Logging — HTB Writeup | The Hack Sparrow

Executive summary — Logging is a Medium Active Directory box centred on WSUS spoofing. With initial credentials we enumerate a share that leaks, in a sync log, a service password that's already been rotated — the log itself reveals the yearly rotation pattern, letting us guess the current one. With Kerberos material we read the managed password of the gMSA msa_health$ (WinRM). From there, a monitoring binary with DLL sideloading over a ZIP in a path writable by the IT group gives execution as jaylee.clifton (user flag). That account can create DNS records; combined with a misconfigured AD CS template (UpdateSrv) that allows requesting a certificate for wsus.logging.htb, we set up a fake WSUS server the DC trusts as legitimate and uses to add msa_health$ to Domain Admins. From there, DCSync yields Administrator's hash.

Platform	Hack The Box
Operating system	Windows — Domain Controller
Domain	`logging.htb`
Difficulty	Medium
Status	Retired
Initial credentials	`wallace.everette` / `Welcome2026@`
Target IP	`10.129.22.233`

Attack map

[1] Enum SMB (wallace.everette:Welcome2026@) -- share Logs legible
        |
[2] IdentitySync_Trace_*.log filtra svc_recovery:Em3rg3ncyPa$$2025 -- YA ROTADA
      el propio log insinua el patron de rotacion anual -> Em3rg3ncyPa$$2026 funciona
        |
[3] TGT de svc_recovery -- material Kerberos suficiente para leer msDS-ManagedPassword
      de la gMSA msa_health$ -> hash NTLM -> WinRM en dc01.logging.htb
        |
[4] UpdateMonitor (ACL de escritura para el grupo IT) vigila
      C:\ProgramData\UpdateMonitor\Settings_Update.zip -> lo extrae -> carga
      settings_update.dll -> invoca PreUpdateCheck  (DLL SIDELOADING)
        |
[5] ZIP con una DLL maliciosa (msfvenom) -> Meterpreter como jaylee.clifton  ->  user.txt
        |
[6] Rubeus tgtdeleg -- TGT de jaylee.clifton; bloodyAD get writable -> CREATE_CHILD
      sobre la zona DNS del dominio
        |
[7] Certipy: plantilla UpdateSrv (ADCS) -> cert para wsus.logging.htb ->
      bloodyAD crea el A record DNS apuntando al atacante -> wsuks sirve un WSUS falso
      firmado con ese cert, forzando "Add-ADGroupMember Domain Admins msa_health$"
        |
[8] El DC hace polling de WSUS -> ejecuta el PSExec firmado -> msa_health$ es Domain Admin
      +-> secretsdump (DCSync) -> hash de Administrator -> psexec  ->  root.txt

1. Preparation and reconnaissance

echo "10.129.22.233 dc01.logging.htb logging.htb" | sudo tee -a /etc/hosts
sudo ntpdate dc01.logging.htb

Kerberos is very time-sensitive: without syncing the clock against the DC you get authentication and ticketing errors that are hard to diagnose.

nmap -sC -sV -Pn 10.129.22.233

Typical AD ports (53 DNS, 80 IIS, 88 Kerberos, 389/636 LDAP, 445 SMB, 5985 WinRM): a Windows/Active Directory environment confirmed.

Resumen ejecutivo — Logging es un Medium de Active Directory centrado en WSUS spoofing. Con credenciales iniciales se enumera un share que filtra, en un log de sincronización, una contraseña de servicio ya rotada — el propio log delata el patrón de rotación anual, lo que permite deducir la vigente. Con material Kerberos se lee la contraseña gestionada de la gMSA msa_health$ (WinRM). Desde ahí, un binario de monitorización con DLL sideloading sobre un ZIP en una ruta escribible por el grupo IT da ejecución como jaylee.clifton (user flag). Esa cuenta puede crear registros DNS; combinado con una plantilla de AD CS mal configurada (UpdateSrv) que permite pedir un certificado para wsus.logging.htb, se monta un servidor WSUS falso que el DC acepta como legítimo y usa para añadir msa_health$ a Domain Admins. Desde ahí, DCSync da el hash de Administrator.

Plataforma	Hack The Box
Sistema operativo	Windows — Domain Controller
Dominio	`logging.htb`
Dificultad	Medium
Estado	Retired
Credenciales iniciales	`wallace.everette` / `Welcome2026@`
IP objetivo	`10.129.22.233`

Mapa del ataque

[1] Enum SMB (wallace.everette:Welcome2026@) -- share Logs legible
        |
[2] IdentitySync_Trace_*.log filtra svc_recovery:Em3rg3ncyPa$$2025 -- YA ROTADA
      el propio log insinua el patron de rotacion anual -> Em3rg3ncyPa$$2026 funciona
        |
[3] TGT de svc_recovery -- material Kerberos suficiente para leer msDS-ManagedPassword
      de la gMSA msa_health$ -> hash NTLM -> WinRM en dc01.logging.htb
        |
[4] UpdateMonitor (ACL de escritura para el grupo IT) vigila
      C:\ProgramData\UpdateMonitor\Settings_Update.zip -> lo extrae -> carga
      settings_update.dll -> invoca PreUpdateCheck  (DLL SIDELOADING)
        |
[5] ZIP con una DLL maliciosa (msfvenom) -> Meterpreter como jaylee.clifton  ->  user.txt
        |
[6] Rubeus tgtdeleg -- TGT de jaylee.clifton; bloodyAD get writable -> CREATE_CHILD
      sobre la zona DNS del dominio
        |
[7] Certipy: plantilla UpdateSrv (ADCS) -> cert para wsus.logging.htb ->
      bloodyAD crea el A record DNS apuntando al atacante -> wsuks sirve un WSUS falso
      firmado con ese cert, forzando "Add-ADGroupMember Domain Admins msa_health$"
        |
[8] El DC hace polling de WSUS -> ejecuta el PSExec firmado -> msa_health$ es Domain Admin
      +-> secretsdump (DCSync) -> hash de Administrator -> psexec  ->  root.txt

1. Preparación y reconocimiento

echo "10.129.22.233 dc01.logging.htb logging.htb" | sudo tee -a /etc/hosts
sudo ntpdate dc01.logging.htb

Kerberos depende mucho de la hora: sin sincronizar el reloj con el DC aparecen errores de autenticación y de ticketing difíciles de diagnosticar.

nmap -sC -sV -Pn 10.129.22.233

Puertos típicos de AD (53 DNS, 80 IIS, 88 Kerberos, 389/636 LDAP, 445 SMB, 5985 WinRM): entorno Windows/Active Directory confirmado.

🔒 Free account required

This is USER ACCESS content — free to unlock, no payment. The rest of the write-up (and everything else at this level) opens up once you're signed in.

Create a free account