HTB DarkZero: Dominando o Domínio Através de Servidores MS SQL Vinculados
Um passo a passo detalhado de como explorar servidores Microsoft SQL Server vinculados para obter controle total sobre uma infraestrutura, desde a exploração inicial até a elevação de privilégios e o uso de confiança entre domínios.
MundiX News·14 de abril de 2026·5 min de leitura·👁 3 views
HTB DarkZero: Dominando o Domínio Através de Servidores MS SQL Vinculados
Este artigo detalha um exemplo interessante de exploração de servidores Microsoft SQL Server vinculados. Vamos percorrer passo a passo a persistência através de um agente, extração de credenciais via AD CS (Active Directory Certificate Services), bypass de restrições e elevação de privilégios até SYSTEM, e então veremos como, usando a confiança entre domínios e DCSync, alcançar controle total sobre a infraestrutura.
Nosso objetivo final é obter privilégios de superusuário na máquina DarkZero da plataforma de treinamento Hack The Box. O nível da tarefa é difícil.
Aviso: Conecte-se às máquinas no HTB preferencialmente através de ferramentas de anonimização e virtualização. Não faça isso a partir de computadores onde dados importantes são armazenados, pois você estará na mesma rede que outros participantes.
Reconhecimento
Varredura de Portas
Adicionamos o endereço IP da máquina em /etc/hosts:
10.10.11.89 darkzero.htb
Desta vez, não apenas o endereço IP da máquina é fornecido, mas também as credenciais de um usuário do domínio.
Informações da Máquina
Iniciamos a varredura de portas.
Dica: Varredura de Portas
A varredura de portas é o primeiro passo padrão em qualquer ataque. Ela permite que um invasor descubra quais serviços no host estão aceitando conexões. Com base nessas informações, ele escolhe o próximo passo para obter um ponto de entrada.
A ferramenta mais conhecida para varredura é o Nmap. Para melhorar os resultados, o seguinte script pode ser usado:
Ele funciona em duas etapas. Primeiro, uma varredura rápida é iniciada, depois uma mais completa, usando scripts embutidos (opção -A).
Resultado do Script
O scanner encontrou 11 portas abertas:
88 — Kerberos;
139 — Serviço de sessão NetBIOS, Netlogon;
389 — LDAP;
445 — SMB;
464 — Serviço de mudança de senha Kerberos;
593 (HTTP-RPC-EPMAP) — Usado pelos serviços DCOM e Microsoft Exchange;
636 — LDAP via SSL ou TLS;
1433 — Microsoft SQL Server;
3268 (LDAP) — Acesso do cliente ao Global Catalog no controlador;
3269 (LDAPS) — Acesso do cliente ao Global Catalog no controlador via conexão segura;
5985 — WinRM.
Ponto de Entrada
Verificamos as credenciais obtidas com o NetExec.
nxc smb 10.10.11.89 -u john.w -p 'RFulUtONCOL!'
Verificação de Credenciais
Depois de obter a lista de usuários e compartilhamentos disponíveis, não encontramos nada interessante, então passamos a coletar informações sobre o domínio usando o BloodHound.
Dica: BloodHound
A utilidade BloodHound usa a teoria dos grafos para identificar relacionamentos ocultos e frequentemente não intencionais em um ambiente Active Directory. Ele pode ser usado para identificar facilmente caminhos de ataque muito complexos. Além da própria utilidade, que permite visualizar o grafo, existe uma parte que é carregada no host remoto para coletar informações. Ele vem em versões para diferentes sistemas operacionais e em diferentes linguagens de programação.
[Conteúdo restante bloqueado para membros]
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
HTB DarkZero: Dominando o Domínio Através de Servidores MS SQL Vinculados
Este artigo detalha um exemplo interessante de exploração de servidores Microsoft SQL Server vinculados. Vamos percorrer passo a passo a persistência através de um agente, extração de credenciais via AD CS (Active Directory Certificate Services), bypass de restrições e elevação de privilégios até SYSTEM, e então veremos como, usando a confiança entre domínios e DCSync, alcançar controle total sobre a infraestrutura.
Nosso objetivo final é obter privilégios de superusuário na máquina DarkZero da plataforma de treinamento Hack The Box. O nível da tarefa é difícil.
Aviso: Conecte-se às máquinas no HTB preferencialmente através de ferramentas de anonimização e virtualização. Não faça isso a partir de computadores onde dados importantes são armazenados, pois você estará na mesma rede que outros participantes.
Reconhecimento
Varredura de Portas
Adicionamos o endereço IP da máquina em /etc/hosts:
10.10.11.89 darkzero.htb
Desta vez, não apenas o endereço IP da máquina é fornecido, mas também as credenciais de um usuário do domínio.
Informações da Máquina
Iniciamos a varredura de portas.
Dica: Varredura de Portas
A varredura de portas é o primeiro passo padrão em qualquer ataque. Ela permite que um invasor descubra quais serviços no host estão aceitando conexões. Com base nessas informações, ele escolhe o próximo passo para obter um ponto de entrada.
A ferramenta mais conhecida para varredura é o Nmap. Para melhorar os resultados, o seguinte script pode ser usado:
Ele funciona em duas etapas. Primeiro, uma varredura rápida é iniciada, depois uma mais completa, usando scripts embutidos (opção -A).
Resultado do Script
O scanner encontrou 11 portas abertas:
88 — Kerberos;
139 — Serviço de sessão NetBIOS, Netlogon;
389 — LDAP;
445 — SMB;
464 — Serviço de mudança de senha Kerberos;
593 (HTTP-RPC-EPMAP) — Usado pelos serviços DCOM e Microsoft Exchange;
636 — LDAP via SSL ou TLS;
1433 — Microsoft SQL Server;
3268 (LDAP) — Acesso do cliente ao Global Catalog no controlador;
3269 (LDAPS) — Acesso do cliente ao Global Catalog no controlador via conexão segura;
5985 — WinRM.
Ponto de Entrada
Verificamos as credenciais obtidas com o NetExec.
nxc smb 10.10.11.89 -u john.w -p 'RFulUtONCOL!'
Verificação de Credenciais
Depois de obter a lista de usuários e compartilhamentos disponíveis, não encontramos nada interessante, então passamos a coletar informações sobre o domínio usando o BloodHound.
Dica: BloodHound
A utilidade BloodHound usa a teoria dos grafos para identificar relacionamentos ocultos e frequentemente não intencionais em um ambiente Active Directory. Ele pode ser usado para identificar facilmente caminhos de ataque muito complexos. Além da própria utilidade, que permite visualizar o grafo, existe uma parte que é carregada no host remoto para coletar informações. Ele vem em versões para diferentes sistemas operacionais e em diferentes linguagens de programação.
[Conteúdo restante bloqueado para membros]
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.