Sauna

Executive summary — Sauna is an Easy Active Directory Windows box: employee profiles published on the website reveal the domain's username convention; fsmith has Kerberos pre-authentication disabled, so an AS-REP Roasting attack yields a hash that's crackable offline. Once inside, internal enumeration uncovers autologon credentials stored in the registry (svc_loanmgr), an account that also holds DCSync rights over the domain: with them we dump the Administrator NTLM hash and log in via pass-the-hash. A Web → AS-REP → WinRM → autologon → DCSync → DA path.

Since this is an Active Directory box, Kerberos needs to resolve both the hostname and the domain correctly, so we add both to /etc/hosts before touching anything else. HTB's target IP can change between sessions: always check the current one on the platform before starting.

Resumen ejecutivo — Sauna es una Windows Easy de Active Directory: los perfiles de empleados publicados en la web permiten deducir la convención de nombres de usuario del dominio; fsmith tiene desactivada la preautenticación Kerberos, así que un AS-REP Roasting entrega un hash crackeable offline. Ya dentro, la enumeración interna descubre unas credenciales de autologon guardadas en el registro (svc_loanmgr), una cuenta que además tiene derechos de DCSync sobre el dominio: con ellos se vuelca el hash NTLM de Administrator y se entra por pass-the-hash. Recorrido Web → AS-REP → WinRM → autologon → DCSync → DA.

Al tratarse de una máquina de Active Directory, Kerberos necesita resolver correctamente tanto el hostname como el dominio, así que añadimos ambos a /etc/hosts antes de tocar nada más. La IP de HTB puede cambiar entre sesiones: conviene comprobarla siempre en la plataforma antes de arrancar.