ Starting Point หรือ easy machines ก่อน แล้วค่อยมาลอง Zephyr
สิ่งที่ได้กลับไป
ก่อนทำ Zephyr รู้แค่ว่า Kerberos มีท่าที่ค่อนข้างเฉพาะเล่นไม่ยาก แต่ลองดูแล้วรู้ว่ามีอะไรอีกเยอะที่เรายังไม่รู้ได้ challenge และเรียนรู้ด้วย
นี่คือ lab ที่คุ้มค่าที่สุดที่เคยทำมา LAB AD แบบเต็มระบบแบบนี้หาเล่นยากครับใครชอบแนวนี้ลองดูสนุกครับ
|munpao59