Mejores máquinas de Hack The Box para aprender Active Directory
21 máquinas de HTB para aprender Active Directory de fácil a insane, qué técnica enseña cada una y en qué orden hacerlas para preparar OSCP, CPTS o CRTP.
Active Directory se aprende haciendo dominios, no leyendo sobre ellos. El problema es que Hack The Box tiene cientos de máquinas Windows y muchas mezclan diez técnicas a la vez. Esta lista está ordenada para que cada máquina añada una o dos ideas nuevas sobre lo que ya sabes, de fácil a insane, con lo que enseña cada una según el catálogo de PwnAtlas (que enlaza cada técnica al minuto del vídeo de IppSec donde se usa).
Truco
Antes de empezar, ten a mano la checklist de Active Directory y úsala en todas. Y si quieres un plan completo con guías y chuletas intercaladas, sigue la ruta Red team y Active Directory.
Nivel 1: los fundamentos (fácil)
| Máquina | Lo que aprendes |
|---|---|
| Forest | Enumerar usuarios sin credenciales, AS-REP Roasting, BloodHound y una cadena de ACL hasta DCSync. La máquina de AD por excelencia. |
| Active | Contraseñas en GPP (Groups.xml) y tu primer Kerberoasting. |
| Sauna | Generar nombres de usuario a partir de la web, AS-REP Roasting y una cuenta con permiso de DCSync. |
| Cicada | Enumeración por RID, password spraying y abuso de SeBackupPrivilege para volcar la SAM. |
| Timelapse | Crackear un ZIP y un PFX, entrar con certificado por WinRM y leer la contraseña de LAPS. |
| Support | Sacar una contraseña de un ejecutable .NET y abusar de GenericAll sobre el DC con RBCD. |
Con estas seis ya tienes el ciclo básico: usuarios, un primer hash, BloodHound y una escalada hasta administrador del dominio.
Nivel 2: el AD moderno (fácil y media)
| Máquina | Lo que aprendes |
|---|---|
| EscapeTwo | De credenciales en un Excel a MSSQL, shadow credentials y ADCS ESC4 → ESC1. |
| Fluffy | Robar un hash NTLMv2 con un fichero .library-ms, ACLs con bloodyAD y ADCS ESC16. |
| Administrator | Cadenas largas de ACLs, Kerberoasting dirigido y DCSync. Empiezas ya con un usuario, como en un pentest interno. |
| Certified | WriteOwner, shadow credentials y ADCS ESC9. |
| Escape | Capturar el hash de MSSQL con xp_dirtree, credenciales en logs y una plantilla de certificado vulnerable (ataques a MSSQL). |
| Intelligence | Metadatos de PDF, un registro DNS para capturar un hash, gMSA y delegación restringida. |
| Cascade | LDAP con atributos personalizados, contraseñas de VNC, descompilar .NET y la papelera de reciclaje de AD. |
| Tombwatcher | Kerberoasting dirigido, lectura de gMSA, objetos borrados y ADCS ESC15. |
Nivel 3: cadenas largas (difícil)
| Máquina | Lo que aprendes |
|---|---|
| Blackfield | AS-REP Roasting, ForceChangePassword, un volcado de LSASS y SeBackupPrivilege para leer NTDS.dit. |
| Search | Credenciales en una imagen, Kerberoasting, una hoja de Excel protegida y gMSA → GenericAll. |
| Vintage | Sin NTLM: todo con Kerberos. Cuentas pre-Windows 2000, gMSA, DPAPI y RBCD. |
| Mirage | NFS en Windows, relay entre sesiones, gMSA y ADCS ESC10. |
Nivel 4: para cuando ya no te asusta nada (insane)
| Máquina | Lo que aprendes |
|---|---|
| Rebound | Kerberoasting sin credenciales, cross-session relay, gMSA y RBCD hasta DCSync. Una clase magistral de AD. |
| Mist | Varias máquinas, relay a LDAP, shadow credentials, ADCS y delegación. |
| Ghost | Inyección LDAP, un DNS falso para capturar hashes, gMSA, ADFS y relaciones de confianza entre dominios. |
Cómo sacarles partido
- Primero sin ayuda, al menos un par de horas, siguiendo la checklist. Cuando te atasques, abre la máquina en PwnAtlas: cada técnica tiene un enlace ▶ al minuto exacto del vídeo de IppSec, así que ves solo la pista que necesitas, no la solución entera.
- Apunta los comandos que te funcionan. Al final tendrás tu propia chuleta; compárala con la de Active Directory.
- Repite las de nivel 1 sin mirar antes de pasar al 3. La velocidad cuenta en el examen.
- Marca tu progreso en Mi progreso para no perder la cuenta.
Las guías que acompañan a esta lista, por orden: enumeración de Active Directory, Kerberoasting y AS-REP Roasting, abuso de ACLs, GPP, LAPS y gMSA, ADCS con Certipy, delegación y RBCD y NTLM relay.